Logiciel NIS2
pour la conformité et la gestion des risques

NIS2 est la directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union. Elle impose aux entités importantes et essentielles des mesures de gestion des risques, la notification des incidents importants et l’enregistrement, et soumet la direction à des obligations propres. En Allemagne, la loi de transposition de NIS2 l’a transposée dans la loi BSI (BSIG), applicable dans sa nouvelle version depuis le 6 décembre 2025.

Un logiciel NIS2 représente les obligations de NIS2 dans un seul modèle de données — périmètre, actifs, exigences, risques, actions, incidents de sécurité et preuves — et les relie entre eux. Sur le fond, c’est un logiciel ISMS livré avec le catalogue d’exigences de NIS2 : au lieu de maintenir à la main la cohérence de tableurs, vous gérez chaque objet une seule fois, et les rapports et tableaux de bord sont générés à partir des données.

Un logiciel de mise en œuvre de NIS2 ne remplace pas le travail, il l’organise : les exigences de NIS2 sont disponibles sous forme de catalogue, et chacune est évaluée, justifiée et étayée par des preuves. Les risques et les actions sont rattachés aux actifs qu’ils concernent, les échéances et les responsables sont enregistrés. La conformité NIS2 peut ainsi être documentée et l’état rapporté à tout moment — sans que personne ne consolide des tableurs.

Complaica accompagne toute la mise en œuvre de NIS2 : les dix mesures de gestion des risques selon le § 30 BSIG, pour les types d’entités concernés le règlement d’exécution (UE) 2024/2690 avec ses art. 1 à 14 et les 13 domaines de son annexe, la gestion des incidents de sécurité avec les délais de notification selon le § 32 BSIG et la vue pour la direction selon le § 38 BSIG. Les catalogues sont évalués sur votre arborescence d’actifs.

Le § 30 BSIG cite dix domaines que les mesures doivent au moins couvrir : analyse des risques et politiques de sécurité, gestion des incidents, continuité des activités et gestion des crises, sécurité de la chaîne d’approvisionnement, sécurité de l’acquisition, du développement et de la maintenance, évaluation de l’efficacité, formations, cryptographie, sécurité des ressources humaines et contrôle d’accès, ainsi qu’authentification à plusieurs facteurs et communications sécurisées. Les mesures doivent être appropriées, proportionnées et efficaces, et leur respect doit être documenté.

Il fixe les règles d’application de la directive NIS2. Les articles 1 et 2 établissent, avec l’annexe, les exigences techniques et méthodologiques liées aux mesures de gestion des risques ; les articles 3 et 4 déterminent quand un incident de sécurité est considéré comme important ; les articles 5 à 14 le font pour certains types d’entités — des fournisseurs de services DNS aux prestataires de services de confiance, en passant par les services d’informatique en nuage et de centres de données. Le règlement ne s’applique directement qu’à ces types d’entités.

Le règlement d’exécution (UE) 2024/2690 ne s’applique directement qu’aux types d’entités qu’il cite lui-même : les fournisseurs de services DNS, les registres des noms de domaine de premier niveau, les fournisseurs de services d’informatique en nuage et de services de centres de données, les fournisseurs de réseaux de diffusion de contenu (CDN), les fournisseurs de services gérés et de services de sécurité gérés (Managed Service Provider, Managed Security Service Provider), les fournisseurs de places de marché en ligne, de moteurs de recherche en ligne et de plateformes de services de réseaux sociaux, ainsi que les prestataires de services de confiance. Pour toutes les autres entités importantes et essentielles, ce sont les obligations de la BSIG qui s’appliquent ; le règlement peut leur servir de repère, mais il n’est pas contraignant pour elles.

Selon le § 32 BSIG, les incidents de sécurité importants doivent être notifiés au guichet commun de notification du BSI et du BBK : par une alerte précoce, une notification et un rapport final, complétés à la demande du BSI par des rapports intermédiaires. Complaica gère les incidents de sécurité avec horodatage, responsables et délais et consigne chaque étape avec auteur et date. La notification elle-même, c’est vous qui la déposez auprès du guichet de notification.

