Les questions qu’on nous pose vraiment.

Oui. Un essai gratuit de 14 jours avec accès complet est disponible sur demande via le formulaire de contact. Aucune donnée de paiement n’est nécessaire.

Ce que vous créez pendant l’essai gratuit est repris tel quel dans le plan payant. Si vous ne choisissez pas de plan, l’essai prend fin automatiquement.

La partie technique se règle en un après-midi : créer l’espace client, inviter les utilisateurs, activer le framework, désigner les responsables. Ce qui prend du temps, c’est le remplissage – autrement dit, déterminer quelles preuves existent déjà chez vous et lesquelles restent à produire.

Pour une première certification ISO 27001, comptez de manière réaliste trois à six mois jusqu’à être prêt pour l’audit, si quelqu’un en interne pilote vraiment le projet. Si c’est fait en parallèle d’autres tâches, il faut neuf à douze mois.

Par le périmètre, pas par les mesures. Définissez quels sites, systèmes et processus en font partie et lesquels en sont expressément exclus. Chaque heure investie ici vous en fait gagner trois plus tard – un périmètre trop large est la raison la plus fréquente pour laquelle les projets traînent en longueur.

Ensuite : désigner un responsable par thème, puis faire l’état des lieux. Seulement après, les mesures.

Moins de personnes que vous ne le pensez. Un responsable par thème suffit ; tous les autres se voient attribuer des tâches et n’ont pas besoin d’un accès permanent. L’édition Basic comprend cinq utilisateurs internes, Professional dix, Enterprise selon accord.

Non. Une connexion via SAML ou OIDC n’est pas disponible actuellement ; l’accès se fait par des comptes propres à Sightadel.

Si l’authentification unique est une condition pour vous, merci de nous le dire avant l’essai gratuit – nous pourrons alors évaluer si et quand elle pourra être envisagée pour vous, plutôt que de vous surprendre plus tard.

Oui, et c’est le cas le plus courant. Vous importez directement vos tableaux Excel et documents Word existants ; les politiques, procédures et preuves sont rattachées aux exigences correspondantes.

Ce qui ressort presque toujours : le tableau contient des états qui ne sont plus exacts depuis des mois. Ce n’est pas un argument contre la migration, c’en est la raison.

Par référentiel. Vous souscrivez ISO 27001, NIS2 ou DORA séparément, chacun dans l’une des trois éditions. Les éditions se distinguent par la capacité et le délai de réponse – utilisateurs internes, stockage des preuves, actifs surveillés, fournisseurs, support –, pas par le contenu du référentiel.

Concrètement : les exigences, la structure des preuves et l’export d’audit sont les mêmes en Basic qu’en Enterprise.

Si votre licence comprend ISO 27001 ou ISO 9001, chaque autre référentiel coûte durablement 5 % de moins que le prix catalogue. ISO 27001 et ISO 9001 elles-mêmes en sont exclues. S’y ajoutent des remises pour paiement anticipé. Vous trouverez les conditions exactes et un simulateur sur notre page de tarifs.

Le véritable gain du deuxième référentiel ne réside pas dans la remise, mais dans le fait qu’une grande partie des preuves existe déjà. Plus de détails dans la rubrique consacrée à la réutilisation.

Six, avec une distinction explicite entre interne et externe :

Admin (Owner) – gère l’espace client, les utilisateurs et les abonnements.

Consultant, interne – travaille sur le contenu de tous les référentiels.

Contributor, interne – traite les points qui lui sont attribués.

Viewer – consulte sans modifier.

Consultant, externe – pour les consultantes et consultants que vous faites intervenir.

Auditeur – toujours externe ; lit, commente, modifie après validation, ne supprime jamais.

La distinction entre consultant interne et externe n’est pas un détail : lors de l’audit, il doit être clair qui appartient à votre organisation et qui n’en fait pas partie.

Oui. Basic comprend un référentiel personnalisé, Professional trois, Enterprise un nombre illimité. C’est la solution pour les exigences de groupe, les exigences contractuelles de vos clients ou les normes sectorielles pour lesquelles il n’existe pas de module prêt à l’emploi.

