Piloter sa conformité sans y consacrer une équipe

Sinplify est une plateforme belge qui lit les politiques et les procédures, montre ce qui est déjà en place et prépare ce qui manque pour tous les référentiels à la fois.

Le temps presse. Nouvelle échéance NIS2 le 18 avril prochain : évaluation de conformité obligatoire ; les entités essentielles auront à démontrer le niveau CyFun Essential, ou une certification ISO/IEC 27001. A défaut, à même date, un plan de mise en conformité ; la preuve vérifiée du niveau « Important » et les mesures pour atteindre « Essential » au 18 avril 2028.

Sinplify réunit toute la démarche NIS2 dans une seule et unique plateforme : documents, référentiels, mais aussi les collègues et le dossier d’audit. En somme, tout l’état d’avancement d’un seul clic. Inutile, dès lors, de consacrer une équipe, a expliqué Valentino Anzalone, co-founder, Sinplify, au cours d’une matinée d’information sur NIS2 dans le secteur hospitalier organisée par Cyber Security Management.

« Qui détient les preuves ? Dans un hôpital, c’est un peu tout le monde. Mais tout un chacun travaille, soigne, opère ; d’autres gèrent achètent… Au final, personne n’a cinq minutes à consacrer au CISO ! »

Sinplify travaille au départ de ce qui existe

La méthode classique s’essouffle à l’hôpital. NIS2, c’est une liste vide de 218 exigences. Chaque ligne se remplit à la main, alors que l’hôpital a déjà des politiques, des contrats et des rapports. « NIS2, c’est une démarche par référentiel : CISO, DPO et responsable de la qualité collectent chacun les mêmes preuves, ce qui veut dire que le même travail est réalisé trois fois ! Et ceux qui savent n’ont pas le temps ; soins, administratif, informatique, infrastructure : chacun détient des preuves, chacun aussi a d’autres priorités. Les preuves sont là, mais elles vieillissent. Une photo annuelle, un tableur mis à jour la veille de l’audit, puis des mois sans visibilité. Résultat : le CISO collecte au lieu d’arbitrer, sur des profils déjà rares. »

Sinplify propose de construire NIS2 de manière autonome. Sinplify est déjà bien implanté dans les hôpitaux belges, avec 4.500 actifs. L’idée ? « Laisser Sinplify piloter votre conformité au départ de ce qui existe déjà ! », résume Anthony Leonardo, co-founder, Sinplify.

Concrètement, le client dépose ce qu’il détient ; une IA européenne intégrée, cloisonnée et sécurisée, lit les documents et indique ce qui manque. Chacun répond en quelques minutes ; une question à la fois, sur téléphone sans compte -tout l’hôpital contribue. Le dossier de l’auditeur se construit preuve après preuve, datée et signée. Le jour J le dossier sort en un clic.

Des réponses à tout un chacun

L’IA tient compte des principaux référentiels : CyFun, ISO 27001, ReCyF, RGPD, HAS et CRA. Il suffit d’une preuve et tout avance. Un test de restauration compte pour tous les référentiels, d’un seul geste. Sinplify c’est aussi un seul outil pour trois métiers : le CISO, le DPO et la qualité suivent leur jauge sur les mêmes preuves.

Chacun trouve réponse. La direction interroge « Suis-je exposé ? », Sinplify lui donne une page et la carte des risques. Le CISO demande « Qui collecte les preuves ? » Sinplify lui apporte une collecte distribuée, fraîchement surveillée, un audit à blanc. Le CISO s’inquiète du nombre de documents ? Sinplify lui propose 36 modèles pré-remplis, versionnés, au logo de l’hôpital. Tous les métiers sont concernés, jusqu’au responsable du biomédical.

En cas d’incident, Sinplify compte les échéances et prépare chaque fiche pour le formulaire du CCB. L’hôpital notifie lui-même. Toute l’équipe peut déclarer, de jour comme de nuit. À la clôture, l’analyse des causes part au bon propriétaire.

Une IA sous contrôle, souveraineté garantie

Une IA européenne lit, une personne nommée décide. Chaque proposition cite le passage exact de son document. Rien ne compte sans la confirmation d’une personne nommée. L’IA ne rédige aucune politique : les modèles sont relus. « Confidentiel » : le document ne part jamais à l’analyse. Enfin, le mode sans IA reste toujours disponible.

Valentino Anzalone insiste sur la souveraineté de la solution : « IA européenne, hébergé en Europe, aucune donnée chez un fournisseur américain, aucun outil d’analyse tiers. Sans citation retrouvée, aucune proposition. Et chaque appel à l’IA est journalisé, jamais son contenu ! »

Quant à la traçabilité, elle est de niveau audit. Preuves scellées, horodatées, avec l’empreinte du contenu, le sceau de l’organisation et le nom de qui a confirmé. Le journal et les preuves confirmées ne se modifient pas, même par les équipes de Sinplify. Enfin, la plateforme est durcie : cloisonnement testé en continu, liens à usage unique, antivirus avant tout stockage.

In fine, résume Anthony Leonardo, ce sont 141 pratiques communes, 54 pratiques communes à CyFun, ISO/IEC 27001 et ReCyF, 6 référentiels, 36 modèles relus, paramétrés, versionnés, au logo de l’établissement, 33 rituels (114 des 141 pratiques entretenues par un rituel), 83 scénarios de risque, dont 9 propres aux hôpitaux.