Disponible à partir de décembre 2026, en mission ou pour rejoindre une équipe dans la durée. Voir comment travailler ensemble
Stéphane Doyen, consultant en gouvernance, risques et conformité (GRC) cybersécurité. Plus de trente-cinq ans dans les systèmes d’information, de la Défense à la santé et au transport. J’aide les organisations à structurer leur conformité (ISO 27001, NIS2, DORA, RGPD) et leur gouvernance de l’IA (AI Act, ISO 42001).
Exemple illustratif : un prestataire est compromis
Mesures : clauses de sécurité au contrat, supervision et alertes, plan de continuité testé.
Sept domaines, une même logique : des risques priorisés, des contrôles réels, des preuves.
ISO/IEC 27001, ISO/IEC 27002
Cadre de gouvernance, politique de sécurité (PSSI), feuille de route annuelle, indicateurs et reporting aux directions. Intégration de la sécurité dès la conception des projets, sensibilisation des équipes adaptée à chaque métier.
Sur le terrain. Chez Transdev : élaboration de politiques de sécurité et reporting hebdomadaire des indicateurs cyber au DSI France.
ISO/IEC 27005, EBIOS Risk Manager
Du scénario au plan d’action priorisé : identification, évaluation et traitement des risques, matrices de risques, suivi des remédiations, analyse d’impact sur les activités (BIA).
Sur le terrain. 12 analyses de risques menées chez Transdev, et contribution à la refonte de l’Atelier 4 de la méthode EBIOS RM avec le Club EBIOS.
ISO/IEC 27001:2022, NIS2, LPM, PART-IS, HDS
Évaluation de la maturité, analyse des écarts, feuille de route de mise en conformité, préparation à l’audit de certification et constitution du dossier de preuves.
Sur le terrain. Évaluation de la conformité LPM et NIS d’un groupe de transport. Chez Airbus Protect : contribution à la transition vers ISO 27001:2022 et accompagnement de la mise en conformité PART-IS.
DORA, NIS2, ISO/IEC 27001
Diagnostic de conformité DORA, feuille de route et gestion des risques TIC. Gouvernance des prestataires tiers : criticité, revues, indicateurs, clauses contractuelles (articles 28 à 31). Préparation aux contrôles des autorités.
Sur le terrain. Chez Transdev : revue des clauses de cybersécurité des contrats et évaluation de la maturité des sous-traitants de 10 filiales des domaines maritime et mobilité.
RGPD, HDS
Cartographie des traitements et registre, analyses d’impact, politiques et procédures, formation des équipes. Fonction de DPO, y compris pour des données de santé.
Sur le terrain. DPO et suivi de la conformité HDS et RGPD pour 60 entités du réseau Transdev HealthCare.
PCA et PRA, gestion d’incidents
Plans de continuité et de reprise d’activité, gestion des incidents de sécurité, préparation et animation d’exercices de crise cyber.
Sur le terrain. 14 incidents de sécurité pilotés chez Transdev. Exercices de crise cyber pour des établissements de santé, dans le cadre du programme CaRE.
Temps partiel ou de transition
Responsabilités de RSSI à temps partiel ou de transition, appui aux DSI et aux RSSI, cadrage et suivi de tests d’intrusion, conseil sur les choix technologiques sécurisés.
Sur le terrain. RSSI de transition chez Transdev, de 2021 à 2023.
Pour les éditeurs et les PME qui intègrent de l’IA dans leurs produits.
L’AI Act passe progressivement du texte à l’application, et ISO/IEC 42001 offre un cadre de management. Je relie ces exigences à la cybersécurité, au cloud et à la protection des données, avec des outils à la mesure d’une PME.
En cours. Accompagnement de Darttek Ltd (Malte), éditeur d’une plateforme SaaS intégrant de l’IA, depuis juin 2026. Mise en pratique : une GRC structurée dans Baserow et Notion autour de l’AI Act et d’ISO/IEC 42001, une détection avec le SIEM Wazuh, des automatisations avec n8n.
NIS2, DORA, AI Act, ISO 27001 : la démarche commence de la même façon.
