Vailor : l'alternative GRC IA souveraine à Probo

Par le périmètre, pas par l'outillage. Listez ce que vous devez réellement protéger : activités critiques, données clients, prestataires qui accèdent à votre système d'information. Menez ensuite une première appréciation des risques sur ce périmètre, même grossière, et écrivez-la. Vous en tirez une poignée de mesures prioritaires plutôt qu'un plan de cent lignes. Le guide d'hygiène informatique de l'ANSSI et ses 42 mesures donnent un socle utile pour cette première passe. Viser une certification dès le départ inverse l'ordre : elle valide une démarche, elle ne la crée pas.

L'effort n'est pas constant. La phase initiale concentre le gros du travail : cadrage, première analyse de risque, rédaction des politiques, collecte des preuves déjà existantes. Vient ensuite un rythme d'entretien : revue des mesures, mise à jour du registre des risques, traitement des incidents, réponse aux questionnaires clients. Cette charge récurrente reste tenable quand les preuves sont collectées au fil de l'eau, et devient lourde quand il faut tout reconstituer la veille d'un audit. En PME, le sujet est presque toujours porté à temps partiel par la DSI, un profil IT généraliste ou la direction.

Rarement au démarrage. Beaucoup de PME s'appuient sur un RSSI à temps partagé, un prestataire ou un référent interne à qui l'on dégage du temps. Ce qui ne se délègue pas, c'est la décision : accepter un risque, arbitrer un budget, valider une politique. Pour les entités qui entrent dans le champ de NIS2, la directive place d'ailleurs l'approbation des mesures de gestion des risques et le suivi de leur mise en oeuvre au niveau des organes de direction, et prévoit leur formation. Un prestataire produit des livrables, il ne porte pas cette responsabilité à votre place.

Trois sources se cumulent. Le RGPD s'applique indépendamment de la taille : il dépend des traitements de données personnelles, pas de l'effectif. La directive NIS2 croise un critère sectoriel et un critère de taille, la moyenne entreprise au sens européen correspondant à cinquante salariés ou dix millions d'euros de chiffre d'affaires ou de bilan, avec des cas particuliers prévus par le texte sous ce seuil. S'ajoutent enfin les exigences contractuelles : questionnaires sécurité, clauses imposées par un grand compte, attentes d'un appel d'offres. Le déclencheur est souvent contractuel avant d'être réglementaire.

En supprimant la ressaisie et en guidant l'ordre des étapes. L'IA lit vos documents et préremplit l'analyse de risque, en EBIOS RM ou en analyse flash plus légère, à partir d'extraits cités : votre référent corrige au lieu de partir d'une page blanche. Sans documents, Vailor organise la collecte auprès des équipes métier avec des questions simples. Risques, mesures du plan d'action, contrôles et preuves restent reliés, et des rappels signalent ce qui arrive à échéance. Chaque proposition reste justifiée, condition pour qu'un profil non spécialiste puisse la valider en connaissance de cause.

Par l'export, pas par la page blanche. Ce qui se reprend : le registre des risques, le catalogue des mesures, les preuves déjà collectées et leur rattachement aux référentiels, y compris quand tout cela vit encore dans des tableurs. Nos équipes vous aident à reconstituer ces liens dans Vailor, puis vérifient avec vous que chaque mesure pointe bien vers l'exigence et la preuve attendues, dates de revue comprises. Pour une équipe réduite, le coût réel d'une migration n'est pas technique : c'est le temps de relecture. Le planifier sur un cycle d'audit évite de le chercher dans l'urgence.