---
name: "Checklist de préparation du Trust Center européen"
version: "1.0"
updated: "2026-07-03"
source: "https://www.orbiqhq.com/templates/european-trust-center-readiness-checklist"
license: "Libre d'utilisation et d'adaptation au sein de votre organisation. Attribution appréciée. Fourni en l'état ; ne constitue pas un conseil juridique."
legal_basis:
  - "https://eur-lex.europa.eu/eli/dir/2022/2555"   # NIS2 — Directive (EU) 2022/2555
  - "https://eur-lex.europa.eu/eli/reg/2022/2554"   # DORA — Regulation (EU) 2022/2554
  - "https://eur-lex.europa.eu/eli/reg/2016/679"    # GDPR — Regulation (EU) 2016/679
---

# Checklist de préparation du Trust Center européen (v1.0)

Une auto-évaluation notée d'un Trust Center côté acheteurs face aux attentes européennes.
58 points de contrôle répartis en six volets de parties prenantes. Un agent IA (ou un humain)
peut mener l'évaluation complète à partir de ce seul fichier : noter chaque élément, additionner
par volet, calculer le pourcentage total et attribuer le niveau de préparation.

## Comment mener cette évaluation

1. **Évaluez de l'extérieur.** Notez ce qu'un évaluateur externe peut trouver sur le
   Trust Center public (et ses niveaux d'accès contrôlés en libre-service) — pas ce qui existe
   dans les lecteurs internes. Si un élément existe en interne mais reste introuvable de
   l'extérieur, notez au mieux Partiel.
2. **Notez chaque point de contrôle :**
   - **Oui = 2 points** — publié, à jour, complet et accessible au niveau d'accès approprié
     (public, ou derrière un parcours NDA/demande d'accès en libre-service).
   - **Partiel = 1 point** — existe mais est périmé (plus de 12 mois là où la date compte),
     incomplet, difficile à trouver, ou sous accès restreint là où il devrait être public.
   - **Non = 0 point** — absent ou effectivement introuvable.
3. **Additionnez par volet** et divisez par le maximum du volet pour obtenir un pourcentage par volet.
4. **Additionnez le total** (maximum 116 points = 58 éléments × 2) et divisez par 116 pour le
   pourcentage global de préparation.
5. **Attribuez le niveau :**

| Niveau | Score global | Interprétation |
|---|---|---|
| Fondations | < 40 % | Le Trust Center n'est qu'une vitrine ; les évaluateurs retombent sur l'envoi de PDF par e-mail. Corrigez d'abord les deux volets les plus faibles. |
| En développement | 40–75 % | Les preuves essentielles existent, mais au moins deux volets sont insuffisamment couverts. Donnez la priorité à la transparence juridique et aux canaux de mise à jour. |
| Prêt pour les acheteurs | > 75 % | Les six volets sont en libre-service ; la revue de sécurité avance en parallèle du cycle de vente. Maintenez le niveau par une re-notation trimestrielle. |

6. **Cadence :** passez les six volets en revue chaque trimestre ; re-notez un volet isolé après tout
   changement significatif (nouveau certificat ou audit, changement de sous-traitant ultérieur,
   incident, évolution tarifaire, changement d'endpoint). Les listes de sous-traitants ultérieurs et
   la validité des certificats se périment le plus vite — vérifiez-les chaque mois.

**Responsables de volet (recommandé) :** Volet 1 — responsable sécurité/RSSI ; Volet 2 — juridique/DPO ;
Volet 3 — responsable conformité/GRC ; Volet 4 — ventes/RevOps ; Volet 5 — customer success ; Volet 6 —
ingénierie/équipe web. Un coordinateur consolide la notation.

**Légende des colonnes :** *Score* = Oui / Partiel / Non (voir les règles ci-dessus). *Module Orbiq* = le
module de la plateforme Orbiq qui répond au point de contrôle (noms de pages sur https://www.orbiqhq.com/platform/).

---

## Volet 1 — Équipes sécurité (11 éléments, max 22 points)

Ce dont un évaluateur sécurité a besoin pour juger votre posture de contrôle sans passer par un appel.