Oui. Vous y rassemblez ce que vos clients et prospects demandent de toute façon – certificats, attestations, informations sur l’hébergement, sous-traitants ultérieurs – et vous y renvoyez au lieu d’envoyer à chaque fois la même pièce jointe.

L’intérêt se révèle au troisième questionnaire client : ce qui figure dans le Trust Center n’a plus à être recherché pour le questionnaire.

Pas entièrement, et c’est voulu. Pour chaque exigence, il existe des modèles adaptés à votre secteur. L’IA aide à la rédaction et propose des textes, vous décidez.

Ce qui caractérise votre entreprise – objectifs, risques, responsabilités –, c’est à vous de le décrire. Sinon, la norme ne remplit pas son objectif, et cela se remarque lors de l’audit.

Vous posez votre question directement au niveau du contrôle. Pour les questions importantes et les cas épineux, ce sont de vrais consultantes et consultants expérimentés en audit qui répondent, pas un système de tickets.

Si vous faites appel à votre propre cabinet de conseil, il obtient un rôle externe dédié dans le compte.

L’accent est mis sur la gestion des preuves elle-même, pas sur une longue liste de connecteurs prêts à l’emploi. Si une interface précise est déterminante pour vous, parlez-nous-en avant l’essai gratuit.

Et une précision qui manque souvent dans les comparatifs de fournisseurs : les preuves collectées automatiquement ne remplacent pas une décision. Un outil peut attester que le chiffrement est actif – c’est toujours à vous de juger s’il est approprié, et c’est précisément ce que demande l’auditeur.

Oui, après accord. Nous réalisons les exigences très spécifiques que le standard ne couvre pas sous forme d’adaptation sur mesure. Nous clarifions au préalable avec vous le périmètre et les coûts dans une offre. Plus d’informations sur la page Adaptations sur mesure.

En allemand et en anglais. Les outils de travail de la rubrique Ressources – listes de contrôle, kits de preuves, guides – sont en outre disponibles en français, en espagnol et en portugais, européen comme brésilien.

Grâce au tableau de bord : avancement de la conformité par framework, tâches ouvertes avec échéance et preuves arrivant à expiration. Ce qui est utile, c’est moins le chiffre global que la tendance : qu’est-ce qui a expiré depuis le mois dernier, et qui s’en occupe.

Deux choses que l’on confond souvent. D’abord les chapitres 4 à 10 : un système de management avec contexte, leadership, planification, fonctionnement, évaluation et amélioration. Ensuite l’annexe A : 93 mesures réparties en quatre thèmes – organisationnelles, liées aux personnes, physiques, technologiques.

Les auditeurs font rarement échouer une organisation sur l’annexe A. Ils la font échouer sur les chapitres 9 et 10 : audits internes, revue de direction, actions correctives. C’est la partie qui ne s’achète pas.

La déclaration d’applicabilité (DdA) – en anglais Statement of Applicability – est le seul document que la norme désigne nommément comme obligatoire et que l’auditeur veut voir avant tous les autres. Pour chacune des 93 mesures, elle indique : applicable ou non, avec justification, et si elle est applicable, la référence à sa mise en œuvre.

Exclure une mesure est autorisé. L’exclure sans justification est une non-conformité.

Oui, et elle doit être reproductible. La norme n’impose pas de méthode, mais exige que les mêmes données d’entrée conduisent à des résultats comparables. Une évaluation au jugé par des personnes qui changent ne remplit pas cette condition.

L’ordre est d’ailleurs l’inverse de celui par lequel la plupart commencent : d’abord les risques, puis les mesures, puis la déclaration d’applicabilité. Qui commence par l’annexe A finit par justifier à rebours.

Non, et il ne peut pas l’être. Les normes ISO sont protégées par le droit d’auteur et font l’objet de licences individuelles – via Beuth ou DIN Media en Allemagne, ou directement auprès de l’ISO. Sightadel contient la structure, les contrôles, la gestion des preuves et nos propres explications, pas le libellé de la norme.

Vous avez donc besoin d’au moins un exemplaire de la norme en interne. Cela vaut pour toute plateforme, y compris celles qui ne le précisent pas.

