Logiciel ISMS
pour ISO 27001

ISO/IEC 27001 est la norme internationalement reconnue pour les systèmes de management de la sécurité de l’information (ISMS). Elle définit comment une organisation planifie, met en œuvre, surveille et améliore méthodiquement la sécurité de l’information — avec l’appréciation des risques en son cœur et les 93 mesures de l’annexe A comme catalogue ; ISO/IEC 27002:2022 en donne les recommandations de mise en œuvre. L’édition en vigueur est ISO/IEC 27001:2022.

Un logiciel ISMS représente les composants d’un système de management de la sécurité de l’information dans un seul modèle de données — périmètre, actifs, exigences, risques, mesures et preuves — et les relie entre eux. Au lieu de maintenir à la main la cohérence de tableurs et de documents, vous gérez chaque objet une seule fois, et les rapports comme la déclaration d’applicabilité sont générés à partir des données.

Au minimum : les exigences d’ISO/IEC 27001:2022 et les mesures de l’annexe A avec statut de mise en œuvre, une structure d’actifs avec dépendances, l’analyse et le traitement des risques avec matrice configurable, des actions avec responsables et échéances, des preuves sur l’objet, la déclaration d’applicabilité, des rapports pour la revue de direction et l’audit — et des interfaces avec les systèmes où vos actifs et tâches se trouvent déjà.

Oui. Les exigences d’ISO/IEC 27001:2022 et les 93 mesures de l’annexe A de la norme sont incluses sous forme de catalogue — avec les recommandations de mise en œuvre d’ISO/IEC 27002:2022 — et évaluées sur votre arborescence d’actifs. Quand une nouvelle édition paraît, le catalogue est mis à jour ; les évaluations et preuves existantes migrent avec lui.

Oui. La SoA est établie sur la base des exigences et des mesures : pour chaque mesure, applicabilité, justification et statut de mise en œuvre sont documentés, et le rapport en est généré — lors de l’audit initial comme avant chaque audit de surveillance, sans réécrire la déclaration.

Les menaces sont identifiées par actif — à partir de catalogues standard ou des vôtres — et évaluées dans une matrice de risques configurable. Pour chaque risque, l’option de traitement et les actions sont fixées ; le risque brut et le risque résiduel peuvent être suivis dans le temps, et le plan de traitement des risques est généré sous forme de rapport.

Oui — comme guide, pas comme norme de certification : ISO/IEC 27005 décrit le processus de gestion des risques de sécurité de l’information qu’exige ISO/IEC 27001. Complaica reproduit ce processus : les risques sont identifiés, analysés et évalués par actif, pour chaque risque l’option de traitement, les mesures et les actions sont fixées, et le risque résiduel reste relié à l’actif, au risque et aux preuves. Il n’existe pas de certification ISO/IEC 27005 ; les résultats alimentent le plan de traitement des risques et la SoA pour l’audit ISO 27001.

Oui. Complaica importe et exporte des données depuis et vers Excel, via l’API REST et depuis d’autres outils ISMS ; la migration de vos données est gratuite et accompagnée par nos spécialistes. Vous évaluez ainsi l’outil sur votre propre jeu de données plutôt que sur des données de démonstration.

Oui. TISAX, BSI IT-Grundschutz, NIS2, RGPD, ISO 22301 et d’autres normes sont évaluées sur le même modèle de périmètre et utilisent les mêmes actifs, risques, actions et preuves. Ce qui est documenté pour ISO 27001 compte aussi pour les autres normes.

Oui, les deux. La variante SaaS est hébergée en Allemagne ; on-premises, vous exploitez Complaica dans votre propre infrastructure. La licence coûte le même prix dans les deux cas.

Via l’API REST, des systèmes de gestion des actifs et des CMDB comme i-doit, GLPI, FNT Command et d’autres, ainsi que Jira, SAP et Microsoft Azure. Les données de l’application sont disponibles via des data marts pour les systèmes externes d’analyse et de reporting, et un assistant IA peut être connecté via MCP.

Les preuves sont rattachées à l’objet qu’elles attestent, et les rapports — SoA, plan de traitement des risques, statut de mise en œuvre — sont générés à partir du jeu de données courant. Les tableaux de bord montrent l’état avant l’audit, et les auditeurs externes peuvent recevoir un accès ciblé. Comme le même jeu de données continue de vivre, les audits de surveillance et la recertification au bout de trois ans se préparent depuis l’exploitation courante. La certification elle-même est réalisée par un organisme de certification indépendant.

À toute organisation qui traite des informations confidentielles et veut le prouver à ses clients, partenaires ou autorités — quels que soient sa taille et son secteur. Elle est particulièrement répandue chez les prestataires IT et cloud, les fournisseurs de secteurs réglementés, les opérateurs d’infrastructures critiques et les entreprises concernées par NIS2 ou TISAX : un ISMS selon ISO 27001 couvre aussi une grande partie de ces exigences.

Elle n’est pas imposée par la loi. Dans la pratique, elle le devient par les contrats et les appels d’offres — de nombreux clients exigent le certificat comme preuve — et indirectement par des réglementations comme NIS2, KRITIS ou DORA qui exigent un ISMS ; ISO 27001 est la voie habituelle pour exploiter cet ISMS de façon démontrable.

Les coûts se composent de trois parties : l’effort de construction et d’exploitation de l’ISMS (temps interne, conseil, logiciel), l’audit de certification par un organisme accrédité et les audits de surveillance annuels. Ils dépendent surtout de la taille du périmètre, du nombre de sites et de la maturité de vos processus existants. Complaica réduit la première partie : les contenus préparés, les preuves générées à partir des données et l’intégration de l’IA épargnent l’essentiel du travail de documentation. Nous vous envoyons une liste des prix sur demande.

Comptez généralement de trois à douze mois du démarrage au certificat — selon le périmètre, la documentation existante et les ressources disponibles. Avec des contenus préparés et du conseil, les petites organisations se situent dans le bas de la fourchette. Le certificat est valable trois ans, avec des audits de surveillance annuels puis une recertification — Complaica maintient le jeu de données à jour pendant toute cette période.