Si vous cherchez des alternatives à Kertos, vous êtes probablement à un moment précis : un client réclame un certificat ISO 27001, la direction juridique demande la documentation RGPD, ou votre secteur attend la transposition de NIS2, et personne dans l'équipe ne peut absorber ce travail en plus du sien. Ce guide ne compare donc pas des listes de fonctionnalités. Il compare les quatre modèles de prestataires entre lesquels vous arbitrez réellement, les sept critères qui les distinguent, et les coûts qui ne figurent dans aucune proposition commerciale.
Toutes les informations relatives aux prestataires proviennent de leurs propres sites, au 12 août 2026. Lorsqu'une information n'y est pas publiée, le texte l'indique explicitement.
L'essentiel en bref
- Les entreprises qui cherchent des alternatives à Kertos comparent en pratique quatre catégories : les plateformes d'automatisation américaines, les plateformes européennes avec équipe d'experts intégrée, les cabinets de conseil classiques et la gestion interne sur tableur.
- Le nombre de référentiels annoncé n'est pas un indicateur de qualité. Vanta revendique « 35+ », Drata « 30+ » et Scrut « 60+ » sur leurs propres sites. Pour une certification ISO 27001 assortie du RGPD et d'un rapport SOC 2, la plupart des entreprises en utilisent trois à cinq.
- Les indications sur la localisation des données varient fortement en précision : Vanta annonce un centre de données européen à Francfort, Scrut mentionne la région de Francfort dans son contrat de sous-traitance pour les traitements d'IA, Drata n'indique aucune région européenne sur son site.
- En France, NIS2 n'est pas transposée. Le projet de loi n° 1112 est à l'Assemblée nationale depuis mars 2025, sans vote en séance publique. NIS1 reste applicable aux OSE et aux FSN, et l'ANSSI propose un pré-enregistrement volontaire.
- Kertos indique sur sa page consacrée à l'ISO 27001 automatiser environ 60 % des flux de travail de conformité, réduire de 80 % le délai jusqu'à l'audit et coûter 50 % moins cher que la voie classique, avec un taux de réussite aux audits de 100 %.
Quand une alternative à Kertos a vraiment du sens
Trois situations justifient de choisir un autre prestataire, et elles méritent d'ouvrir la comparaison plutôt que de la clore.
La première est le marché public américain. Si votre objectif commercial s'appelle FedRAMP, CMMC ou NIST 800-171, il vous faut une plateforme qui inscrit ces programmes à son catalogue et dont le réseau d'auditeurs y est établi. Vanta et Drata listent tous deux FedRAMP et CMMC 2.0 sur leurs pages de référentiels.
La deuxième est le renoncement délibéré à l'accompagnement. Si vous employez déjà un responsable de la sécurité expérimenté qui a construit deux systèmes de management de la sécurité de l'information, vous avez besoin d'un outil, pas d'une équipe. Chez un prestataire orienté service, vous paieriez alors des prestations que vous n'utiliserez pas.
La troisième est la gouvernance de groupe. Si un système GRC couvrant tout le groupe est déjà en place, connecté à la remontée des risques, à l'audit interne et à la gestion des fournisseurs, un second système résout rarement le problème.
S'y ajoute en France une contrainte sectorielle qui élimine des candidats avant même la comparaison : si vous hébergez des données de santé à caractère personnel, la certification HDS est une obligation et non une préférence, et certains marchés publics exigent la qualification SecNumCloud délivrée par l'ANSSI. Posez ces deux questions dès le premier échange, elles réduisent la liste plus vite que n'importe quel tableau comparatif.
Dans tous les autres cas, ce n'est pas la liste des prestataires qui décide, mais la question de savoir qui met réellement en œuvre les 93 mesures de l'annexe A de l'ISO 27001. Leur structure et leur sélection sont détaillées dans notre guide de la certification ISO 27001.
Un point régulièrement négligé : aucun éditeur de logiciel ne vous certifie. Le certificat est délivré par un organisme certificateur accrédité, en France par le COFRAC, par exemple AFNOR Certification ou Bureau Veritas. La plateforme prépare, l'auditeur décide. Les prestataires qui brouillent cette frontière dans leur communication méritent un examen particulièrement attentif.
Quatre catégories de prestataires entre lesquelles vous arbitrez
Le marché paraît confus. Il se ramène en réalité à quatre modèles dont les profils de coûts diffèrent nettement.
Une idée reçue tenace mérite d'être corrigée ici : un catalogue plus large ne signifie pas une couverture plus large. Il signifie d'abord un choix plus large. Une entreprise qui a besoin de l'ISO 27001, du RGPD et d'un rapport SOC 2 travaille avec trois référentiels. Que le prestataire en propose 30 ou 60 autres ne change rien à votre charge de travail. Ce qui compte, c'est la qualité de la correspondance entre les trois qui vous concernent.
