Logiciel IT-Grundschutz
pour votre ISMS

IT-Grundschutz est la méthodologie de l’Office fédéral allemand de la sécurité des technologies de l’information (BSI) pour construire et exploiter un système de management de la sécurité de l’information (ISMS). Il se compose des standards du BSI — 200-1 pour le système de management, 200-2 pour la méthodologie, 200-3 pour l’analyse des risques — et du compendium IT-Grundschutz, dont les modules décrivent, en dix couches, les exigences et les menaces élémentaires propres à chaque sujet.

Un logiciel IT-Grundschutz est un logiciel ISMS qui représente la méthodologie du BSI dans un seul modèle de données : domaine d’information, objets cibles, besoin de protection, modules, exigences, risques, actions et preuves sont reliés entre eux. Au lieu de maintenir à la main la cohérence de tableurs et de documents, vous gérez chaque objet une seule fois, et les rapports comme les documents de référence sont générés à partir des données.

Il faut un outil IT-Grundschutz qui apporte le compendium IT-Grundschutz sous forme de catalogue et représente toutes les étapes de la méthodologie selon BSI-Standard 200-2. Complaica est un tel outil : analyse de structure, détermination du besoin de protection, modélisation, IT-Grundschutz-Check, analyse des risques et planification de la mise en œuvre travaillent sur un seul jeu de données, en SaaS ou On-Premises.

Toutes les étapes selon BSI-Standard 200-2 : la définition du domaine d’information (Informationsverbund), l’analyse de structure (Strukturanalyse), la détermination du besoin de protection (Schutzbedarfsfeststellung), la modélisation (Modellierung) avec les modules (Bausteine) du compendium (IT-Grundschutz-Kompendium), l’IT-Grundschutz-Check, l’analyse des risques (Risikoanalyse) selon BSI-Standard 200-3, la planification de la mise en œuvre (Realisierungsplanung), ainsi que le maintien, l’audit et l’amélioration continue. Chaque étape travaille sur les résultats de la précédente, dans un seul jeu de données.

Oui. Complaica met en œuvre les standards du BSI 200-1 (systèmes de management de la sécurité de l’information), 200-2 (méthodologie IT-Grundschutz) et 200-3 (analyse des risques sur la base d’IT-Grundschutz). Les étapes de la méthodologie et l’analyse des risques sont représentées dans le logiciel sous forme de flux de travail, et le compendium IT-Grundschutz est inclus sous forme de catalogue.

Oui. Le BSI-Standard 200-2 connaît trois approches : la protection de base (Basis-Absicherung) est l’entrée dans un ISMS, la protection du cœur (Kern-Absicherung) considère d’abord une petite partie, particulièrement importante, du domaine d’information, et la protection standard (Standard-Absicherung) met en œuvre un processus de sécurité complet. Dans Complaica, exigences de base, exigences standard et exigences pour un besoin de protection accru s’évaluent séparément, de sorte que vous pouvez commencer par une approche et l’étendre plus tard.

Les objets cibles — processus métier, applications, systèmes informatiques, réseaux, locaux — sont recensés ou importés depuis la gestion des actifs, des CMDB et Microsoft Azure, regroupés et reliés le long de leurs dépendances. Le graphe de dépendances et la matrice de dépendances montrent la structure du domaine d’information ; l’analyse de structure est disponible comme document de référence A.1.

Le besoin de protection est déterminé par objet cible pour la confidentialité, l’intégrité et la disponibilité — normal, élevé ou très élevé. Il se transmet le long des dépendances selon le principe du maximum ; l’origine de chaque classement peut être affichée.

Lors de la modélisation, les modules appropriés du compendium IT-Grundschutz sont affectés aux objets cibles. Dans l’IT-Grundschutz-Check, la comparaison cible / réel, vous évaluez le statut de mise en œuvre de chaque exigence, le justifiez et déposez des preuves. Le statut se cumule de l’objet cible jusqu’au domaine d’information, et les exigences ouvertes entrent dans le plan de mise en œuvre.