Moins que ne le laissent croire les packs de modèles. La norme exige nommément un nombre limité d’informations documentées – périmètre, politique, méthodologie des risques, plan de traitement des risques, déclaration d’applicabilité, preuves de compétence, programme et résultats d’audit, revue de direction, non-conformités et actions correctives.

Tout le reste n’est nécessaire que si, sans cela, vous ne pouvez pas démontrer qu’une mesure est efficace. Une politique que personne ne lit n’est pas une preuve, mais un poids mort.

C’est presque toujours le client qui en décide, pas la norme. ISO 9001 est indépendante du secteur et certifie aussi bien des prestataires de services que des fabricants. Le déclencheur habituel est un appel d’offres ou un contrat-cadre qui pose le certificat comme condition d’accès.

Oui, et c’est la vraie raison de piloter les deux dans un même outil. Les deux normes suivent la même structure de base : contexte, leadership, planification, support, fonctionnement, évaluation, amélioration.

Concrètement : une procédure de maîtrise documentaire, un programme d’audit interne, une revue de direction, une procédure d’actions correctives – et non deux de chaque. Un audit combiné est possible auprès de nombreux organismes de certification et permet d’économiser des jours d’audit.

Non. ISO 9001:2015 n’exige ni catalogue de processus ni manuel qualité – tous deux sont hérités d’anciennes versions et ont la vie dure. Ce qui est exigé, c’est que vous connaissiez vos processus, que vous les pilotiez et que vous en mesuriez l’efficacité.

Là où une description manque mais où le résultat est correct, il n’y a pas de constat. Là où elle manque et où, de ce fait, des erreurs se répètent, il y en a un.

L’examen se fait en deux étapes. D’abord le secteur : votre activité figure-t-elle dans la liste des types d’entités ? Ensuite la taille : à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires annuel, vous êtes une entité importante ; à partir de 250 salariés ou 50 millions d’euros, une entité essentielle.

Indépendamment de la taille, l’obligation s’applique à certaines entités – par exemple les exploitants d’installations critiques et les fournisseurs de certains services numériques. Notre liste de contrôle NIS2 contient une feuille qui calcule la classification.

En règle générale, non. Les seuils sont de 50 salariés ou 10 millions d’euros de chiffre d’affaires ; un cabinet individuel ou un petit cabinet de groupe se situe en dessous. Ce qui s’impose en revanche, c’est la directive de sécurité informatique selon le § 390 du Code social allemand, livre V (SGB V) (anciennement § 75b) – elle s’applique à tout cabinet, quelle que soit sa taille, et exige notamment expressément un pare-feu.

NIS2 peut néanmoins vous concerner indirectement : si vous êtes connecté à un hôpital, un laboratoire ou un centre de soins (MVZ) lui-même soumis à l’obligation, vous recevez des exigences par le biais de sa chaîne d’approvisionnement.

Trois, et tous courent à partir du moment où vous avez connaissance de l’incident. Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans un délai d’un mois. Si l’incident est toujours en cours à la fin de ce délai d’un mois, vous remettez d’abord un rapport d’avancement.

L’erreur la plus fréquente n’est pas le délai manqué, mais l’heure de départ non consignée. Notez la date et l’heure de la prise de connaissance avant de faire quoi que ce soit d’autre.

La direction doit mettre en œuvre les mesures de gestion des risques, en surveiller l’application et se former. Elle peut déléguer des tâches, mais la responsabilité lui reste et engage sa responsabilité personnelle.

Concrètement : il faut une décision de la direction datée et signée, pas un e-mail disant « ça ira ». Notre liste de contrôle NIS2 comporte une feuille dédiée à imprimer à cet effet.

Non. NIS2 n’est pas une norme certifiable, mais une obligation soumise à supervision. Vous démontrez la mise en œuvre auprès de l’autorité compétente, pas auprès d’un organisme de certification.

C’est pourquoi la gestion des preuves est ici plus importante que pour ISO : il n’existe aucun certificat à présenter – seulement votre documentation. Qui vous vend un « certificat NIS2 » vous vend un bout de papier sans effet juridique.

