Q-Secur est un cabinet indépendant, spécialisé dans l'audit et les formations certifiantes, dédié à la sécurité de l'information et à l'intelligence artificielle. Nous accompagnons les organisations des secteurs critiques dans la structuration, l'audit et la certification de leurs systèmes de management (ISO 27001, ISO 42001), la maîtrise des risques et de la conformité réglementaire. Nos experts sont des professionnels de terrain, auditeurs confirmés par des organismes de certification reconnus.
Cette double expertise (audit et formation) s'appuie sur une pratique réelle du terrain, avec plus de 1000 jours d'audit menés dans le cadre de plus de 200 missions, de la très petite entreprise aux donneurs d'ordre mondialement reconnus. Notre ancrage est européen, avec une présence principalement en France, au Portugal et en Belgique, ce qui nous permet de suivre au plus près les transpositions nationales et les attentes des autorités de chaque pays. Nos qualifications sont attestées par des organismes de certification accrédités.
Auditeur tierce partie auprès des organismes Bureau Veritas, Intertek, DNV et BSI Group, Frédéric totalise 1000+ jours d'audit auprès de grands comptes et d'institutions européennes. Formateur certifié auprès de TRECCERT, il a participé à la conception du cours ISO 42001 en e-learning, dont il présente les vidéos. Il intervient en France, au Portugal et en Belgique, sur les schémas de sécurité de l'information comme sur les référentiels sectoriels, incluant la directive NIS 2 et la certification HDS (données de santé). Son positionnement est particulièrement fort dans le secteur aérospatial, avec une double compétence couvrant le référentiel EN 9100 et le règlement PART-IS.
Notre approche repose sur quatre valeurs fondamentales.
Nos auditeurs sont qualifiés sur les schémas les plus exigeants, auprès d'organismes de certification accrédités. Ces qualifications ne sont pas acquises une fois pour toutes. Le référentiel ISO 19011 (dans sa version 2026) est consacré à la compétence et à l'évaluation des auditeurs. Il impose une évaluation initiale stricte selon des critères définis, puis leur maintien par des évaluations régulières et par l'observation en situation d'audit, réalisée par les organismes eux-mêmes.
Nos qualifications s'accompagnent d'une expérience significative, acquise au fil de 200+ missions et 1000+ jours d'audit. Nous auditons des start-up et de très petites structures, des PME (notre terrain le plus fréquent), ainsi que de grands groupes mondialement reconnus.
La clause 9.2 des référentiels ISO 27001 et ISO 42001 impose à toute organisation de conduire ses audits de manière à garantir l'objectivité et l'impartialité du processus. Un auditeur ne peut donc pas évaluer un périmètre dont il est lui-même partie prenante, voire responsable. Cette exigence s'applique d'abord à nous. Nous n'intervenons que sur des périmètres où nous pouvons rester pleinement indépendants, et déclinons les missions où elle n'est pas satisfaite.
L'ISO 19011 en fait l'un de ses principes d'audit, celui qui fonde l'impartialité de la démarche et l'objectivité de ses conclusions. Elle en fait aussi un critère de composition des équipes. Nous déclarons tout lien préexistant avant d'accepter un mandat et n'auditons jamais, à des fins de certification, un système sur lequel nous serions intervenus en conseil.
Auditer un système de management, c'est accéder par construction au savoir-faire d'une organisation, à ses secrets industriels et commerciaux, à des informations stratégiques, à des données personnelles et parfois même à des données de santé. Le principe de confidentialité de l'ISO 19011 couvre ces informations pendant la mission mais également bien après sa clôture.
En pratique, nous encourageons la signature d'un accord de confidentialité, un NDA, avant même le premier échange de documents. Les audits à distance se tiennent sur des outils sécurisés, et nous n'acceptons aucun transfert de pièces par des services grand public. Les échanges sont chiffrés, les preuves d'audit restituées ou détruites à la clôture. C'est un engagement fort, et un argument de confiance pour nos clients.
La pratique de l'audit donne une vision large de ce qui fonctionne et de ce qui ne fonctionne pas. Nous voyons des systèmes qui tiennent en quelques dizaines de pages et qui vivent réellement, et d'autres qui pèsent des classeurs entiers et que personne n'applique. Cette expérience est ce que nous mettons à votre disposition, avant même nos constats.
Nous privilégions des solutions pragmatiques, mais complètes et efficaces. Un dispositif allégé qui laisserait une exigence sans réponse ne serait pas pragmatique, il serait incomplet. Simplifier reste souhaitable partout où c'est possible, car un système simple est un système que les équipes appliquent. C'est aussi la logique de l'approche par les risques de l'ISO 19011, porter l'effort là où l'enjeu est réel.
Nous intervenons dans les secteurs les plus exposés et les plus réglementés. Les contraintes diffèrent naturellement d'un secteur à l'autre, mais l'exigence reste identique, assurer que l'information confiée est protégée.