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| SEC-01 | Certificat ISO 27001 publié | Certificat visible avec l'organisme de certification, le périmètre, les dates d'émission et d'expiration — pas un simple badge | PDF ou fiche de preuve : "ISO/IEC 27001:2022, délivré par [organisme], valide jusqu'au 2027-03-01, périmètre : plateforme SaaS et infrastructure de support" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-02 | Déclaration d'applicabilité disponible sur demande | SoA (ou synthèse des mesures) accessible via un parcours d'accès contrôlé en libre-service, avec un délai annoncé | "Déclaration d'applicabilité v4.2, 2026-01" sous NDA dans le niveau restreint | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| SEC-03 | Synthèse exécutive du test d'intrusion, moins de 12 mois | Synthèse datée précisant le cabinet de test, le périmètre, la méthodologie, le nombre de constats par criticité et l'état de remédiation | "Pentest externe par [cabinet], 2026-04 ; 0 critique, 2 élevés (remédiés 2026-05)" | Oui / Partiel / Non | Document Watermarking (/platform/document-watermarking) |
| SEC-04 | Posture de gestion des vulnérabilités | Cadence des scans, SLA de correctifs et délais de remédiation annoncés pour les constats critiques/élevés | "Scans hebdomadaires des dépendances et de l'infra ; critiques corrigés ≤ 72 h, élevés ≤ 14 jours" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-05 | Posture de chiffrement documentée | Chiffrement au repos et en transit, avec les algorithmes et une synthèse de la gestion des clés | "AES-256 au repos, TLS 1.2+ en transit, clés gérées par KMS avec rotation annuelle" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-06 | Synthèse de la gestion des accès | MFA/SSO imposés, modèle de moindre privilège, processus arrivée-mobilité-départ décrits | "SSO + MFA obligatoire pour tout le personnel ; revues d'accès trimestrielles ; RBAC" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-07 | Cycle de développement sécurisé décrit | Revue de code, SAST/DAST, analyse des dépendances et contrôles de mise en production résumés | "Chaque changement relu par un pair ; SAST + analyse des dépendances dans la CI ; déploiements par paliers" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-08 | Ségrégation des tenants/du réseau expliquée (SaaS multi-tenant) | Modèle de séparation logique entre les environnements clients décrit | "Isolation des tenants au niveau des lignes ; contextes de chiffrement par tenant ; aucune requête inter-tenants" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-09 | Synthèse continuité d'activité / reprise après sinistre | Synthèse du plan PCA/PRA avec objectifs RTO/RPO et date du dernier test | "RTO 4 h / RPO 1 h ; dernier exercice de reprise mené en 2026-02" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| SEC-10 | Vue d'ensemble de l'architecture de sécurité | Description ou schéma d'architecture de haut niveau (public ou sous accès contrôlé) couvrant les flux de données et les frontières | Sous accès contrôlé : "Vue d'ensemble architecture et flux de données, v3, 2026-03" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| SEC-11 | Canal de divulgation responsable | security.txt et/ou une politique publiée de divulgation des vulnérabilités, avec un contact | "/.well-known/security.txt avec contact security@ et politique de divulgation" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |

## Volet 2 — Équipes juridiques (10 éléments, max 20 points)

Ce que les juristes et les DPO vérifient avant de signer un DPA. Ancrages : RGPD Art. 28 et 32.