Aux entités financières de l’UE au sens large – banques, assureurs, entreprises d’investissement, prestataires de services de paiement, prestataires de services sur crypto-actifs et autres – ainsi qu’aux prestataires tiers critiques de services TIC qui les fournissent. Le règlement s’applique directement depuis le 17 janvier 2025, sans acte de transposition national.

Si vous fournissez des logiciels ou des services d’exploitation à des entités financières, les exigences vous atteignent par le contrat, même si vous n’êtes pas vous-même une entité financière.

De sept domaines : gestion du risque lié aux TIC, gestion et notification des incidents liés aux TIC, tests de résilience opérationnelle numérique, gestion du risque lié aux prestataires tiers de services TIC, registre d’informations, partage d’informations et supervision des prestataires tiers critiques.

Notre liste de contrôle DORA décompose cela en 50 exigences avec référence à l’article, preuve attendue et statut.

En cas d’incident majeur lié aux TIC : notification initiale au plus tard quatre heures après sa classification comme majeur et en aucun cas plus de 24 heures après sa prise de connaissance. Rapport intermédiaire dans les 72 heures, rapport final dans un délai d’un mois.

La différence avec NIS2 tient au point de départ : DORA fait courir le premier délai à partir de la classification, NIS2 à partir de la prise de connaissance. Si vous êtes soumis aux deux, séparez clairement ces points dans votre processus de gestion des incidents.

Seule une partie des entreprises est concernée. Les tests de pénétration fondés sur la menace selon le cadre TIBER-EU sont prévus pour certaines entités financières désignées par l’autorité de surveillance, au moins tous les trois ans, un test sur trois devant être réalisé par un prestataire externe.

Toutes les autres ont besoin d’un programme de tests, mais pas d’un TLPT : évaluations des vulnérabilités, évaluations de la sécurité des réseaux, revues du code source, tests de pénétration au sens habituel.

Un inventaire complet de tous les accords contractuels portant sur l’utilisation de services TIC, au niveau de l’entité individuelle et du groupe. Il est transmis régulièrement à l’autorité de surveillance, la date de référence habituelle étant le 31 décembre de l’année précédente.

L’expérience montre que c’est là que les projets s’enlisent : les champs exigés ne figurent dans aucun dossier contractuel, mais doivent être rassemblés à partir des contrats, des achats et de l’exploitation.

ISO 27001, ISO 9001, ISO 42001, NIS2, DORA, RGPD, EU AI Act, BSI C5, SOC 2, NIST CSF 2.0, § 390 SGB V pour les cabinets médicaux et dentaires et HACCP, ainsi que des référentiels personnalisés.

Non, et les différences sont plus grandes que ne le suggèrent les tableaux comparatifs. ISO 27001 est une norme avec un certificat délivré par un organisme accrédité. SOC 2 est un rapport d’examen établi par un auditeur indépendant (expert-comptable) selon des normes américaines – non pas un certificat, mais un rapport que vous transmettez à vos clients.

Le type I décrit la pertinence des contrôles à une date donnée, le type II leur efficacité sur une période, généralement de trois à douze mois. Pour les clients européens, c’est le plus souvent ISO 27001 qui compte ; pour les clients américains, le plus souvent SOC 2.

C’est le catalogue de critères de l’Office fédéral de la sécurité des technologies de l’information (BSI) pour les services cloud. Il ne fait pas l’objet d’une certification, mais d’une attestation : un auditeur indépendant (expert-comptable) l’examine selon ISAE 3000 et délivre une attestation, au choix à une date donnée ou sur une période.

Il est demandé presque exclusivement aux fournisseurs cloud qui livrent le secteur public ou des clients réglementés en Allemagne. Si personne ne vous le demande, vous n’en avez pas besoin.

En partie, et c’est l’écart qui constitue la moitié intéressante. ISO 27001 protège les informations quelle que soit la personne à qui appartiennent les données. Le RGPD s’intéresse à la base légale, à la limitation des finalités, à la minimisation des données, aux droits des personnes concernées, au registre des traitements et à l’analyse d’impact relative à la protection des données.