Compteurs, automates et outils de gestion échangent en continu, sur les mêmes infrastructures. L'équilibrage production consommation et la détection d'anomalies passent à l'IA. Si le modèle se trompe, la conséquence n'est pas seulement informatique. Une mauvaise estimation de la consommation ou une manœuvre erronée déséquilibre le réseau, avec un risque de coupure, voire de black out. NIS 2 classe le secteur parmi les entités essentielles, avec l'obligation de gérer les risques et de notifier les incidents. L'ISO 27019 décline pour les métiers de l'énergie les mesures de sécurité attendues sur ces installations, et l'ISO 42001 encadre les modèles qui pilotent désormais une partie de la conduite. La mise en œuvre d'une certification ISO 27001 apporte la preuve que ces risques sont maîtrisés. L'audit porte alors en priorité sur les accès distants, la séparation des réseaux et la conduite des installations.
Un examen d'imagerie est produit en salle, versé au dossier patient informatisé puis le plus souvent archivé chez un hébergeur certifié. Chaque interface entre ces systèmes, chaque dispositif biomédical connecté et chaque accès prestataire élargit la surface d'attaque. Une donnée de santé compromise échappe définitivement au contrôle de l'établissement. L'IA s'installe dans l'aide au diagnostic et le tri des patients, et sans évaluation d'impact ni surveillance continue, un modèle reproduit les biais de ses données d'entraînement. Le régulateur exige des mesures à la hauteur de la sensibilité des données et NIS 2 range le secteur parmi les entités essentielles. L'hébergement de données de santé demande en France une certification HDS construite sur le socle du référentiel ISO 27001. L'audit porte alors en priorité sur les accès aux dossiers, les échanges avec les tiers et l'hébergement.
Cœur de réseau, systèmes d'exploitation et de facturation, interconnexions et accords d'itinérance forment un ensemble accessible par de nombreux acteurs. Une faille chez un équipementier gagne rapidement la production, et l'indisponibilité se traduit par des clients injoignables et des appels urgents perdus. La détection d'anomalies et la réponse aux incidents passent à des modèles, souvent fournis par des tiers. NIS 2 classe le secteur parmi les entités essentielles, avec des exigences fortes sur la chaîne d'approvisionnement et la notification. L'ISO 27011 décline les mesures attendues chez les opérateurs, et l'ISO 42001 apporte le cadre de gouvernance des modèles utilisés en supervision. La certification ISO 27001 devient alors le langage commun avec les clients comme avec les autorités. L'audit porte alors en priorité sur la supervision, les fournisseurs et la continuité du service.
Trains, avions, navires et flottes routières dépendent de systèmes en fonctionnement permanent. Signalisation, contrôle du trafic, systèmes portuaires et maintenance des aéronefs échangent en continu avec les centres d'exploitation et les prestataires. La planification des flux et la maintenance prédictive passent par l'IA et NIS 2 classe le secteur parmi les entités essentielles. L'aviation civile applique le règlement PART-IS, qui impose de gérer les risques de sécurité de l'information pouvant affecter la sécurité des vols. Le ferroviaire s'appuie sur la spécification technique CLC/TS 50701, déclinaison des exigences industrielles au matériel roulant, à la signalisation et aux installations fixes. La mise en œuvre d'une certification ISO 27001 apporte une charpente commune à ces exigences. L'audit porte alors en priorité sur les accès distants, la maintenance et les échanges avec les prestataires.
Les procédés sont pilotés depuis des salles de contrôle reliées au réseau de l'entreprise. Les laboratoires travaillent sur des plateformes partagées avec les partenaires et les sous-traitants. Les formulations et paramètres de procédé circulent sur des systèmes ouverts. L'optimisation et la recherche de molécules passent à l'apprentissage automatique. Les jeux de données et les modèles deviennent le vrai secret industriel. La concurrence est forte. NIS 2 classe le secteur parmi les entités importantes, avec l'obligation de gérer les risques et de notifier les incidents. Les donneurs d'ordre, eux, auditent leur chaîne de valeur et cherchent à sécuriser données et modèles. La mise en œuvre des certifications ISO 27001 et ISO 42001 répond à ces questions. L'audit se concentre alors essentiellement sur les accès, les échanges avec les tiers et la protection des données de procédé.
La chaîne de sous-traitance est numériquement continue, du donneur d'ordre au fournisseur de rang 3, et c'est par le maillon le plus faible que le risque se concrétise. Plans, environnements de conception et outils de production sont partagés. L'essor des drones ajoute ses propres flux à protéger, des liaisons de commande aux données de mission et de vol. L'IA entre dans l'analyse, la surveillance et l'aide à la décision. Deux questions deviennent incontournables, la souveraineté sur les données et les modèles, et le maintien d'un contrôle humain réel. Les donneurs d'ordre transmettent leurs exigences par contrat. Le référentiel ISO 27001 est souvent devenu une condition d'accès aux marchés. Il démontre, de façon indépendante, que les informations confiées sont protégées. L'audit porte en priorité sur les échanges avec les partenaires et sur la traçabilité de ce qui est transmis.