Sept critères qui distinguent les plateformes de conformité
Ces sept points séparent les prestataires dans la pratique. Le reste relève de l'équipement.
1. Les référentiels dont vous aurez besoin dans les 24 mois
Notez ce que vos clients et vos autorités de contrôle exigent concrètement. Pour un éditeur SaaS français, il s'agit généralement de l'ISO 27001, du RGPD et d'un rapport SOC 2 pour la clientèle américaine. Si vous fournissez l'industrie automobile, une évaluation TISAX s'y ajoute. Si vous traitez des données de santé, l'hébergement HDS devient une contrainte structurante.
Vérifiez également, côté protection des données, si le prestataire couvre seulement la documentation ou aussi l'exploitation courante : registre des traitements, demandes des personnes concernées, politique de suppression, contrats de sous-traitance. La vue d'ensemble de la conformité RGPD détaille ces briques.
2. La localisation de vos données et sa portée juridique
Le lieu d'hébergement est un critère de choix, mais pas celui qu'on imagine souvent. Un hébergement à Francfort ne rend pas un traitement conforme au RGPD, et un traitement aux États-Unis n'est pas automatiquement illicite. Ce qui compte, ce sont les articles 44 et suivants du RGPD, le cadre juridique auquel le prestataire est soumis, et la question de savoir qui, dans le groupe et chez quels sous-traitants ultérieurs, dispose d'un accès. Le texte complet du chapitre V est disponible sur EUR-Lex.
Vanta l'énonce ainsi dans ses propres pages d'aide : ses serveurs américains seraient conformes au RGPD sur le plan juridique, et son contrat de sous-traitance assorti des clauses contractuelles types fonderait le transfert. Cette analyse est défendable. Elle déplace simplement l'examen d'un cran. Si vous la reprenez à votre compte, il vous faut une analyse d'impact du transfert documentée, et quelqu'un doit la rédiger.
Trois questions à poser à chaque prestataire pendant la sélection : dans quel pays se trouvent la base de production et les sauvegardes ? Quels sous-traitants ultérieurs figurent au registre en vigueur, et comment êtes-vous informé des changements ? Quels accès le support du prestataire possède-t-il sur vos données, et sont-ils journalisés ?
Notre article sur la souveraineté des données en Europe explique pourquoi le choix du prestataire relève de la conformité et non des seuls achats.
3. Qui collecte les preuves
Dans un système de management, la charge ne vient pas de la rédaction des politiques, mais de la preuve récurrente qu'elles sont appliquées. Confrontez donc les intégrations à votre environnement réel : fournisseur d'identité, comptes cloud, gestion des postes, outil de ticketing, SIRH. Kertos annonce pour sa plateforme plus de 100 intégrations et un taux d'automatisation d'environ 60 % des flux de travail. Les 40 % restants sont des décisions qu'un humain doit prendre, comme l'acceptation d'un risque ou la définition du périmètre.
4. Qui répond du résultat de l'audit
C'est ici que passe la ligne de partage la plus nette du marché. Les éditeurs purs vous livrent un système et un auditeur issu de leur annuaire de partenaires ; la responsabilité du résultat vous reste. Les prestataires dotés d'une équipe interne en prennent une part. Scrut le formule ainsi sur sa page d'accueil : « Dedicated InfoSec Managers to help draft policies, interpret frameworks, and prep for audits ». Vanta et Drata s'appuient sur ce point sur un programme de partenaires composé de cabinets, d'auditeurs et de prestataires de services managés.
Les signaux d'alerte permettant de repérer les prestataires douteux et les certificats sans valeur sont détaillés dans notre article sur les prestataires et certificats ISO 27001 douteux.
La différence entre les deux modèles au quotidien, un client de Kertos la décrit ainsi sur G2 :
<blockquote style="margin:1.6em 0;padding:.2em 0 .2em 1.1em;border-left:4px solid #2E7D8A;font-style:italic;color:#20283a;"> «For us, Kertos is not just a compliance tool, but a real sparring partner: the privacy expert works through complex issues with us instead of just handing over templates.» <span style="display:block;margin-top:.5em;font-style:normal;font-size:.9rem;color:#5b6577;">Alexander S., cofondateur, sur G2</span></blockquote>
Un test pratique en phase de sélection : demandez un échange avec un client de référence de votre taille, avant la signature. Les prestataires qui l'organisent rapidement ont en général des clients satisfaits à portée de main.
5. La langue de la plateforme, des politiques et des interlocuteurs
Examinez ces trois niveaux séparément, car ils divergent selon les prestataires. Drata indique que son application prend en charge l'anglais, l'espagnol, le français et l'allemand, tout en précisant que les politiques, les mesures et les risques ne sont pas traduits à ce jour. Vanta annonce des modèles de politiques et des formations en français, tout en écrivant dans ses pages d'aide que la plateforme centrale elle-même n'est pas traduite. Scrut ne publie aucune indication sur la prise en charge du français.
