Accueil · Ingénieur
CV de notre ingénieur

Grégory Murer — Ingénieur BCP/DR & GRC

Business Continuity & Disaster Recovery Testing Manager chez BNP Paribas Fortis et fondateur d’XpandIT.be. Gouvernance, risque, conformité et résilience pour les organisations belges et les infrastructures critiques.

27+ ansIT, cybersécurité et résilience
Banque · assurance · infra critiquesBNP Paribas Fortis, AXA, POST Luxembourg, bpost, SNCB, ESA
GRC & auditiHub (groupe POST Luxembourg), AXA, bpost

Certifications : ISO 27001 Lead Implementer (Certiprof) · Kanban KBPC

Contacter

Profil

J’aide les organisations à tenir quand ça compte : tests de continuité et de reprise (BCP/DR), gouvernance, risque et conformité.
Depuis plus de 27 ans, je travaille dans la banque, l’assurance, le transport, le spatial et l’industrie, avec ISO 27001, ISO 22301, NIS2, DORA et CSSF.
Mon profil est double : je pilote la gouvernance et je parle d’égal à égal avec les équipes techniques (cloud, IAM/PKI, SOC/SIEM, code).
J’ai travaillé au plus près des équipes sécurité et de leurs responsables, et je mets aujourd’hui cette expérience au service des PME belges via XpandIT.be.

Expertises

  • Continuité & résilienceTests BCP/DR, tabletop, failover, RTO/RPO, résilience opérationnelle DORA
  • Gouvernance & conformitéSMSI ISO 27001:2022, ISO 22301, NIS2 / CyFun, DORA, GDPR, CSSF
  • Gestion des risquesISO 27005, OWASP Risk Rating, MONARC, tableaux de bord KPI/KRI
  • Tiers & supply chainRevues de risque fournisseurs, sécurité de la chaîne d’approvisionnement
  • Sécurité techniqueCloud (GCP/AWS/Azure), IAM/PAM/PKI/SSO, SOC/SIEM/EDR, OT/SCADA (IEC 62443)
  • Crise & sensibilisationCoordination CSIRT, priorités de reprise, formation et comités risques

Expérience récente

Business Continuity & Disaster Recovery Testing Manager

Juil. 2026 – présent

BNP Paribas Fortis — Bruxelles, Belgique · Hybride

  • Je traduis les cadres BC/DR du Groupe (Paris) en plans de test actionnables pour chaque entité belge.
  • Je conçois et conduis les exercices BCP/DR (tabletop, bascules, reprises grandeur nature) et je challenge les hypothèses RTO/RPO des équipes métier et IT.
  • Je produis des preuves de test qui étayent la conformité DORA et les attentes BNB/BCE, et je fixe les priorités de reprise après incident.

Fondateur & consultant principal en cybersécurité

Févr. 2026 – présent

XpandIT.be — Liège, Belgique · Indépendant

  • J’accompagne les PME belges dans leur transition NIS2 / CyFun, du diagnostic jusqu’aux preuves d’audit, et dans leurs démarches ISO 27001.
  • Je propose des tests d’intrusion (PenTest), des exercices DR/BCP et le conseil en matériel de sécurité.
  • J’intègre l’IA et les agents dans les processus de gouvernance et de risque, pour rendre la GRC accessible aux petites structures.

GRC Engineer

Sept. 2025 – mai 2026

iHub (KYC de Deep, groupe POST Luxembourg), via portarium consulting (portage salarial) — Kayl, Luxembourg · Sur site

  • J’ai identifié, analysé et suivi les risques IT d’un environnement financier multi-entités régulé (OWASP Risk Rating, ISO 27005), y compris la sécurité des architectures cloud.
  • J’ai mené le cycle d’audit ISO 27001:2022, ISO 22301, DORA et circulaires CSSF, risque tiers compris.
  • J’ai été un appui GRC direct de la fonction sécurité de l’information.

Local GRC Ops Expert

Mars 2022 – sept. 2025

AXA Group Operations — Bruxelles, Belgique · Hybride

  • J’ai été le point de contact NIS2, ISO 27001, ISO 22301 et DORA des CISO locaux, avec les tableaux de bord risque et les forums de risk champions.
  • J’ai fait migrer le cadre de risque de NIS/OWASP vers NIS2/CyFun, avec des indicateurs KPI/KGI/KRI pour la direction, et déployé Qualys avec intégration SOC.
  • J’ai assuré le support GRC d’entités sans responsable sécurité dédié (Yuzzu, Ardenne Prévoyante, AXA IM).

