Établir un diagnostic
Un service hébergé dans l’Union européenne peut comporter des accès ou traitements depuis d’autres pays.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Vérifier sur le service exact les lieux, acteurs et conditions d’accès prévus et effectivement disponibles.
Suivre flux non documentés, garanties non examinées et changements de pays ou de sous-traitant.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Cartographier les flux et accès réels
- Faire qualifier les mécanismes juridiques applicables
- Vérifier les garanties et suivre les changements