Des solutions sur mesure pour les PME et ETI
Dans une PME ou une ETI, une seule personne s’occupe souvent de la sécurité de l’information, de la protection des données et de la qualité, le plus souvent en plus de son travail. En même temps arrivent NIS2, les audits clients et les questionnaires. Sightadel vous guide à travers les frameworks, rattache chaque preuve à toutes les exigences qu’elle couvre et montre l’état des lieux à la direction.
Situation de départ
Les PME et ETI ont rarement un service dédié à la sécurité de l’information. La tâche revient à la direction informatique, au management de la qualité ou à un membre de la direction. Des prestataires externes gèrent le réseau, les serveurs ou les logiciels. La connaissance du fonctionnement réel de l’entreprise repose sur quelques personnes.
Les exigences arrivent de plusieurs côtés à la fois. La nouvelle loi allemande sur le BSI (BSIG) s’applique depuis décembre 2025, et de nombreuses entreprises à partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires et de total de bilan sont concernées en tant qu’entités importantes. Les grands clients exigent un certificat ISO 27001 ou envoient leurs propres référentiels. La protection des données s’applique de toute façon.
Traiter chaque exigence séparément, c’est faire beaucoup de choses deux fois. Les droits d’accès, la sauvegarde, la formation et la gestion des fournisseurs figurent dans ISO 27001, NIS2 et le RGPD. Avec une base commune, chaque preuve est créée une fois et vaut pour tous les frameworks qui la demandent.
Pourquoi maintenant
La BSIG couvre de nombreux secteurs qui n’avaient jusqu’ici aucune obligation, par exemple la construction mécanique, l’électronique, la chimie, l’agroalimentaire, la logistique et la gestion des déchets. À partir d’une taille moyenne s’appliquent l’enregistrement, la gestion des risques et les obligations de notification.
Le contrat ou l’appel d’offres pose un certificat comme condition. Il y a souvent une date à laquelle la preuve doit être disponible.
Les clients soumis à NIS2 ou à DORA doivent évaluer leurs fournisseurs. Les questionnaires arrivent chez vous, et chacun est un peu différent.
Selon le § 38 de la BSIG, la direction approuve les mesures, surveille leur mise en œuvre et suit régulièrement des formations. Elle a besoin pour cela d’une vue d’ensemble fiable.
Si le savoir se trouve dans un fichier Excel et dans la tête d’une seule personne, chaque départ relance la recherche. Un système tenu à jour reste, même quand les personnes changent.
Avant une souscription ou un renouvellement, les assureurs cyber et les banques demandent des mesures comme la sauvegarde, l’authentification multifacteur et un plan d’urgence. Des réponses justifiées facilitent l’échange.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Votre assujettissement dépend du secteur et de la taille. Les entités importantes commencent à 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan, les entités essentielles à 250 salariés ou plus de 50 millions d’euros de chiffre d’affaires et 43 millions d’euros de total de bilan. Cela comprend l’enregistrement auprès du BSI, la gestion des risques selon le § 30 de la BSIG et des notifications sous 24 heures.
Voir le framework →La preuve habituelle envers les clients et la meilleure base pour NIS2. Le certificat d’un organisme accrédité est valable trois ans, avec des audits de surveillance annuels. De nombreuses mesures du § 30 de la BSIG se retrouvent dans l’annexe A.
Voir le framework →S’applique à toute entreprise qui traite des données à caractère personnel. Cela comprend le registre des activités de traitement, les contrats avec les sous-traitants, les mesures techniques et organisationnelles et une procédure pour les violations de données.
Voir le framework →Beaucoup de PME et d’ETI sont déjà certifiées ISO 9001. Vous réutilisez la maîtrise des documents, l’audit interne et la revue de direction pour ISO 27001, au lieu de construire un second système.
Voir le framework →Ordre recommandé
Votre entreprise relève-t-elle de NIS2, et qu’exigent vos principaux clients ? Le NIS2-Check gratuit donne une première orientation. L’appréciation juridique de votre cas reste du ressort de votre conseil.
Une personne porte le sujet et dispose du temps nécessaire. La direction approuve les objectifs. L’informatique, les ressources humaines et les achats contribuent, les prestataires externes travaillent sur leurs propres tâches.
Analyse des risques, politiques, accès, sauvegarde, plan d’urgence et fournisseurs. Avec ISO 27001 comme cadre, vous couvrez la plus grande partie de NIS2 et les mesures techniques du RGPD en même temps.
Ce qui manque devient une tâche avec un délai et une personne responsable. Beaucoup de choses existent déjà et n’ont besoin que d’un justificatif. Le nouveau, c’est généralement ce que personne n’a encore écrit.
Pour ISO 27001, l’audit est réalisé par un organisme de certification accrédité. Pour NIS2, vous tenez les documents à disposition du BSI. Les clients reçoivent certificat et réponses via le Trust Center.
Priorité
Dans une PME ou une ETI, le temps disponible est décisif. Quatre éléments évitent que le sujet repose sur une seule personne.