Analyse d’applicabilité des textes (NIS2, DORA, AI Act, RGPD) et qualification de votre rôle, pour savoir ce qui s’applique vraiment.
Cartographie, analyse d’impact sur les activités et analyse de risques, pour concentrer l’effort là où l’enjeu est le plus fort.
Rôles, gouvernance, clauses contractuelles avec les prestataires : chaque risque a un responsable identifié.
Audit des écarts entre les pratiques et les exigences, puis plan de traitement priorisé et suivi des remédiations.
Dossier de preuves et préparation aux audits et aux contrôles : la conformité se démontre, elle ne se déclare pas.
Attendre la dernière échéance réglementaire pour commencer est la stratégie la plus risquée. La conformité commence bien avant le premier contrôle.
De l’informatique opérationnelle à la gouvernance des risques.
Je suis d’abord un homme de terrain. J’ai dirigé une équipe IT, piloté des ERP, des infrastructures, des budgets et des prestataires, et travaillé aussi bien avec des directions générales qu’avec des équipes projets ou techniques.
Mon parcours s’est ensuite spécialisé en cybersécurité et en GRC : Cyber Risk Manager France chez Transdev, consultant senior chez Airbus Protect, puis consultant indépendant avec ExpertRisk Cybertech. Une mission à Malte m’a permis de relier gouvernance, IA et mise en œuvre technique.
Depuis 2026
Darttek Ltd, Malte
Depuis 2024
ExpertRisk Cybertech
2023 à 2024
Airbus Protect, Toulouse
2021 à 2023
Transdev
2015 à 2021
Transdev HealthCare, Santé Mobilité Services
1987 à 2003
Ministère de la Défense : parcours dans le domaine informatique, dont les unités des forces spéciales.
Apprendre, contribuer, transmettre.
Quelques lectures d’actualité sous l’angle de la gouvernance des risques.
Le CERT-In indien a publié en novembre 2026 un référentiel de 107 pages sur l’audit de sécurité des systèmes d’IA. Il couvre gouvernance, données, biais, explicabilité, cybersécurité et supervision humaine, avec un modèle de maturité où le niveau global est celui du domaine le moins mature. Ses obligations propres au contexte indien ne se transposent pas telles quelles en Europe, mais la base méthodologique est précieuse.
Lire la sourceDébut novembre, une cyberattaque visant un prestataire de l’Établissement français du sang a modifié à distance la température de chambres froides sur trois sites. La surveillance et l’alerte ont fonctionné, aucune perte n’a été constatée. Un cas d’école de risque tiers, et la preuve que la résilience se prépare.
Lire la sourceL’attaque subie par le Crédit Mutuel Arkéa, qui a permis des opérations financières frauduleuses, rappelle que la cybersécurité ne se dissocie pas de la maîtrise des risques opérationnels et financiers. Le règlement DORA porte précisément cette approche de bout en bout, de la connaissance des processus critiques à la résilience.
Lire la sourceUn contrôle n’a de valeur que s’il est indépendant de ce qu’il surveille. Avec des agents de plus en plus autonomes, la question devient de détecter le contournement d’un garde-fou et de conserver une capacité d’audit indépendante. À partir d’un article de ZDNet France.
En octobre 2026, la transposition française de NIS2 n’était pas achevée, mais l’absence de loi n’excuse pas l’absence de préparation. L’AI Act, lui, entre dans une phase de contrôle plus concrète. Dans les deux cas, la gouvernance commence avant l’échéance.
Lire la sourceMes analyses complètes sont publiées sur LinkedIn.
Dites-moi où vous en êtes, je vous dirai comment je peux aider.
Audit, analyse de risques, mise en conformité (ISO 27001, NIS2, DORA, AI Act), RSSI à temps partagé.
Écrire pour une missionDisponible à partir de décembre 2026. SI, cybersécurité, GRC, transformation numérique : l’intitulé m’importe moins que le projet. Je cherche une entreprise à taille humaine où m’inscrire dans la durée.
Écrire pour un poste