Politique de sécurité de l’information

Version abrégée destinée à la publication sur le web

Code du document	PO-001
Révision	2.0
Date d’approbation	21/07/2026
Dernière mise à jour	21/07/2026
Classification	Usage public

1. Introduction

La Direction d’EVENBYTES S.L. considère que le système d’information qui soutient l’exercice de ses activités constitue un actif fondamental.

Compte tenu de l’impact de ce système sur le développement et la fourniture des services, EVENBYTES maintient un engagement ferme en faveur de la protection de ses actifs les plus importants. Cet engagement s’inscrit dans une stratégie axée sur la continuité d’activité, la gestion des risques et le renforcement d’une solide culture de la sécurité de l’information.

La satisfaction de nos clients et la confidentialité de l’information sont la pierre angulaire de notre politique.

Cadre de sécurité intégrale

EVENBYTES a mis en place, exploite et maintient un Cadre de sécurité intégrale, aligné sur les exigences de la norme UNE-ISO/IEC 27001:2023, de l’Esquema Nacional de Seguridad (ENS, schéma national de sécurité espagnol) conformément au Real Decreto 311/2022, et de la directive NIS2, garantissant la gestion des risques, la résilience et la continuité du service.

Ce cadre repose sur les principes clés suivants :

• Approche fondée sur les risques : gestion systématique et proactive des menaces et des vulnérabilités, assurant une défense en profondeur face aux cybermenaces.
• Conformité réglementaire : conformité à l’ISO 27001, à l’ENS et à la directive NIS2, ainsi qu’aux exigences légales et réglementaires applicables.
• Amélioration continue de la cybersécurité : résilience organisationnelle grâce à la supervision, à l’audit et à la mise à jour constante des contrôles de sécurité.
• Renforcement de la sécurité de la chaîne d’approvisionnement : les tiers sont tenus de respecter des normes de sécurité équivalentes.

2. Périmètre

L’organisation établit la présente Politique de sécurité de l’information pour les systèmes d’information et les services essentiels d’EVENBYTES relevant du champ d’application de l’ISO 27001, de l’Esquema Nacional de Seguridad (ENS) et de la directive NIS2.

Les systèmes d’information qui soutiennent les services/activités suivants :

• Développement, mise en œuvre, installation, maintenance et support d’applications, de systèmes informatiques et de produits propres faisant l’objet de contrats avec des entreprises privées, des administrations publiques et des organismes publics
• Développement de logiciels dans le cloud
• Projets de données (ingénierie des données, informatique décisionnelle et intelligence artificielle)
• Gestion documentaire
• Transformation numérique
• Optimisation des processus
• ORIGAMEE, Metadrive, Drivewatcher
• Revente de licences Google

Le périmètre de la présente politique s’applique à l’ensemble des systèmes d’information, processus et activités d’EVENBYTES qui soutiennent les services susmentionnés, sans aucune limitation. Il s’étend également à l’ensemble des employés et des parties intéressées, qui doivent respecter les principes de sécurité de l’information, les procédures opérationnelles ainsi que les exigences légales et réglementaires applicables.

3. Cadre réglementaire

EVENBYTES s’engage à respecter l’ensemble de la réglementation applicable à son activité, y compris la législation générale et spécifique en matière de sécurité de l’information, de cybersécurité et de protection des données.

Réglementation nationale (Espagne)

• Real Decreto 311/2022 du 3 mai : régit l’Esquema Nacional de Seguridad (ENS).
• Ley Orgánica 3/2018 du 5 décembre : protection des données personnelles et garantie des droits numériques (LOPDGDD).
• Real Decreto-ley 12/2018 du 7 septembre : sécurité des réseaux et des systèmes d’information.
• Real Decreto 43/2021 du 26 janvier : mesures de cybersécurité et obligations de notification des incidents.
• Guides CCN-STIC (série 800) : recommandations du Centro Criptológico Nacional (Centre cryptologique national) pour la mise en œuvre de l’ENS.

Réglementation européenne

• Directive (UE) 2022/2555 (NIS2) : exigences de sécurité pour les opérateurs de services essentiels et les entreprises des secteurs stratégiques.
• Règlement (UE) 2016/679 (RGPD) : protection des données personnelles dans l’Union européenne.
• Règlement (UE) 2019/881 (règlement sur la cybersécurité) : cadre de certification de cybersécurité des TIC.
• Règlement (UE) 2690/2024 : modalités d’application de la directive NIS2 en matière de gestion des risques de cybersécurité.

4. Rôles : fonctions et responsabilités

4.1. Responsable de l’information

Le Responsable de l’information est chargé de définir les exigences de sécurité applicables aux informations traitées dans les systèmes de l’organisation, en veillant à leur classification adéquate, à leur protection et à leur conformité réglementaire.

