Marché européen · RGPD · NIS2 · DORA · AI Act
Conformité européenne pour les éditeurs non européens
Les clients européens répercutent de plus en plus leurs obligations réglementaires sur leurs fournisseurs. Si vous vendez des logiciels ou des services à des entreprises de l'UE depuis les États-Unis ou ailleurs, je vous aide à déterminer les règles qui vous concernent vraiment, ce que vos clients vont exiger, et comment y répondre sans créer un service conformité.
Pour qui
- Éditeurs et prestataires établis hors de l'UE, souvent aux États-Unis, qui vendent ou veulent vendre à des entreprises européennes
- Fournisseurs déjà dotés d'un rapport SOC 2 à qui l'on demande désormais ISO 27001, un accord de sous-traitance RGPD ou des clauses NIS2 et DORA
- Fournisseurs de banques, d'assureurs ou de sociétés d'investissement européens, soumis à DORA
Contexte habituel
Un prospect européen envoie un questionnaire de sécurité, un accord de sous-traitance des données et des clauses contractuelles qui citent NIS2, DORA ou l'AI Act. La vente s'enlise pendant que le juridique, la sécurité et les équipes techniques cherchent ce qui s'applique.
La plupart de ces obligations pèsent sur votre client, pas directement sur vous. Mais votre client doit démontrer que ses fournisseurs les respectent : elles se retrouvent donc dans votre contrat, vos questionnaires et vos audits.
Déroulement
Une mission courte, au forfait, qui transforme une pile d'exigences européennes en une position claire et un plan.
Cartographie de l'exposition
Les règles européennes qui s'appliquent directement à vous (RGPD comme sous-traitant ou responsable de traitement, AI Act comme fournisseur de systèmes d'IA) et celles qui vous atteignent par vos clients (sécurité de la chaîne d'approvisionnement NIS2, exigences DORA sur les prestataires TIC).
Écarts au regard des demandes des clients
Votre programme de sécurité actuel (SOC 2, politiques, hébergement, sous-traitants, gestion des incidents) comparé à ce qu'exigent habituellement les clients européens, y compris l'équivalence avec ISO 27001 et les transferts de données.
Plan et positionnement
Actions classées par priorité, réponses réutilisables pour les questionnaires et clauses européens, et une note courte qui résume votre position de conformité pour les équipes commerciales.
Articulation avec vos avocats
Quand une question relève du droit (transferts de données, représentant dans l'UE, rédaction des contrats), je la cadre et je travaille avec votre conseil ; je ne donne pas d'avis juridique.
Livrables
- Une cartographie des règles européennes qui vous concernent, directement ou par vos clients
- Une analyse d'écart au regard des exigences habituelles des clients européens
- Un plan d'actions priorisé, y compris l'opportunité et le calendrier d'une certification ISO 27001
- Des réponses réutilisables pour les questionnaires de sécurité et les clauses contractuelles
- Une note d'une page sur votre conformité européenne, pour les équipes commerciales
- Une restitution à la direction
Format et durée
- Format
- Forfait, entièrement à distance, en anglais ou en français
- Durée indicative
- Environ 3 semaines
- Tarif
- Forfait, sur devisEstimer le budget de cette offre
Questions fréquentes
NIS2 s'applique-t-elle à une entreprise établie hors de l'UE ?
Parfois directement : certains fournisseurs de services numériques qui opèrent dans l'UE doivent y désigner un représentant. Le plus souvent, elle vous atteint indirectement : vos clients européens doivent maîtriser les risques de leur chaîne d'approvisionnement et vous répercutent leurs exigences. La cartographie établit dans quel cas vous êtes.
Un rapport SOC 2 suffit-il pour les clients européens ?
Il aide souvent, mais beaucoup d'acheteurs européens demandent expressément ISO 27001, et SOC 2 ne couvre ni le RGPD ni les réglementations sectorielles européennes. Les deux référentiels se recouvrent largement : passer de SOC 2 à ISO 27001 prend en général quelques mois, sans repartir de zéro.
Remplacez-vous notre avocat ?
Non. Je traite les programmes de sécurité et de conformité ; l'interprétation juridique, les mécanismes de transfert de données et la rédaction des contrats restent du ressort de votre conseil. Je veille à ce que les deux s'accordent.
Premier entretien
Un entretien de 30 minutes permet de passer en revue vos ventes européennes en cours, ce que demandent vos clients, et de vérifier que cette mission est la bonne première étape.