Les mesures techniques et organisationnelles de l’article 32 recoupent largement l’annexe A. Tout ce qui touche à la licéité et aux droits des personnes concernées n’a pas d’équivalent dans ISO 27001.

De cadre de structuration, pas d’objectif de certification. Les six fonctions – Govern, Identify, Protect, Detect, Respond, Recover – offrent un langage permettant de présenter le niveau de maturité à la direction et au conseil de surveillance sans avoir à lire des chapitres ISO.

Il est en outre utile face aux clients américains et aux assureurs qui le demandent. Il n’existe pas de certificat.

ISO 42001 est la norme de système de management pour l’intelligence artificielle, construite comme ISO 27001 et certifiable. Si vous exploitez déjà un SMSI, vous pouvez largement réutiliser le leadership, le processus de gestion des risques, les audits internes et la revue de direction.

Elle ne remplace pas les obligations du règlement européen sur l’IA, mais aide à les remplir de manière structurée.

Tout ce qui permet à un tiers de constater que quelque chose a réellement été fait – avec une date et un auteur. Un procès-verbal, une capture d’écran d’un paramètre, une validation dans le système de tickets, une feuille signée, un extrait de journal.

Ce qui n’est pas une preuve : une politique qui prescrit quelque chose. Elle atteste l’intention, pas la mise en œuvre. Le constat le plus fréquent lors d’un premier audit est précisément cette confusion.

Aussi récente que le cycle que vous avez vous-même fixé. Si votre politique prévoit une revue annuelle des droits d’accès et que la dernière date de 18 mois, c’est une non-conformité – non parce que la norme exige 12 mois, mais parce que vous l’avez fixé.

D’où cette recommandation inconfortable : fixez des cycles que vous pouvez tenir. Un rythme semestriel paraît plus rigoureux et devient une source d’erreurs dès la deuxième année.

Il doit pouvoir évaluer l’efficacité, pas lire chaque détail. Pour les contenus à caractère personnel ou particulièrement sensibles, les extraits caviardés, les échantillons ou la consultation à l’écran sans copie sont courants et acceptés.

Insistez pour que la manière de procéder soit clarifiée avant l’audit, pas dans la salle d’audit.

Moins qu’on ne le pense, à condition de gérer des liens plutôt que des copies. Basic comprend 1 Go, Professional 10 Go, Enterprise 100 Go. Qui dépose chaque capture d’écran en pleine résolution atteint la limite plus vite que celui qui renvoie vers le système de tickets.

Le fait qu’un même sujet soit demandé dans plusieurs référentiels et que vous le prouviez une seule fois. La gestion des accès figure dans l’annexe A d’ISO 27001, dans la mesure 9 de NIS2, dans la gestion du risque lié aux TIC de DORA et dans les critères communs de SOC 2. C’est quatre fois la même question.

Qui tient un dossier distinct par référentiel entretient la même preuve plusieurs fois – et, au bout d’un an, en a trois versions différentes.

Une preuve est déposée une fois et rattachée à toutes les exigences qu’elle couvre – au-delà des frontières entre référentiels. Une modification s’applique à toutes les exigences liées ; si la preuve expire, elle expire partout.

La différence avec une solution sous forme de tableau n’apparaît pas à la création, mais un an plus tard : là-bas, la même preuve existe en trois versions, ici en une seule.

Cela dépend de la paire, et on ne peut le dire sérieusement qu’avec vos données. Ordres de grandeur issus de l’expérience : ISO 27001 et NIS2 se recoupent fortement sur le plan technique et organisationnel ; ISO 27001 et SOC 2 également ; ISO 27001 et le RGPD uniquement là où il est question de l’article 32.

Nous ne donnons délibérément aucun pourcentage. Qui vous affirme que deux référentiels se recoupent à 80 % n’a soit pas vu votre périmètre, soit compte des exigences plutôt que l’effort.

Tout ce qui est lié à une conséquence juridique ou à une procédure déterminée. Les délais de notification de NIS2 et de DORA ne sont pas identiques. La décision de la direction exigée par NIS2 ne remplace pas une revue de direction selon ISO 27001. Le registre d’informations DORA n’a pas d’équivalent dans ISO 27001.

