Roadmap conformité

Cette page décrit, sans embellir, où en est Sianim sur les trois cadres qui comptent pour nos clients : le RGPD, la norme ISO/IEC 27001 et la directive NIS2. Chaque ligne porte un statut explicite.

Point d'honnêteté essentiel : Sianim n'est à ce jour certifié ni ISO 27001, ni Hébergeur de Données de Santé (HDS). Nous ne présentons aucune certification comme acquise tant qu'elle ne l'est pas. Une trajectoire affichée n'est pas une garantie obtenue.

RGPD — protection des données

Le RGPD est notre socle : il s'applique dès aujourd'hui et la plupart des mesures sont en place.

• En placeMinimisation des données et aucune donnée de santé collectée.
• En placeHébergement et traitement courant en Union européenne (région Paris).
• En placeCloisonnement strict par établissement (isolation multi-tenant).
• En placeRegistre des traitements (article 30) disponible côté direction.
• En placeJournal des accès et des actions sensibles (traçabilité).
• En placeModèle de convention de sous-traitance (article 28) à faire signer.
• En coursFormalisation des durées de conservation et de la purge automatisée.
• ViséAnalyse d'impact (AIPD) documentée pour les usages les plus sensibles.

ISO/IEC 27001 — management de la sécurité

Nous nous appuyons sur les bonnes pratiques de l'ISO 27001 pour structurer notre sécurité. La certification est un objectif visé, elle n'est pas engagée à ce stade.

• En placeChiffrement en transit (TLS) et secrets gérés hors du code (variables d'environnement).
• En placeContrôle d'accès basé sur les rôles (direction, animation) appliqué côté serveur.
• En coursPolitique de sécurité de l'information et inventaire des actifs en cours de formalisation.
• En coursGestion des sauvegardes, des journaux et de la réponse aux incidents en consolidation.
• ViséAnalyse de risques formelle et plan de traitement des risques (Annexe A).
• ViséAudit de certification ISO/IEC 27001 — objectif, non engagé à ce jour.

NIS2 — résilience et gestion des incidents

L'applicabilité de NIS2 à notre activité est en cours de cadrage. Nous anticipons ses exigences (gestion des incidents, chaîne d'approvisionnement, continuité) sans surévaluer notre maturité.

• En coursCadrage de l'applicabilité de NIS2 (statut entité, périmètre) en cours.
• En placeMesures techniques de base : durcissement, journalisation, limitation de débit.
• En coursProcédure de gestion et de notification des incidents en cours de formalisation.
• ViséÉvaluation de la chaîne d'approvisionnement (fournisseurs IA et hébergeur).
• ViséPlan de continuité et exercices de gestion de crise documentés.

Une question, un besoin de preuve ?

Registre des traitements, convention de sous-traitance, détail d'une mesure : écrivez-nous via le formulaire de contact. Vous pouvez aussi consulter notre page conformité & sécurité.