Les deux délais courent à partir du moment où l’entité a connaissance d’un incident de sécurité important. L’alerte précoce est due dans les 24 heures ; la notification, qui confirme ou met à jour les premières informations, dans les 72 heures. Le rapport final suit au plus tard un mois après cette notification ; si l’incident est encore en cours, un rapport d’avancement le remplace.

Prestataires et fournisseurs sont gérés comme des actifs et reliés aux processus métier et aux services qui en dépendent. Pour chaque prestataire, il est possible d’évaluer les exigences, d’identifier et de traiter les risques fournisseurs et de déposer des preuves. Le graphe et la matrice de dépendances montrent quel service dépend de quel fournisseur.

Selon le § 38 BSIG, la direction doit mettre en œuvre les mesures de gestion des risques, superviser leur mise en œuvre et suivre régulièrement des formations. Les tableaux de bord et les rapports de Complaica sont donc conçus pour la vue de la direction : le taux de conformité, les principaux risques et les actions ouvertes sur une seule page.

Chaque exigence reçoit un statut de mise en œuvre. Complaica le cumule de bas en haut — de l’exigence au domaine, puis à l’organisation — et l’affiche dans des tableaux de bord : en valeur globale, par domaine, par site et par rapport au mois précédent. Le taux de conformité est une synthèse établie par Complaica à partir de vos propres évaluations, et non un indicateur défini par une autorité.

L’applicabilité découle du secteur, de la taille et de l’activité. Sont visées les entités des secteurs des annexes 1 et 2 de la BSIG — par exemple énergie, transport, santé, infrastructure numérique, services TIC ou industrie manufacturière — en règle générale à partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires annuel et de total du bilan annuel ; certaines entités en relèvent quelle que soit leur taille. Nous vérifions volontiers avec vous si votre entreprise est concernée.

NIS2 relève de la loi, ISO 27001 est une norme pour l’ISMS — sur le fond, les deux se recoupent sur de nombreux sujets, de la gestion des risques au contrôle d’accès. Dans Complaica, NIS2 et ISO 27001 sont évaluées sur le même modèle de périmètre et utilisent les mêmes actifs, risques, actions et preuves. Il en va de même pour TISAX, BSI IT-Grundschutz, DORA, le RGPD et ISO 22301 : ce qui est déjà documenté peut — dans la mesure où cela convient sur le fond — être utilisé pour chaque référentiel concerné.

Elle couvre une part importante des exigences du § 30 BSIG, mais ne remplace ni l’enregistrement ni les obligations de notification et de preuve. Dans Complaica, les deux référentiels utilisent les mêmes actifs, risques, actions et preuves ; l’écart apparaît sous forme de liste d’exigences ouvertes.

Non. NIS2 est un texte de loi, pas une norme de certification : il n’existe de certificat NIS2 ni pour les entités ni pour les logiciels. L’entité doit mettre en œuvre les mesures et pouvoir le prouver à la demande de l’autorité de supervision ; c’est l’autorité compétente qui apprécie si l’obligation est remplie. Complaica tient les preuves correspondantes à disposition sur l’objet qu’elles attestent.

Oui. Complaica est disponible en SaaS et on-premises : la variante SaaS est hébergée en Allemagne ; on-premises, vous exploitez le logiciel de conformité NIS2 dans votre propre infrastructure. La licence coûte le même prix dans les deux cas.

Oui. Complaica importe et exporte des données depuis et vers Excel, via l’API REST et depuis d’autres outils ISMS ; la migration de vos données est gratuite et accompagnée par nos spécialistes. Vous évaluez ainsi l’outil sur votre propre jeu de données plutôt que sur des données de démonstration.

Via l’API REST, des systèmes de gestion des actifs et des CMDB comme i-doit, GLPI, FNT Command et d’autres, ainsi que Jira, SAP et Microsoft Azure. Les données de l’application sont disponibles via des data marts pour les systèmes externes d’analyse et de reporting, et un assistant IA peut être connecté via MCP.

Pour un périmètre défini, les premiers rapports de situation fiables sont généralement disponibles après quelques semaines — selon la documentation existante et les ressources disponibles. Avec des contenus préparés et du conseil, les petites organisations se situent dans le bas de la fourchette.