4.2. Responsable du service

Le Responsable du service définit et supervise les exigences de sécurité des services fournis, en garantissant leur résilience et leur alignement sur l’ENS et la directive NIS2.

4.3. Responsable de la sécurité / SMSI

Le Responsable de la sécurité garantit l’application des mesures de sécurité définies tant dans l’Annexe normative A (UNE-ISO/IEC 27002:2023) que dans l’Annexe II de l’ENS, en supervisant leur mise en œuvre et en assurant leur alignement sur la directive NIS2. Il gère le Registre des incidents et des risques, coordonne la réponse aux cyberincidents et notifie les incidents graves au CCN-CERT ou à l’INCIBE dans un délai maximal de 24 heures à compter de leur détection.

4.4. Responsable du système

Le Responsable du système est chargé de gérer et de superviser le cycle de vie du système d’information, en veillant à son alignement sur les mesures de sécurité de l’ISO 27001, de l’ENS (RD 311/2022) et de la directive NIS2. Les mises à jour critiques seront appliquées dans un délai maximal de 30 jours à compter de leur publication.

5. Gestion des vulnérabilités

EVENBYTES mettra en place un processus continu de détection, d’analyse et de gestion des vulnérabilités de ses systèmes d’information, au moyen d’outils tels que SonarQube, Jenkins et Nessus, ainsi que de tests d’intrusion fondés sur des référentiels reconnus (OWASP, MITRE ATT&CK). Des revues seront réalisées chaque trimestre.

Délais de correction

Criticité	Délai maximal de correction	Notification interne
Critique	30 jours	24 heures
Élevée	60 jours	48 heures
Moyenne / faible	90 jours	—

En cas de vulnérabilités critiques susceptibles de compromettre la sécurité de l’organisation, EVENBYTES en informera les autorités compétentes (CCN-CERT ou INCIBE) conformément à la directive NIS2 et au RD 311/2022.

6. Données à caractère personnel

EVENBYTES traite des données à caractère personnel et tient un registre des activités de traitement, accessible uniquement aux personnes autorisées. Ce registre recense les traitements effectués, les données concernées et les responsables de leur gestion.

L’ensemble des systèmes d’information d’EVENBYTES respecteront les niveaux de sécurité exigés par la réglementation en vigueur afin de garantir la confidentialité, l’intégrité et la disponibilité des données personnelles, conformément au RGPD, à la LOPDGDD et aux mesures prévues par l’ENS.

EVENBYTES dispose d’un Délégué à la protection des données (DPD/DPO), dont la mission est de garantir le respect de la réglementation en matière de protection des données personnelles. Le DPD/DPO est le point de contact avec l’Agencia Española de Protección de Datos (AEPD, autorité espagnole de protection des données).

7. Obligations du personnel

Tous les collaborateurs d’EVENBYTES sont tenus de connaître et de respecter la présente Politique de sécurité de l’information. Un programme continu de sensibilisation à la sécurité de l’information sera mis en place à l’intention de tous les membres d’EVENBYTES, avec une attention particulière portée aux nouveaux employés.

Le personnel chargé de l’utilisation, de l’exploitation ou de l’administration de systèmes TIC relevant du périmètre de l’ENS devra suivre une formation spécifique à la sécurité avant d’assumer ses responsabilités.

8. Tiers

Les tiers qui accèdent aux systèmes d’EVENBYTES ou qui gèrent des informations de l’organisation doivent respecter des exigences de sécurité équivalentes à celles définies par l’ENS et la directive NIS2. À cet effet, ils devront :

• Signer des accords de confidentialité et de protection de l’information, garantissant le respect de la réglementation applicable.
• Appliquer des mesures de sécurité alignées sur l’ISO 27001, l’ENS et la directive NIS2, notamment des contrôles techniques, organisationnels et de gestion des risques appropriés.
• Se soumettre à des audits périodiques, le cas échéant, afin de vérifier leur alignement sur les mesures de sécurité exigées.

9. Historique des révisions

La présente Politique sera révisée au moins une fois par an, ou chaque fois que surviennent des changements réglementaires, technologiques ou stratégiques ayant une incidence sur la sécurité de l’information.

Révision	Date	Motif de la modification
1.0	17/09/2025	Création du document
2.0	21/07/2026	Mise à jour et approbation du document

La Direction veille à ce que la Politique de sécurité de l’information soit comprise, mise en œuvre et tenue à jour à tous les niveaux de l’Organisation.

Fait à Santander, le 21 juillet 2026

Signé : Jacinto Antonio Pelayo · CEO · Evenbytes S.L.