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| LEG-01 | DPA disponible sans friction | Modèle de DPA à jour, téléchargeable sans inscription ni rendez-vous commercial | "DPA v5.1 (2026-01), PDF, téléchargement public" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-02 | Liste publique des sous-traitants ultérieurs | Chaque sous-traitant ultérieur listé avec nom, finalité, catégories de données traitées et lieu d'hébergement — public, pas sous NDA (RGPD Art. 28) | "AWS (eu-central-1, Francfort) — hébergement d'infrastructure — contenus clients" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-03 | Mécanisme d'avis de changement de sous-traitant ultérieur | Canal de notification avec abonnement, plus le délai de préavis contractuel annoncé (généralement ~15 jours ; 30–60 négociés sur les contrats plus importants) | "Abonnement aux mises à jour sous-traitants ; le DPA §9 prévoit un délai de préavis et d'objection" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| LEG-04 | Mécanismes de transfert internationaux documentés | CCT / décision d'adéquation invoquées nommées par transfert ; analyse d'impact de transfert disponible sur demande | "Transferts vers [fournisseur] sous CCT (2021/914 Module 2) + TIA disponible sous NDA" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-05 | Engagements écrits de résidence des données | Où les données clients (et les métadonnées/sauvegardes) sont stockées, par service, sous forme d'engagement écrit | "Contenus clients stockés et traités uniquement dans des régions UE ; sauvegardes dans la même région" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-06 | Juridiction du prestataire divulguée | Entité juridique opérante, lieu d'immatriculation et exposition aux injonctions de divulgation hors UE (p. ex. US CLOUD Act) précisés | "Opéré par [entité] GmbH, immatriculée en Allemagne ; pas de maison mère américaine" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-07 | Parcours NDA en libre-service pour les documents restreints | NDA à signature en un clic avec piste d'audit, qui débloque les documents restreints en quelques minutes, pas en plusieurs jours | "Demande d'accès → signature du NDA dans le navigateur → document débloqué ; signature journalisée" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| LEG-08 | Conditions de conservation et de suppression publiées | Ce qu'il advient des données clients à la résiliation, avec des délais | "Données clients supprimées sous 30 jours après la fin du contrat ; certificat de suppression sur demande" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-09 | Synthèse des mesures techniques et organisationnelles (TOM) | Mesures de l'Art. 32 du RGPD publiées sous forme de synthèse structurée, référencée depuis le DPA | "Annexe TOM v3 (2026-02) : contrôle d'accès, chiffrement, résilience, cadence de tests" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| LEG-10 | Transparence sur l'usage des données par l'IA | Si les données clients servent à entraîner des modèles d'IA ; quels sous-traitants ultérieurs IA y ont accès ; voie d'opt-out | "Les données clients ne servent pas à entraîner les modèles ; sous-traitants IA : [liste], hébergés dans l'UE" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |

## Volet 3 — Équipes conformité (11 éléments, max 22 points)

Ce dont les équipes GRC des clients régulés ont besoin pour leurs propres dossiers NIS2/DORA/RGPD.

