Normes & systèmes de management
D’ISO 27001 à C5 et TISAX, en passant par BSI IT-Grundschutz++ — les normes et référentiels qui rendent la sécurité certifiable.
Gouvernance, risques & conformité
ISO 27001, BSI IT-Grundschutz, NIS2, DORA, CRA et EU AI Act : comment réunir systèmes de management, gestion des risques et obligations réglementaires dans une structure intégrée et auditable — sans double travail.
Une bonne gouvernance n’est pas de la paperasse, mais le système d’exploitation de votre sécurité : un système de management intégré traduit les normes et la réglementation en responsabilités claires, en contrôles mesurables et en preuves qui tiennent en audit. Ces pages de savoir rassemblent notre méthodologie autour des normes, de la réglementation européenne et de l’exploitation courante — de l’analyse d’écarts à la certification, jusqu’au vCISO et au GRC as a Service.
Thèmes & pages de savoir
Chaque thème mène à une page de savoir dédiée avec des approfondissements, des guides pratiques et les prestations correspondantes.
Réglementation européenne & nationale
NIS2, DORA, CRA, EU AI Act, KRITIS et MDR — obligations, échéances et le chemin vers une conformité démontrable.
NIS2 DORA Orientations EBA Third-Party Risk (non-TIC) Guide BaFin : IA & risques TIC Slopsquatting et agents de codage EU Cyber Resilience Act ENISA Secure by Design Playbook EU AI Act KRITIS MDR — Dispositifs médicaux Gestion des risques IA en milieu de soins Maintenance des dispositifs médicaux connectés Data Act et dispositifs médicaux connectés Conformité IA
Exploitation, rôles & preuves
Pour que la conformité reste vivante : rôles externes de CISO et de responsable de la sécurité de l’information, audits, formations et preuves automatisées.
Sécurité de la chaîne d'approvisionnement
Third-Party-Risk-Management pour votre chaîne d'approvisionnement IT : des obligations réglementaires issues de NIS2 et DORA à l'évaluation des fournisseurs cloud (CSA CAIQ/CCM/STAR) et des fournisseurs d'IA (CSA AI Controls Matrix v1.1).
Analyses approfondies
Des pages de connaissances approfondies sur les sujets qui soulèvent actuellement le plus de questions — avec des sources vérifiées et des mesures concrètes.
Guide BaFin : IA et risques TIC
Le 18 décembre 2025, la BaFin a publié son guide non contraignant sur les risques liés aux TIC dans l'utilisation de l'IA par les entités financières (titre allemand « Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen »). Il vise à aider à appliquer aussi aux systèmes d'IA les exigences de DORA en matière de gestion du risque lié aux TIC et de gestion du risque lié aux prestataires tiers de services TIC — sur l'ensemble du cycle de vie de l'IA et avec une étude de cas consacrée à un assistant IA fondé sur un LLM. Cette page distingue systématiquement ce qu'exigent DORA et les RTS, ce que la BaFin décrit comme bonne pratique et ce que nous recommandons en complément.
Accéder à la page de connaissancesOrientations EBA risque lié aux tiers
Avec EBA/GL/2026/09, l'EBA remplace ses orientations sur l'externalisation de 2019 par un cadre couvrant l'ensemble du risque lié aux tiers pour les services non-TIC — centré sur les fonctions critiques ou importantes, avec un registre calqué sur le registre d'informations DORA et une période transitoire de deux ans. Cette page situe les orientations, les délimite par rapport à DORA et rend leurs exigences concrètes grâce au navigateur de périmètre, au constructeur de registre et au radar de préparation.
Accéder à la page de connaissancesOSCAL — Frameworks as Code
Le standard du NIST qui fait passer réglementations, normes et frameworks du PDF aux données : catalogues, profils, mappings et preuves — lisibles par machine, versionnables, automatisables.
Accéder à la page de connaissancesSécurité de la chaîne d'approvisionnement
Comment évaluer et piloter de manière structurée la sécurité de votre chaîne d'approvisionnement IT, cloud et IA – de la sélection des fournisseurs au monitoring continu.
Accéder à la page de connaissancesISO/IEC 42001 en pratique
Avec l'ISO/IEC 42001:2023, il existe pour la première fois une norme internationale certifiable pour un Artificial Intelligence Management System (AIMS). Ce que la norme exige, à quoi ressemble le paysage documentaire — et comment intégrer efficacement un AIMS dans votre ISMS existant.