External Security Project Manager

Oct. 2017 – févr. 2022

bpost — Belgique · Indépendant · Hybride

  • J’ai piloté des projets de sécurité et de conformité : analyse de risques, budgets, équipes pluridisciplinaires.
  • J’ai mis en place des cadres de sécurité, des roadmaps d’audit interne et tiers, et des pratiques DevSecOps.
  • J’ai présenté le reporting des risques de sécurité au top management.

Parcours antérieur

RôleDateOrganisation · en bref
Cyber Security InstructorNov. 2023 – févr. 2024IFAPME — bootcamp pour étudiants ULG : vulnérabilités, tests d’intrusion, cloud, Bash/Python
DB Migration ConsultantJanv. – août 2021Cabinets médicaux, Saint-Vith — bascule de bases de données (Python, PowerShell, AD)
Embedded System Engineer / ETCSSept. 2015 – oct. 2017SNCB — systèmes embarqués Java sur rames Siemens AM08, signalisation critique (SIL)
Consultant cybersécurité IoT/SCADAJanv. 2007 – août 2015Clients industriels — Belgique, Brésil, USA : risques et architecture IEC 62443, SCADA Siemens/Rockwell
Cyber Security EngineerOct. 2002 – mars 2005Proximus — load-balancing datacenters Bruxelles–Gand, firewalls Check Point, LDAP
IT ManagerDéc. 2001 – oct. 2002mediafiles, Louvain-la-Neuve — IT d’une société passée de 5 à 25 personnes
Cyber Security EngineerSept. 1999 – déc. 2001ESA, Noordwijk — sécurisation de l’uplink de données Galileo (QNX/C), habilitation NATO Secret
Autres expériences2005 – 2015Ubisoft / Gameloft (sysadmin), Smals (LDAP – Oracle), brassage artisanal : brasseur, formateur IFAPME et conférencier

Certifications

  • ISO 27001 Certified Lead Implementer (I27001LI) — Certiprof · juin 2026, valable jusqu’en juin 2029
  • Kanban KBPC — Kanban Foundation International · mai 2026
  • Check Point CCSE / CCNA — via Dimension Data · 2003

Formation continue

Modules de formation suivis, pour la plupart financés par mes employeurs (Skillsoft, LinkedIn Learning, universités). Ce sont des formations, pas des certifications.

  • Sécurité offensiveParcours de préparation CEH v12, CompTIA CySA+ (dont le module continuité d’activité) et (ISC)² CC, OWASP Top 10 et DevSecOps (2023–2025).
  • Audit & GRCModules CISA 2019 et CRISC, ISO 27001 Annex A, gestion des fournisseurs de cybersécurité (2024–2025).
  • IA & agentsParcours Anthropic (Claude, API, MCP, Bedrock, Vertex AI, AI Fluency), prompt engineering et Gemini (2025–2026).
  • Cloud & identitéAzure Entra ID et Fundamentals, Docker, Active Directory, Splunk, Linux et Python.
  • Projet & serviceModules PRINCE2 2017, Agile, ITIL 4 Foundation, Six Sigma green belt et conduite du changement (2023–2025).

Formation académique

ÉtablissementProgrammeDate
—Doctorat en théologie, technologie et culture numérique — en cours de préparation — thèse : The Divine Spark in the Age of Artificial Intelligenceen cours
King’s College LondonMilitary Healthcare Ethics2026
Université Ben Gourion du NéguevResilience911 : la résilience face aux catastrophes2026
Tel Aviv UniversityUnlocking Information Security, niveau 1 (2023) et niveau 2 (2026)2023 / 2026
HEC LiègeMaster en administration des affaires (Business Administration and Management)2021 – 2023
Rochester Institute of Technology (edX)Computer Forensics2020 – 2021
Université Henri Poincaré, Nancy 1Techniques de laboratoire de microbiologie2008
UCLouvain FUCaM MonsManagement Science1999 – 2001
ICET MonsGraduat, Marketing1997 – 1999
UCLouvainDiplôme d’ingénieur, Physics1992 – 1997

Langues

  • AnglaisBilingue / langue maternelle
  • FrançaisBilingue / langue maternelle
  • NéerlandaisNotions de base
  • HébreuNotions de base

Travaillons ensemble

Tests BCP/DR, diagnostic NIS2, gouvernance GRC ou accompagnement GRC externalisé : un échange de 30 minutes pour clarifier le besoin.

Contacter