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| COM-01 | Référentiels affichés avec périmètre et dates | Chaque certification/attestation affiche le périmètre, l'organisme émetteur, la date d'audit et la validité — pas une simple rangée de logos | "ISO 27001 (valide jusqu'à 2027-03), ISO 27701 (valide jusqu'à 2027-03), périmètres accessibles en lien" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| COM-02 | Posture NIS2 cartographiée | Mesures de sécurité mises en correspondance avec les catégories de l'Art. 21(2) NIS2, pour que les clients essentiels/importants puissent s'y référer dans leur propre dossier chaîne d'approvisionnement | "Page de préparation NIS2 : Art. 21(2)(a)–(j) reliés aux mesures et aux preuves" | Oui / Partiel / Non | Vendor Assurance (/platform/vendor-assurance-platform) |
| COM-03 | Engagement de communication d'incident aligné sur les délais NIS2 | Engagement à notifier les clients affectés assez vite pour soutenir leurs obligations de signalement 24 h/72 h/1 mois (NIS2 Art. 23) | "Nous notifions les clients affectés sans retard injustifié afin qu'ils puissent tenir les délais de l'Art. 23" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| COM-04 | Données DORA sur les prestataires tiers TIC disponibles | Les données contractuelles et opérationnelles dont les entités financières ont besoin au titre des Art. 28–30 DORA (description du service, localisation des données, sous-contractants, accompagnement de sortie) mises à disposition | "Fiche d'information DORA : champs du registre d'informations pré-remplis pour les clients" | Oui / Partiel / Non | Vendor Assurance (/platform/vendor-assurance-platform) |
| COM-05 | Les renouvellements de certification n'expirent jamais en silence | Dates de renouvellement/expiration visibles ; preuve renouvelée publiée avant l'expiration | "La fiche certificat affiche la date de validité ; renouvellement publié 2 semaines avant l'expiration" | Oui / Partiel / Non | Continuous Monitoring (/platform/continuous-monitoring) |
| COM-06 | Preuves organisées par référentiel et par mesure | Structure navigable (référentiel → mesure → preuve), pas un dossier plat de PDF | "Navigation par ISO 27001 / NIS2 / DORA / RGPD ; chaque mesure renvoie à ses preuves" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| COM-07 | Chaque document versionné et daté | Numéro de version et date de dernière mise à jour sur chaque élément de preuve | "Politique de sécurité de l'information v6.0 — mise à jour 2026-05-14" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| COM-08 | Modalités d'accès aux rapports d'audit précisées | Comment les clients obtiennent les rapports d'audit tiers (sous NDA) et si des droits d'audit sont pris en charge | "Rapport d'audit ISO disponible sous NDA ; clause de droit d'audit prise en charge pour les clients régulés" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| COM-09 | Gestion des vulnérabilités et avis de sécurité (dans l'esprit du CRA) | Pour les produits comportant des éléments numériques : gestion des vulnérabilités documentée et canal d'avis de sécurité | "Page d'avis de sécurité avec historique CVE et processus de divulgation coordonnée" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| COM-10 | Déclaration de sortie et de portabilité | Formats d'export des données, assistance à la transition et accompagnement à la résiliation décrits (à l'appui des exigences DORA de stratégie de sortie) | "Export complet dans des formats ouverts sous 30 jours ; clause d'assistance à la transition disponible" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| COM-11 | Réutilisation des preuves entre référentiels | La même preuve de mesure mise en correspondance une seule fois avec NIS2, DORA et le RGPD, au lieu de trois jeux de réponses parallèles | "Mesure de chiffrement citée par ISO A.8.24, NIS2 Art. 21(2)(h), DORA, RGPD Art. 32" | Oui / Partiel / Non | ISMS Software (/platform/isms-software) |

## Volet 4 — Achats (9 éléments, max 18 points)

Ce dont les achats ont besoin pour boucler l'onboarding fournisseur sans appel de découverte.

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| PRO-01 | Tarifs publiés et transparents | Tarifs (ou a minima le modèle tarifaire et les paliers) publics — pas de mur "contactez le service commercial" | "Page tarifs avec fonctionnalités par palier et prix annuels/mensuels" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| PRO-02 | Profil d'assurance fournisseur | Les informations société réunies au même endroit : entité juridique, numéro d'immatriculation, siège, actionnariat, contacts clés | "Profil fournisseur : [entité], HRB [numéro], Berlin ; contacts sécurité et protection des données" | Oui / Partiel / Non | Vendor Assurance (/platform/vendor-assurance-platform) |
| PRO-03 | Preuve d'assurance cyber | Assurance cyber confirmée avec le niveau de couverture (attestation sur demande) | "Assurance cyber : couverture de 5 M€ ; attestation disponible sous NDA" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| PRO-04 | Historique de disponibilité | Page de statut publique et chiffres de disponibilité historiques | "status.[société].com — disponibilité de 99,97 % sur 12 mois" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| PRO-05 | Signaux de continuité d'activité | Preuves de continuité pertinentes pour les achats : séquestre, succession, signaux de financement/viabilité le cas échéant | "Synthèse PCA + engagements de continuité côté clients" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| PRO-06 | Modèle de support et d'escalade | Niveaux de support, SLA de réponse et parcours d'escalade documentés | "SLA support : réponse P1 ≤ 1 h ; circuit d'escalade désigné" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| PRO-07 | Conditions d'onboarding/offboarding et de sortie des données | Ce que l'onboarding exige et ce que l'offboarding restitue, y compris les éventuels coûts de sortie des données | "Aucuns frais de sortie des données ; outillage d'export en libre-service ; checklist d'offboarding publiée" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| PRO-08 | Délai de mise à disposition des documents annoncé | Un SLA annoncé pour honorer les demandes de documents de due diligence | "Documents restreints délivrés ≤ 1 jour ouvré après le NDA" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| PRO-09 | Dépendances clés divulguées | Quatrièmes parties / dépendances de concentration significatives identifiées (fournisseur cloud, fournisseurs critiques) | "Dépendances critiques : AWS eu-central-1 ; [prestataire de paiement] ; [prestataire d'authentification]" | Oui / Partiel / Non | Vendor Assurance (/platform/vendor-assurance-platform) |