Accéder à la page de connaissancesObligations de transparence de l'AI Act
À compter du 2 août 2026, les obligations de transparence de l'Art. 50 de l'AI Act s'appliquent aux systèmes d'IA interactifs, aux contenus génératifs, à la reconnaissance des émotions et aux deepfakes. Le projet de lignes directrices de la Commission européenne du 8 mai 2026 précise comment fournisseurs et déployeurs doivent mettre en œuvre ces obligations.
Accéder à la page de connaissancesNIST AI RMF & Cyber AI Profile
La gestion des risques de l'IA selon le NIST : l'AI Risk Management Framework et le nouveau Cyber AI Profile (NIST IR 8596) offrent aux organisations un cadre structuré et priorisé pour sécuriser les systèmes d'IA, mettre l'IA au service de la défense et contrer les attaques assistées par IA.
Accéder à la page de connaissancesISO/IEC 27001
Ce que la norme exige, comment se déroule le chemin vers la certification et pourquoi un SMSI conforme à ISO/IEC 27001 fait ses preuves auprès des clients, des partenaires et des autorités de contrôle.
Accéder à la page de connaissancesIT-Grundschutz
Comment les standards du BSI, le Compendium IT-Grundschutz et les variantes de sécurisation s'articulent – et ce que la modernisation en cours vers Grundschutz++ signifie pour votre SMSI.
Accéder à la page de connaissancesISO/IEC 27701
Comment transformer le traitement des données personnelles en un système de management certifiable – et ce que la révision ISO/IEC 27701:2025, désormais certifiable de manière autonome, signifie pour les exploitants de SMSI et les sous-traitants.
Accéder à la page de connaissancesTISAX
Comment fonctionne le mécanisme d'évaluation et d'échange de l'industrie automobile : de la gouvernance par l'ENX Association et le catalogue VDA ISA jusqu'aux niveaux d'assessment, aux labels et à la validité de trois ans.
Accéder à la page de connaissancesSystèmes de management intégrés
Comment réunir ISO/IEC 27001, 27701 et 42001 ainsi que ISO 9001 et ISO 22301 dans un seul système de management sur la base de la Harmonized Structure – de la maîtrise documentaire à l'audit de certification combiné.
Accéder à la page de connaissancesNIS2
Ce que la directive (UE) 2022/2555 exige des entités essentielles et importantes – et comment l'Allemagne l'a transposée dans le BSIG via le NIS2UmsuCG.
Accéder à la page de connaissancesDORA
Ce que le règlement (UE) 2022/2554 exige des entités financières et de leurs prestataires de services TIC – les cinq piliers, les TLPT, le registre d'informations et la supervision des prestataires tiers critiques en un coup d'œil.
Accéder à la page de connaissancesCyber Resilience Act
Ce que le règlement (UE) 2024/2847 exige des fabricants, importateurs et distributeurs de produits comportant des éléments numériques – de la security by design et de la SBOM jusqu'aux délais de notification applicables à partir du 11 septembre 2026.
Accéder à la page de connaissancesPlaybook Secure by Design
Plongée dans le guide pratique gratuit publié par l'ENISA le 30 juillet 2026 : 22 principes sous forme de playbooks d'une page avec check-lists, preuves minimales et release gates – attestation lisible par machine et mapping indicatif vers le CRA inclus.
Accéder à la page de connaissancesEU AI Act
Classes de risque, échéances après le Digital Omnibus, rôles et sanctions : ce que le règlement (UE) 2024/1689 signifie pour les entreprises – état des lieux en juillet 2026.
Accéder à la page de connaissancesKRITIS
Ce que les exploitants d'installations critiques doivent mettre en œuvre en vertu de la loi BSI révisée et du KRITIS-Dachgesetz – des seuils à l'obligation de justification, en passant par la détection d'attaques.
Accéder à la page de connaissancesCybersécurité MDR
Quelles exigences de cybersécurité le MDR impose aux fabricants – et comment MDCG 2019-16, IEC 81001-5-1 et le règlement sur l’IA fixent le cadre pour l’ensemble du cycle de vie du produit.