Ce sont précisément ces restes qui expliquent pourquoi un simple tableau de correspondance ne suffit pas.

En commençant par le plus large, si vous avez le choix. ISO 27001 alimente le plus les autres référentiels, car le système de management et le catalogue de mesures sont tous deux nécessaires. Ensuite, le deuxième référentiel est surtout un complément plutôt qu’une construction à partir de zéro.

Si une échéance presse, l’échéance l’emporte. NIS2 et DORA ne demandent pas si vous avez fait ISO auparavant.

Non. Les normes ISO sont des normes internationales, et un certificat ISO 27001 ou ISO 9001 est reconnu dans le monde entier, à condition que l’organisme de certification émetteur soit accrédité et que l’organisme d’accréditation soit signataire de l’accord multilatéral de l’International Accreditation Forum. En Allemagne, il s’agit de la DAkkS.

Seuls les actes juridiques sont purement européens : NIS2, DORA, le RGPD et le règlement sur l’IA. Ils concernent aussi les fournisseurs hors de l’UE dès qu’ils livrent dans l’UE ou traitent des données de personnes se trouvant dans l’UE. À l’inverse, SOC 2 et NIST sont d’inspiration américaine et demandés dans le monde entier.

En bref : la norme est mondiale, l’obligation est régionale.

Non. Sightadel est un logiciel de préparation et de maintien de la conformité – nous ne certifions pas et ne réalisons pas d’audits de certification. Le certificat est délivré par un organisme de certification accrédité à l’issue d’un audit.

Vous choisissez librement l’organisme de certification. Vous pouvez mandater le vôtre ou vous adresser à l’un de ceux de notre réseau de partenaires indépendant. Aucune commission n’est versée pour les audits – ni à nous, ni aux partenaires.

Cette séparation n’est pas de la réserve, mais un principe : selon ISO 17021, un organisme de certification doit être impartial et ne peut pas conseiller et certifier la même organisation. Qui propose logiciel, conseil et certificat d’une seule main crée un conflit d’intérêts qui, au bout du compte, rend votre certificat contestable.

Oui. Il existe un rôle Auditeur dédié, toujours externe – un utilisateur interne ne peut pas l’obtenir. L’auditeur lit et commente, crée ou modifie des entrées après votre validation et ne peut rien supprimer. Cela évite d’envoyer des dossiers de preuves par e-mail et permet de retracer ce que l’auditeur a consulté.

Pour les consultantes et consultants que vous faites intervenir, il existe un rôle distinct, afin qu’il n’y ait pas de confusion lors de l’audit entre ceux qui ont contrôlé et ceux qui ont participé aux travaux.

En deux étapes. L’étape 1 est essentiellement une revue documentaire : périmètre, politique, méthodologie des risques, déclaration d’applicabilité, programme d’audit. L’étape 2 vérifie l’efficacité sur site ou à distance, par échantillonnage et entretiens.

Suivent deux audits de surveillance les années suivantes, puis l’audit de renouvellement la troisième année. Le cycle dure trois ans.

Cela dépend de l’effectif et de la complexité, et l’organisme de certification le détermine selon ISO 27006. Ordre de grandeur pour une première certification ISO 27001 : environ cinq jours jusqu’à dix salariés, environ huit à dix pour 50, douze à quatorze pour un effectif de quelques centaines.

Les audits de surveillance représentent environ un tiers, l’audit de renouvellement environ deux tiers de la durée de l’audit initial. Depuis la version de 2024, le calcul est davantage fondé sur les risques – les chiffres sont indicatifs, pas un droit acquis.

Oui, tant que la personne qui audite ne contrôle pas son propre domaine de travail. L’indépendance signifie ici objectivité, pas extériorité. Dans les petites organisations, les services s’auditent mutuellement ; si ce n’est pas possible, faire appel à un auditeur interne externe est la voie habituelle.

Le travail qui fait la différence. Un certificat est un instantané valable trois ans, avec deux audits de surveillance entre-temps. Entre les audits, les cycles continuent : revues des accès, évaluations des fournisseurs, formations, tests de restauration, revue de direction.