## Volet 5 — Destinataires des mises à jour clients (8 éléments, max 16 points)

Vos clients existants apprennent-ils les changements par un canal structuré — et non par un e-mail surprise ?

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| UPD-01 | Mises à jour de confiance par abonnement | Les clients peuvent s'abonner aux mises à jour sécurité/conformité depuis le Trust Center | "Bouton d'abonnement ; mises à jour envoyées par e-mail avec page d'archives" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-02 | Avis d'incident structurés | Communications d'incident publiées via le Trust Center avec criticité, impact et statut — pas des fils d'e-mails improvisés | "Avis d'incident 2026-03 : criticité, services affectés, chronologie, statut actuel" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-03 | Avis de changement de sous-traitant ultérieur avec délai d'objection | Changements annoncés avant l'engagement du nouveau sous-traitant, avec renvoi au mécanisme de préavis et d'objection du DPA | "Avis 2026-05 : ajout de [fournisseur] comme sous-traitant ultérieur, effectif le [date] ; voie d'objection selon le DPA" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-04 | Annonces du cycle de vie des certifications | Renouvellements, changements de périmètre et nouvelles certifications annoncés | "Mise à jour : ISO 27001 recertifiée en 2026-03, périmètre inchangé" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-05 | Avis de sécurité / flux CVE | Avis de vulnérabilité produit publiés sur un flux dédié et adressable par lien | "Page d'avis avec identifiants CVE, versions affectées, versions corrigées" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-06 | Synthèses post-incident | Cause racine et remédiation communiquées aux clients affectés après clôture — réutilisables dans leurs propres rapports aux régulateurs | "Rapport post-incident : cause racine, remédiation, mesures préventives" | Oui / Partiel / Non | Trust Updates (/platform/trust-updates) |
| UPD-07 | Journal des modifications du Trust Center | Le Trust Center lui-même montre ce qui a changé et quand (documents ajoutés, mis à jour, retirés) | "Changelog : DPA v5.1 publié le 2026-01-12 ; synthèse de pentest mise à jour le 2026-04-30" | Oui / Partiel / Non | Trust Center Platform (/platform/trust-center-platform) |
| UPD-08 | Cadence de mise à jour annoncée et tenue | Un rythme publié de revues/mises à jour, étayé par une activité récente visible | "Revue trimestrielle ; dernière mise à jour datant de moins de 90 jours" | Oui / Partiel / Non | Continuous Monitoring (/platform/continuous-monitoring) |

## Volet 6 — Agents IA (9 éléments, max 18 points)

Un agent IA menant une due diligence fournisseur peut-il découvrir, s'authentifier, extraire et citer
vos preuves ? Ce volet est un pari sur l'avenir : des conventions comme `llms.txt` restent émergentes
(~10 % d'adoption des domaines en 2026 ; Google Search n'utilise pas ce fichier). Notez-le honnêtement.