Oui. Pour les objets cibles dont le besoin de protection est élevé ou très élevé, et pour ceux que les modules ne permettent pas de modéliser suffisamment, les menaces sont identifiées — à partir des menaces élémentaires du compendium ou de vos propres catalogues — et évaluées dans une matrice de risques configurable. Pour chaque risque, l’option de traitement et les actions sont fixées ; le risque résiduel peut être suivi dans le temps.

Oui. L’analyse de structure (A.1), la détermination du besoin de protection (A.2), la modélisation (A.3), le résultat de l’IT-Grundschutz-Check (A.4), l’analyse des risques (A.5) et le plan de mise en œuvre (A.6) sont générés sous forme de rapports à partir du jeu de données courant — lors de l’audit initial comme avant chaque audit de surveillance, sans réécrire les documents.

Oui. Le compendium IT-Grundschutz est inclus sous forme de catalogue, avec ses modules, ses exigences et ses menaces élémentaires. Quand le BSI publie une nouvelle édition ou des corrections, le catalogue est actualisé et fourni sous forme de mise à jour ; les évaluations, actions et preuves existantes sont conservées.

Grundschutz++ est la refonte d’IT-Grundschutz par le BSI : un référentiel entièrement orienté processus, dont les exigences existent dans un format lisible par machine et peuvent ainsi être exploitées par des outils. Le catalogue utilisateur Grundschutz++ remplace le compendium IT-Grundschutz.

Oui. Complaica est l’un des premiers outils à prendre en charge BSI Grundschutz++. Les exigences de Grundschutz++ sont gérées comme catalogue et évaluées sur le même jeu de données qu’IT-Grundschutz.

La migration se fait sur le jeu de données existant : domaine d’information, objets cibles, besoin de protection, risques, actions et preuves sont conservés, et les exigences de Grundschutz++ sont évaluées sur les mêmes objets. Pendant la transition, les deux référentiels peuvent être menés en parallèle. Sur demande, nos consultants accompagnent la migration.

Selon le plan de jalons du BSI (état : septembre 2026), des demandes de certification ISO 27001 sur la base de Grundschutz++ peuvent être déposées à partir du 1er janvier 2027 ; la possibilité de certification selon IT-Grundschutz prend fin le 30 novembre 2031. Le BSI adapte le plan en continu — c’est l’état publié sur le site web du BSI qui fait foi.

ISO/IEC 27001 décrit ce qu’un ISMS doit accomplir et laisse sa conception à l’organisation. IT-Grundschutz y ajoute une méthodologie concrète et, avec les modules du compendium, des exigences détaillées. Les deux se combinent : la protection standard est compatible avec la certification ISO 27001, et le certificat s’intitule alors « ISO 27001 sur la base d’IT-Grundschutz ». Dans Complaica, les deux fonctionnent sur le même jeu de données.

Oui. Complaica importe et exporte des données depuis et vers Excel, via l’API REST et depuis d’autres outils ISMS ; la migration de vos données est gratuite et accompagnée par nos spécialistes. Vous évaluez ainsi l’outil sur votre propre jeu de données plutôt que sur des données de démonstration.

Oui. ISO 27001, NIS2, TISAX, RGPD, ISO 22301 et d’autres normes sont évaluées sur le même modèle et utilisent les mêmes objets cibles, risques, actions et preuves. Ce qui est documenté pour IT-Grundschutz compte aussi pour les autres normes.

Oui, les deux. La variante SaaS est hébergée en Allemagne ; On-Premises, vous exploitez Complaica dans votre propre infrastructure. La licence coûte le même prix dans les deux cas.

Les preuves sont rattachées à l’objet qu’elles attestent, et les documents de référence sont générés à partir du jeu de données courant. Les tableaux de bord montrent l’état avant l’audit, et les auditeurs externes peuvent recevoir un accès ciblé. Comme le même jeu de données continue de vivre, les audits de surveillance et la recertification se préparent depuis l’exploitation courante. La certification elle-même est délivrée par le BSI sur la base de l’audit mené par un auditeur certifié.