Des audits indépendants, du diagnostic à la certification, y compris dans des contextes complexes impliquant une certification partielle ou des sites multiples. Chaque mission est conduite par un auditeur qualifié auprès d'organismes de certification accrédités, selon les mêmes règles que celles appliquées lors d'un audit de certification.
Avant d'entrer dans une démarche de certification, il est important de mesurer l'écart réel entre votre organisation et les exigences du référentiel. Le diagnostic joue ce rôle, sans enjeu de résultat. Il vous donne une carte, une estimation de charge et un ordre de priorité. C'est le moment où corriger coûte le moins cher. L'intervention se déroule comme un échange de bonnes pratiques, ce qui permet à vos équipes de poser librement les questions qu'elles n'oseraient pas poser en audit de certification. Un plan d'action structuré, hiérarchisé et chiffré en charge fait partie des livrables et est mis à disposition de votre chef de projet.
L'audit interne est exigé par la clause 9.2 des référentiels, mais il est surtout votre outil de pilotage. Beaucoup d'organisations nous le confient par manque de temps, ou pour garantir l'objectivité sur des périmètres où leurs équipes seraient juges et parties. Nous le conduisons avec la même rigueur que si votre certificat en dépendait. Vous recevez un livrable détaillé et structuré, qui met en évidence vos forces autant que vos faiblesses, distingue les écarts avérés des pistes d'amélioration et situe chaque constat par rapport à l'exigence concernée. Ce document sert directement de matière à la revue de direction et à la préparation de l'audit de certification.
Vos fournisseurs et sous-traitants portent une partie de votre risque, et vos exigences contractuelles ne valent que si quelqu'un va les vérifier sur place. L'audit de seconde partie évalue un prestataire pour votre compte, sur le périmètre qui vous concerne. Cette assurance devient déterminante, car une part croissante de vos informations sensibles est traitée, hébergée ou simplement consultée en dehors de vos murs. Il s'agit de vérifier que vos prestataires les protègent avec la même rigueur que vous, en appliquant réellement les bonnes pratiques de sécurité, du contrôle des accès à la gestion des incidents, et pas seulement en s'y engageant par contrat.
C'est l'audit de certification, conduit sur mandat d'un organisme accrédité. Nous y intervenons comme auditeurs qualifiés, et jamais chez un client que nous aurions accompagné par ailleurs. Savoir exactement comment cet audit se prépare, se déroule et se conclut est précisément ce qui donne leur valeur aux trois interventions précédentes. Nous sommes qualifiés et intervenons en audit tierce partie sur les référentiels ISO 27001, ISO 27701 et/ou HDS auprès des organismes Bureau Veritas (France, Portugal), Intertek et BSI Group. Chaque mission suit les règles de l'ISO/IEC 17021-1, qui encadre l'impartialité des organismes de certification et la conduite de leurs audits.
Nos audits intègrent les transpositions nationales de NIS 2 (France, Portugal, Belgique).
Des parcours majoritairement certifiants et sur mesure, conçus et animés par un auditeur tierce partie, disponibles en présentiel, en classe virtuelle à distance ou en mode e-learning ou self-learning. Chacun inclut sur demande ½ journée d'accompagnement personnalisé dédiée à la préparation à l'examen et aux réponses à vos principales questions dans le cadre de vos activités. Nos formations, en inter comme en intra-entreprise, sont reconnues et recueillent d'excellents retours. Des références peuvent être communiquées sur demande.
L'édition 2026 du référentiel d'audit vient de paraître et remet la formation des auditeurs plus expérimentés au premier plan. Le parcours proposé couvre les principes de l'audit, le comportement attendu de l'auditeur, la gestion d'un programme d'audit et le déroulement complet d'une mission, pour 8 heures de formation et autant de points CPD. Une place particulière est faite à l'audit hybride et aux compétences numériques attendues de l'auditeur. C'est un essentiel pour les auditeurs de certification qui souhaitent mettre leurs connaissances à jour, y compris dans le cadre des exigences de l'IAQG.
Pour en savoir plus
Ce parcours couvre l'intégralité du référentiel, les principes de l'audit, le comportement attendu de l'auditeur, la gestion d'un programme d'audit et le déroulement d'une mission de bout en bout, pour 24 heures de formation et autant de points CPD. Il mène à la certification ISO 19011 Lead Auditor, obtenue suite à un examen de 150 questions et valable durant 3 ans. Nous l'animons en présentiel, en classe virtuelle et en mode self-learning, en l'illustrant de situations réelles rencontrées en audit tierce partie. Elle s'adresse aux auditeurs internes comme aux auditeurs de certification, la certification demandant 2 années d'expérience.