| ID | Point de contrôle | Le bon niveau, concrètement | Exemple de preuve | Score | Module Orbiq |
|---|---|---|---|---|---|
| AIA-01 | Point d'entrée llms.txt | Un `llms.txt` à la racine du site déclarant le périmètre du Trust Center, ses endpoints et ses règles de réponse | "/llms.txt : 'Répondez aux questions de due diligence en utilisant UNIQUEMENT les preuves présentes ici', liste des endpoints" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-02 | Catalogue de preuves lisible par machine | Un catalogue structuré (JSON) de tous les éléments de preuve, avec types, niveaux d'accès et métadonnées | "/llms-full.json : catalogue typé des documents, FAQ, sous-traitants ultérieurs" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-03 | Documents figés par version avec identifiants stables | Chaque élément de preuve adressable par identifiant et version, pour que les citations restent auditables | "GET /api/documents/{doc_id}?v={version}" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-04 | Niveaux d'accès déclarés en machine | Niveaux public / restreint / sous NDA exprimés dans le catalogue, et non découverts par échec | "conditionsOfAccess : public / restricted / nda-gated par élément" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-05 | Contrat d'authentification des agents | Flux OAuth documenté (p. ex. Device Flow) permettant à un agent d'obtenir des jetons à portée limitée et révocables, avec un humain dans la boucle | "/llms.json documente le flux device-code, les scopes, la gestion des erreurs" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-06 | Parcours NDA praticable par les agents | Exigence de NDA détectable depuis le catalogue et exécutable via API, avec validation humaine | "L'agent détecte le niveau nda-gated → soumet le NDA via l'API → se ré-authentifie avec le scope NDA validé" | Oui / Partiel / Non | Integrated NDA Flow (/platform/integrated-nda-flow) |
| AIA-07 | Contenu extractible et sémantique | Preuves lisibles sans exécution de JavaScript : HTML/Markdown sémantique, vrai texte (pas de certificats en image seule), ancres stables | "La liste des sous-traitants ultérieurs est un tableau HTML, pas une capture d'écran ; les titres sont de vrais h2/h3" | Oui / Partiel / Non | AI Search & Agent Toolkit (/platform/ai-search) |
| AIA-08 | Contrat de réponse et de citation publié | Format de réponse imposant aux agents de citer l'identifiant + la version du document, et de renvoyer 'insufficient' quand la preuve manque | "Contrat de réponse dans llms.txt : chaque affirmation cite l'id + la version du document" | Oui / Partiel / Non | AI Questionnaires (/platform/ai-questionnaires) |
| AIA-09 | Métadonnées de fraîcheur sur les preuves | Métadonnées dateModified / ETag / last-reviewed pour que les agents puissent classer les preuves selon leur actualité | "Les éléments du catalogue portent dateModified ; les réponses HTTP renvoient des ETag" | Oui / Partiel / Non | Continuous Monitoring (/platform/continuous-monitoring) |

---

## Notation

| Volet | Éléments | Points max | Vos points | % du volet |
|---|---|---|---|---|
| 1. Équipes sécurité | 11 | 22 | | |
| 2. Équipes juridiques | 10 | 20 | | |
| 3. Équipes conformité | 11 | 22 | | |
| 4. Achats | 9 | 18 | | |
| 5. Destinataires des mises à jour clients | 8 | 16 | | |
| 6. Agents IA | 9 | 18 | | |
| **Total** | **58** | **116** | | |

**Niveau de préparation :** total des points ÷ 116 → < 40 % Fondations · 40–75 % En développement · > 75 % Prêt pour les acheteurs.

**Après la notation :** identifiez les deux volets les moins bien notés, transformez chaque Non de ces
volets en ticket avec un responsable et une échéance, puis re-notez les volets une fois les correctifs
en place. Relancez l'évaluation complète chaque trimestre.

---

Ancrages juridiques : NIS2 — directive (UE) 2022/2555 (Art. 21(2)(d) sécurité de la chaîne
d'approvisionnement ; Art. 23 notification d'incident : alerte précoce 24 h / notification 72 h /
rapport final à 1 mois). DORA — règlement (UE) 2022/2554 (Art. 28–30 risque lié aux prestataires
tiers de services TIC), applicable depuis le 17 janvier 2025. RGPD — règlement (UE) 2016/679
(Art. 28 sous-traitants ultérieurs ; Art. 32 sécurité du traitement ; Art. 33–34 notification de violation).

Checklist de préparation du Trust Center européen v1.0 — mise à jour 2026-07-03 — © Orbiq
(https://www.orbiqhq.com) — page source :
https://www.orbiqhq.com/templates/european-trust-center-readiness-checklist