Accéder à la page de connaissancesConformité IA
Comment construire un programme de gouvernance de l'IA de manière structurée – de l'inventaire de l'IA à la classification des risques et à la maîtrise de l'IA, jusqu'aux contrôles du cycle de vie, en s'appuyant sur l'AI Act, ISO/IEC 42001, le NIST AI RMF et le BSI AIC4.
Accéder à la page de connaissancesvCISO & ISB externe
Ce qui distingue le CISO de l'ISB, les exigences qu'ISO 27001 et NIS2 posent pour l'attribution du rôle – et quand une externalisation en tant que vCISO ou vISB est pertinente.
Accéder à la page de connaissancesGRC as a Service
Comment les modèles de GRC managé organisent l'exploitation courante du SMSI, de la gestion des risques et des preuves de conformité – des composantes de service aux limites du transfert de responsabilité, en passant par les indicateurs pertinents.
Accéder à la page de connaissancesAudits & certifications
Comment se déroulent réellement les certifications ISO : de la typologie des audits aux audits de surveillance, au renouvellement de la certification et à la chaîne d'accréditation qui les sous-tend, en passant par les étapes 1 et 2.
Accéder à la page de connaissancesSecurity Questionnaires
Comment répondre de manière structurée au nombre croissant de questionnaires de sécurité issus des évaluations clients et de la gestion des risques tiers – et les solliciter de façon ciblée – grâce aux catalogues standards, aux bibliothèques de réponses, à la génération de réponses assistée par IA et à un trust center.
Accéder à la page de connaissancesTrust Center
Comment mettre à disposition de manière structurée certificats, attestations, listes de sous-traitants ultérieurs et synthèses de pentests – en accès public lorsque c'est possible, sous NDA lorsque c'est nécessaire.
Accéder à la page de connaissancesWhitepaper à télécharger
Chaque livre blanc dispose de sa propre page avec les détails et un formulaire de téléchargement direct.
DORATLPT selon DORA : comment véritablement protéger vos actifs les plus précieuxVers la page Whitepaper 
BSI Grundschutz++Méthodologie BSI Grundschutz++ et parcours d'upgrade ISO 27001Vers la page Whitepaper 
EU CRACRA Reality Check — Zero-Days, chaîne d’approvisionnement et IAVers la page Whitepaper 
DORADORA Reality Check — Risque tiers et IA agentiqueVers la page Whitepaper 
NIS2NIS2 Reality Check — Enregistrement, chaîne d'approvisionnement et responsabilitéVers la page Whitepaper 
EU AI ActAI Act Reality Check — Échéances haut risque, GPAI et IA agentiqueVers la page Whitepaper 
EBA / DORAThird-Party Risk für CISOs — orientations EBA non-TIC 2026Vers la page Whitepaper 
BaFin / DORA / IAKI unter DORA für CISOs — guide de la BaFin sur les risques TIC liés à l'IAVers la page Whitepaper Actualités de ce domaine
Toutes les actualitésAtelier de Noël GRC Engineering le 12 décembre : sept conférences, un déjeuner, 20 placesLe samedi 12 décembre 2026, VamiSec organise l’Atelier de Noël GRC Engineering dans ses locaux de Sankt Augustin, près de Bonn. En sept conférences, Valeri Milke montre comment NIS2, le CRA et l’AI Act s’articulent dans un système de management intégré, ce qu’un graphe GRC rend visible, comment évaluer en euros les risques liés à la chaîne d’approvisionnement et les cyberrisques – et comment la migration vers la cryptographie post-quantique commence avec la CBOM. Gratuit, sur invitation personnelle uniquement.VamiGRC Christmas Bootcamp le 12 décembre : GRC Engineering agentique – sur place et en directSept cases, une matinée : le samedi 12 décembre 2026, de 10:00 à 14:00 CET, Valeri Milke et l’équipe VamiSec montrent comment le GRC Engineering agentique rend NIS2, le CRA, l’AI Act et les risques de la chaîne d’approvisionnement maîtrisables – avec, en plus, un Christmas Special sur la cryptographie post-quantique et la CBOM. Sur place à Sankt Augustin, près de Bonn, ou en direct sur LinkedIn et YouTube. Participation gratuite.Guide de la BaFin sur l'IA : ce que les banques et les assureurs devraient mettre en œuvre dès maintenant en matière de