Pour en savoir plus
Dire que l'on est sérieux en sécurité de l'information ne suffit plus, parler la langue de l'ISO 27001 est la manière reconnue de le démontrer. TRECCERT propose 3 niveaux de certification sur cette norme (Practitioner, Lead Implementer, Lead Auditor), adossés à une accréditation ANAB. Les certificats sont valables durant 3 ans et se construisent au fur et à mesure que votre expérience grandit. Nous concevons et animons ces sessions en tant que formateur certifié TRECCERT, incluant ½ journée d'accompagnement personnalisé consacrée à la préparation de l'examen et à vos questions de terrain.
Pour en savoir plus
La gestion des risques est le point de départ de tout SMSI. C'est d'elle que découlent la déclaration d'applicabilité, le choix des mesures et le plan de traitement. C'est pourtant ce qu'un auditeur voit le plus souvent minimisé, voire négligé. Nous recommandons ce parcours aux organisations qui s'apprêtent à mettre en place un SMSI comme à celles qui avancent vers une certification. Nous l'animons en complément du parcours ISO 27001, et pouvons le prolonger par un accompagnement personnalisé à la mise en place de votre analyse de risques.
Pour en savoir plus
Ce parcours s'adresse aux organisations qui développent des outils d'IA comme à celles qui en font un usage significatif, là où les choix techniques deviennent inséparables des questions éthiques. TRECCERT propose 3 niveaux de certification (Practitioner, Lead Implementer, Lead Auditor), adossés à une accréditation ANAB. Nous avons contribué de façon significative à ce parcours, notamment au cours en e-learning dont nous présentons les vidéos et qui fourmille d'exemples concrets, précieux sur une norme si récente. Nous les animons aussi en présentiel et en classe virtuelle.
Pour en savoir plus
Le délai de transposition est dépassé et la directive produit ses effets à travers les lois nationales, en Belgique depuis octobre 2024 et au Portugal depuis avril 2026, la France achevant son dispositif réglementaire. TRECCERT propose 2 parcours dans ce sens, NIS2 Essentials et NIS2 Practitioner. Nous les animons et les replaçons dans votre contexte, votre classement en entité essentielle ou importante, les obligations concrètes de gestion des risques et de notification, la responsabilité des dirigeants, et les échéances qui vous concernent réellement.
Pour en savoir plus
Le règlement européen sur l'intelligence artificielle s'applique par étapes, les interdictions et l'obligation de maîtrise de l'IA depuis février 2025, les modèles à usage général depuis août 2025, et l'essentiel du dispositif depuis août 2026. Les principales échéances sont donc derrière nous et chaque organisation doit désormais savoir où elle se situe. Une journée d'introduction, structurée pour clarifier les obligations qui vous incombent, la classification des systèmes par niveau de risque et votre position de fournisseur ou de déployeur.
Pour en savoir plus
Aboutissement d'une longue collaboration, ce partenariat prend enfin forme. Nos interventions couvrent l'ISO 27001, l'ISO 27005, l'ISO 42001, NIS 2 et les essentiels de la nouvelle édition de l'ISO 19011. Les certifications délivrées par TRECCERT sont accréditées par l'ANAB, un réel gage de reconnaissance internationale ! Lire l'annonce
Publiée le 27 mai 2026, la quatrième édition remplace celle de 2018. Elle reste la référence pour conduire un audit de système de management, du programme d'audit jusqu'à la compétence des auditeurs. Nos pratiques et nos supports sont alignés sur cette version, et nos nouvelles formations certifiantes permettent d'accumuler des points CPD. Consultez notre page Formations.
Les deux textes s'articulent étroitement. Le règlement fixe des obligations selon le niveau de risque des systèmes, la norme fournit le système de management qui permet de les tenir dans la durée. Gouvernance, appréciation des risques, documentation et surveillance, l'ISO 42001 structure précisément ce que l'IA Act exige. Un seul dispositif suffit donc pour répondre aux deux.
Cela dépend de votre taille, de votre secteur et de vos dépendances vis à vis de vos fournisseurs. Votre classement en entité essentielle ou importante détermine ensuite l'ampleur des obligations, les délais de notification des incidents et la responsabilité des dirigeants. Nous faisons le point pays par pays, avec les transpositions française, portugaise et belge. Contactez nous !
Un règlement s'applique directement dans tous les États membres, sans texte national. C'est le cas de l'IA Act et du PART-IS en aviation. Une directive, elle, doit être transposée par chaque pays, d'où les écarts de calendrier de NIS 2 entre la France, le Portugal et la Belgique. Connaître la nature du texte, c'est savoir où trouver vos obligations et quand elles s'imposent.