Un justificatif de sauvegarde vaut pour ISO 27001, NIS2 et le RGPD. Vous le déposez une fois et le reliez à toutes les exigences qu’il couvre.
Les ressources humaines téléversent les attestations de formation, le prestataire informatique les journaux de sauvegarde. Chacun ne voit que ses tâches et n’a pas d’outil à apprendre.
Le tableau de bord montre par framework l’avancement, les tâches ouvertes et les échéances dépassées. La direction suit en tant que Viewer, sans devoir demander de rapports.
Pour les questions difficiles comme le périmètre ou l’évaluation des risques, vous ajoutez du conseil sous forme de pack. Si vous avez des exigences que le standard ne couvre pas, nous adaptons Sightadel sur demande.
Comment Sightadel vous aide
ISO 27001, NIS2 et le RGPD sont traités question par question, avec explication et options de réponse. Là où les exigences se recoupent, vous le voyez tout de suite et n’y répondez qu’une fois.
En savoir plus →Les politiques partent d’un modèle adapté à votre secteur. L’IA propose des formulations à partir de vos informations. Les décisions que la norme vous réserve restent signalées.
En savoir plus →Chaque écart devient une tâche avec un délai et une personne responsable. Sightadel envoie un rappel avant l’échéance, et la direction voit ce qui est en retard.
En savoir plus →Les preuves portent une date, une version et une date d’expiration et sont reliées à tous les contrôles qu’elles justifient. Lors de l’audit, vous trouvez chaque preuve au même endroit.
En savoir plus →Prestataires informatiques, services cloud et partenaires de maintenance figurent dans une liste avec risque, contrat et preuves. L’évaluation sert à la fois NIS2, ISO 27001 et le RGPD.
En savoir plus →Sightadel vérifie l’apparence de vos domaines vus de l’extérieur et présente chaque problème avec des instructions de correction. Vous pouvez transmettre le rapport à votre prestataire informatique.
En savoir plus →Sur demande
Beaucoup de PME et d’ETI travaillent selon les exigences d’une maison mère, d’un grand client ou selon leurs propres processus. Vous configurez une grande partie vous-même dans Sightadel. Pour le reste, nous réalisons l’adaptation sur demande. Le périmètre et les coûts figurent au préalable dans un devis.
Entreprises avec exigences de groupe, grands référentiels clients ou processus propres
Chaque adaptation commence par un échange. La réalisation ne démarre qu’une fois le périmètre et les coûts fixés.
Voir les adaptations sur mesureEffort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont le nombre de sites, la taille du périmètre et le temps que la personne responsable peut y consacrer en plus des activités courantes.
Ce que vous souscrivez · généralement Professional
Une PME ou ETI typique soumise à NIS2 pilote NIS2 et le RGPD avec ISO 27001 dans l’édition Professional. Elle comprend dix utilisateurs, dix actifs et 25 fournisseurs, de quoi couvrir la direction, l’informatique, les ressources humaines et les achats. Licence pour ISO 27001 : à partir de 750 € par mois. Comme ISO 27001 fait partie de la licence, NIS2 et le RGPD coûtent durablement moins. Avec plusieurs sociétés ou de nombreux fournisseurs, Enterprise convient mieux.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
Cela dépend de deux questions. Votre activité relève-t-elle de l’un des secteurs des annexes 1 ou 2 de la BSIG ? Et avez-vous au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires et de total de bilan ? Si les deux s’appliquent, vous êtes en règle générale une entité importante. Le NIS2-Check donne une première orientation, l’appréciation juridique se clarifie avec votre conseil.
C’est une très bonne base, mais il ne remplace pas les obligations légales. L’enregistrement auprès du BSI, les obligations de notification et l’obligation de formation de la direction s’y ajoutent. Dans Sightadel, vous voyez quelles exigences de NIS2 votre SMSI couvre déjà.
Oui. Votre prestataire informatique travaille sur ses tâches en tant que Contributor et y téléverse les justificatifs. La responsabilité reste dans l’entreprise, le travail se répartit entre ceux qui peuvent le faire.
Pour la mise en place, beaucoup d’entreprises prévoient quelques heures par semaine pour la personne responsable pendant plusieurs mois. Ensuite, il s’agit d’entretien : renouveler les preuves, traiter les tâches, faire une revue annuelle. Un chiffre précis dépend du périmètre.
Oui. Contexte, leadership, maîtrise des documents, audit interne et revue de direction se gèrent en commun pour les deux normes. Les nouveautés sont surtout l’analyse des risques et les mesures de l’annexe A.
Vous le créez comme framework personnalisé, y compris par import depuis Excel ou Word, et reliez les preuves existantes. Si le référentiel est très volumineux, nous le préparons pour vous sur demande.
Vous configurez beaucoup de choses vous-même, comme les responsabilités, les délais, les rappels et les frameworks personnalisés. Ce qui va au-delà, par exemple une connexion supplémentaire ou un rapport particulier, nous en discutons avec vous et le réalisons sur devis.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