risques TIC sous DORALe 18 décembre 2025, la BaFin a publié son guide sur les risques liés aux TIC dans l'utilisation de l'IA. Non contraignant, il montre en 38 pages comment les entités financières peuvent appliquer les exigences de DORA aux systèmes d'IA — de la gouvernance à la notification des incidents, en passant par les tests et les contrats cloud. Nous l'avons analysé et publié une page de connaissances interactive ainsi qu'un livre blanc pour les CISO.Orientations de l'EBA sur le risque lié aux tiers 2026 : ce que les entités financières doivent savoir dès maintenant sur les prestataires non-TICLe 18 septembre 2026, l'EBA a remplacé ses orientations de 2019 sur l'externalisation par EBA/GL/2026/09 : toute prestation non-TIC récurrente qui soutient une fonction relève désormais d'un cadre cohérent avec DORA — registre, catalogue de clauses, règles de sous-traitance et période transitoire de deux ans compris. Nous avons analysé le rapport final et publié une page de connaissances interactive ainsi qu'un livre blanc pour les CISO.VamiSec sur place à Tallinn : Trust Services and eID Forum & CA-Day 202615–16 septembre, Kultuurikatel Tallinn : l'ENISA, la Commission européenne, D-Trust et TÜV NORD Cert réunissent la communauté européenne de la confiance — eIDAS 2.0, EUDI Wallet, European Business Wallet, interfaces CRA et post-quantique. Nous y sommes et traduisons ce que cela signifie pour votre conformité.MID-Digitale Sicherheit : 50 % de subvention pour pentests, formations & protection IT de baseNouvelle page : le programme du Land NRW subventionne les mesures de sécurité informatique à 50 % (4 000–15 000 €) — de l’analyse de l’existant avec test d’intrusion aux formations sécurité et à la première acquisition de matériel & logiciels. Attribution par tirage au sort mensuel via la NRW.BANK — nous vous accompagnons de la manifestation d’intérêt au justificatif d’emploi.MID-Digitalisierung : 50 % de subvention pour développer des produits numériquesLe programme du Land NRW subventionne à 50 % (4 000–15 000 €) les prestations externes pour développer des produits numériques commercialisables basés sur des technologies clés comme l’IA — attribution par tirage au sort mensuel. VamiSec développe comme prestataire avec security by design et conformité CRA/AI Act dès le premier sprint.Jusqu’à 15 000 € de subvention : conseil GRC via MID-Digitale Prozesse (NRW)Le programme du Land NRW « Mittelstand Innovativ & Digital » subventionne le conseil externe pour digitaliser vos processus GRC — des gap analyses NIS2, CRA, AI Act et ISO 27001 à la feuille de route, au choix de l’outil et à l’implémentation de VamiGRC. La subvention peut couvrir le conseil jusqu’à 100 %. Appel 2026 : demandes du 07.09 au 01.12.2026 via la NRW.BANK — nous vous accompagnons sur tout le processus.VamiSec est PECB Training Partner accrédité — plus de 300 certifications officielles (ISO 27001, NIS 2, EU AI Act & plus)VamiSec GmbH est PECB Training Partner accrédité et dispense plus de 300 certifications internationalement reconnues — d'ISO 27001 à NIS 2 jusqu'à l'EU AI Act — animées par des Lead Auditors actifs qui vivent ces normes chaque jour dans les projets clients.Grundschutz++ désormais disponible en prestation de conseilNous proposons désormais Grundschutz++ en prestation de conseil intégrée — la combinaison du BSI IT-Grundschutz et d’ISO 27001, mise en œuvre dans le cadre Vami IMS. Un seul système de management, deux objectifs de certification, sans double travail.VamiSec officiellement certifié ISO/IEC 27001:2022VamiSec est officiellement certifié ISO/IEC 27001:2022 — délivré par Proks Certification GmbH. Périmètre : prestations de conseil en sécurité de l’information, produits numériques et traitement des données clients. La sécurité de l’information et la conformité comme socle de confiance.
La conformité avec méthode plutôt qu’avec des classeurs
Lors du premier entretien, nous vous montrons comment vos exigences normatives et réglementaires convergent vers un système de management intégré et auditable.