La confiance est une structure. Quelqu’un doit la bâtir.

À Rome, l’arx était le sommet fortifié de la colline du Capitole. Elle abritait le trésor, les auspices et la dernière ligne de défense. Quand la ville basse tombait, l’arx restait — et tant qu’elle tenait, la cité n’était pas tombée.

La confiance dans une entreprise fonctionne de la même façon. Ce n’est ni une phrase sur un site, ni un certificat encadré. C’est une structure : des décisions consignées, des contrôles qui fonctionnent, des preuves que l’on peut produire sur demande, et des personnes qui savent quoi faire à trois heures du matin. Elle se construit lentement, et elle se défend en permanence.

En 2026, la pression vient de quatre directions à la fois. NIS2 a fait entrer des milliers d’entreprises intermédiaires dans son champ et rendu leurs dirigeants personnellement responsables. DORA demande aux entités financières et à leurs prestataires TIC de prouver leur résilience, contrat par contrat. Le Cyber Resilience Act fait de la sécurité une condition d’accès au marché pour tout produit comportant des éléments numériques. L’AI Act impose des obligations aux organisations qui se contentent d’utiliser un système d’IA, et pas seulement à celles qui en construisent.

Dans le même temps, la surface d’attaque s’est déplacée. Le cloud a sorti des systèmes critiques du périmètre. L’IA générative a fait entrer des données d’entreprise dans des outils que personne n’a validés. Les chaînes d’approvisionnement ont transformé chaque fournisseur en point d’entrée possible.

Les entreprises prises au milieu — de cinquante à deux mille personnes — n’ont presque jamais d’équipe conformité. Elles ont un responsable informatique déjà saturé, un directeur financier attentif au budget, et un conseil qui vient de découvrir sa responsabilité. Les grands cabinets leur proposeront un programme qu’elles ne peuvent pas financer, porté par des consultants qui ont appris le référentiel le trimestre dernier.

Nous avons créé Arx Fidei exactement pour cet écart. Un interlocuteur senior qui reste sur la mission du premier échange à la restitution finale. Quatre pratiques — cybersécurité, conformité, cloud et DevSecOps, IA — tenues par les mêmes personnes, parce que c’est entre les pratiques que naissent les écarts et les incidents.

En dessous, un référentiel de contrôles unifié. NIS2, DORA, ISO 27001, SOC 2, RGPD et AI Act posent des questions qui se recouvrent, avec des mots différents. Nous les cartographions une fois, de sorte qu’un contrôle est mis en œuvre une fois, prouvé une fois, puis réutilisé dans chaque audit qui le demande. En pratique, le recouvrement avoisine soixante-dix pour cent.

Et une sécurité intégrée à la chaîne de livraison plutôt que rapportée par-dessus. Un défaut détecté dans une pull request coûte une heure. Le même défaut dans un rapport d’audit coûte un trimestre.

Quatre-vingts pour cent de notre catalogue est vendu à prix fixe, avec des livrables écrits avant tout engagement. Nos packs portent un nom, un calendrier et une fourchette de prix, publiés sur ce site plutôt que révélés après une phase de cadrage.

Notre modèle d’intervention compte six étapes et un point hebdomadaire de trente minutes. Vous savez toujours ce qui a été fait, ce qui vient ensuite, et si nous tenons le calendrier.

La conformité n’est pas un projet qui se termine. Un certificat doit être maintenu, un registre tenu à jour, un système d’IA réexaminé quand il change. Nous sommes donc construits autour de services récurrents — vRSSI, conformité en service géré, DevSecOps managé — plutôt qu’autour de missions ponctuelles qui laissent un rapport et personne pour l’entretenir.

Un pack est généralement la porte d’entrée. Ce qui suit est une relation.