L’erreur classique est la pause après l’audit initial. Elle se remarque lors du premier audit de surveillance, car il manque des preuves pour onze mois.

De trois manières : par une notification dans le tableau de bord, par la newsletter et dans la rubrique Actualités de sightadel.com. La notification dans le tableau de bord est la plus ciblée – elle n’apparaît que pour les référentiels auxquels vous êtes abonné, et pas pour tous les autres.

Chaque notification indique ce qui a changé, ce que cela signifie pour vos contrôles et la date à laquelle il faut agir.

Non. Les nouvelles versions des référentiels proposés sont disponibles sans supplément dans le cadre de l’abonnement en cours. Lors d’un changement comme le passage d’ISO 27001:2013 à 2022, vous recevez la nouvelle structure ainsi que la correspondance avec vos preuves existantes.

La transition elle-même reste du travail – mais ce n’est pas à vous de payer une seconde fois pour cela.

C’est l’International Accreditation Forum qui le fixe pour chaque norme, généralement trois ans à compter de la publication. Passé ce délai, les certificats selon l’ancienne version perdent leur validité, quelle que soit la date de fin de votre propre cycle.

Concrètement : la transition doit se faire lors d’un audit de surveillance ou de renouvellement ordinaire, pas lors d’un audit spécial peu avant l’échéance.

En Allemagne. Le développement, l’exploitation et le support sont également basés ici. Aucun détour par des centres de données à l’étranger, aucun accès en vertu d’un droit étranger.

Pour une partie de nos clients, c’est la raison même de nous contacter – et pour tous les autres, au moins une question de moins dans le questionnaire fournisseur.

Oui. Sightadel traite des données à caractère personnel pour votre compte – comptes utilisateurs, responsabilités, parfois des contenus figurant dans les preuves. L’accord de sous-traitance (art. 28 RGPD) fait partie de l’ensemble contractuel, avec la liste des sous-traitants ultérieurs.

Oui. Les preuves, les contrôles et les statuts peuvent être exportés – c’est la condition pour qu’un auditeur puisse travailler avec, et votre protection contre la dépendance vis-à-vis du fournisseur.

Posez d’ailleurs cette question à chaque fournisseur, y compris à nous, et faites-vous-le montrer plutôt que promettre.

Gardez un export à jour avant chaque audit. Ce n’est pas de la méfiance à notre égard, mais la même précaution que celle que vous exigez de vous-même dans votre plan de reprise.

neonotu GmbH, qui développe et exploite Sightadel, est certifiée ISO 9001 et ISO 27001. Nous traitons les données conformément au RGPD et satisfaisons aux exigences de DORA applicables aux prestataires tiers de services TIC.

Nous gérons notre propre système de management dans Sightadel – c’est le test le plus honnête qu’un tel outil puisse passer.

La licence est accordée par référentiel et par édition (Basic, Professional, Enterprise), avec un prix mensuel fixe. Vous trouverez tous les tarifs et un simulateur sur notre page de tarifs.

Des remises s’appliquent pour plusieurs frameworks et pour le paiement anticipé. Les conditions et la comparaison des éditions figurent également sur notre page de tarifs.

Les contrats ont une durée minimale d’un an. Vous pouvez payer mensuellement ou annuellement : le paiement anticipé donne droit à des remises ; les conditions figurent sur notre page de tarifs.

Non. L’organisme de certification facture séparément et directement, et il y est tenu, car il doit rester indépendant. Nous ne percevons aucune commission à ce titre. Ordre de grandeur en Allemagne : première certification ISO 27001 environ 9 000 à 13 000 € jusqu’à 50 salariés, 15 000 à 22 000 € jusqu’à 250 (coûts de l’organisme de certification, pas de Sightadel). Les audits de surveillance sont nettement moins chers.

Ces fourchettes relèvent de l’observation du marché, pas d’une offre – demandez deux à trois devis, les écarts sont considérables.

Vous exportez vos preuves et votre état d’avancement. Ce que vous emportez, c’est votre travail.

Nous préférons que vous partiez avec vos données plutôt que de vous voir rester par crainte pour vos données.