Face à un organisme certificateur français, ce point n'est pas cosmétique. L'auditeur lit vos politiques.
Le troisième niveau, la langue des interlocuteurs, est le plus souvent oublié en phase de sélection et le plus vite déterminant en projet :
6. La correspondance des mesures entre plusieurs référentiels
Dès que vous avez besoin de plus d'un référentiel, la qualité de la correspondance détermine la charge. Une correspondance propre fait qu'une mesure collectée une fois compte simultanément pour l'ISO 27001, pour le RGPD et pour le rapport SOC 2. Une correspondance médiocre vous fait téléverser trois fois la même preuve.
La manière d'étendre un jeu de mesures unique à ces trois référentiels est décrite dans notre article ISO 27001, RGPD et SOC 2 sur un seul jeu de mesures.
7. Le modèle tarifaire et les postes qui n'y figurent pas
L'erreur la plus fréquente en comparaison : aligner des prix de licence. La licence est rarement le poste principal. Le poste principal, c'est le temps interne, et il n'apparaît dans aucune proposition. Demandez donc à chaque prestataire combien de jours-personne votre équipe doit prévoir la première année, et d'où vient ce chiffre.
Vérifiez aussi la base de tarification. Certains facturent à l'effectif, d'autres au nombre de référentiels, d'autres encore au nombre de systèmes connectés. Pour une entreprise qui passe de 40 à 120 personnes, ces trois modèles produisent sur trois ans des montants très différents. Faites-vous présenter la grille correspondant à votre plan de croissance, et pas seulement le prix d'entrée.
Vanta, Drata et Scrut : ce que les prestataires déclarent eux-mêmes
Le tableau suivant reprend uniquement ce que les trois prestataires publient sur leurs propres sites, au 12 août 2026. Il ne comporte volontairement aucune appréciation ni aucune affirmation sur ce qu'un prestataire ne saurait pas faire.
Deux observations. D'abord, les quatre prestataires couvrent l'ISO 27001, le RGPD, SOC 2 et NIS2. La différence ne tient pas au catalogue, mais au modèle de service et au traitement des données. Ensuite, les indications sur la localisation sont d'une précision inégale. Si ce point compte pour vos clients ou votre autorité de contrôle, faites-le confirmer contractuellement plutôt que de vous fier à une page marketing.
Un client décrit ainsi ce que cette différence change pour une équipe européenne :
<blockquote style="margin:1.6em 0;padding:.2em 0 .2em 1.1em;border-left:4px solid #2E7D8A;font-style:italic;color:#20283a;"> «It's one of the few compliance platforms that really understands the European regulatory landscape, and it feels built for companies here rather than retrofitted from a US product like Vanta or the likes.» <span style="display:block;margin-top:.5em;font-style:normal;font-size:.9rem;color:#5b6577;">Mago A., Head of Operations, sur G2</span></blockquote>
NIS2 en France : ce que votre prestataire peut réellement vous promettre aujourd'hui
Ce critère mérite une section à part, parce qu'il donne lieu à des promesses commerciales qui ne reposent sur rien.
La France n'a pas transposé NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en première lecture le 12 mars 2025, puis transmis à l'Assemblée nationale sous le numéro 1112. La commission spéciale a adopté son texte le 10 septembre 2025, après 505 amendements. Aucun vote en séance publique n'est intervenu et aucune date n'est inscrite à l'ordre du jour. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas pour ce retard de transposition, en demandant une somme forfaitaire et des astreintes journalières.
L'ANSSI formule elle-même la conséquence ainsi : « NIS 2 rentrera donc en vigueur en France dès lors que l'ensemble des textes de transposition (loi, décrets, arrêtés) auront été promulgués ».
Ce qui s'applique aujourd'hui, en revanche : NIS1, issue de la loi n° 2018-133 du 26 février 2018, qui vise les opérateurs de services essentiels et les fournisseurs de service numérique, ainsi que le dispositif SAIV pour les opérateurs d'importance vitale. Aucun de ces textes n'est abrogé, puisque la loi qui les révise n'est pas adoptée.
Sur le périmètre à venir, deux chiffres circulent et proviennent de sources différentes : l'étude d'impact du projet de loi évoque « de 500 à 15 000 entités environ », tandis que les supports de l'ANSSI de mars 2026 parlent de « plus de 25 000 entités ». Un prestataire qui vous annonce un chiffre unique et définitif devance le législateur.
Ce que vous pouvez faire dès maintenant est limité mais réel : le pré-enregistrement volontaire proposé par l'ANSSI sur MesServicesCyber, et le Référentiel Cyber France, publié en version document de travail, qui met les mesures recommandées par l'ANSSI en regard des objectifs de sécurité de NIS2 avec un comparatif ISO/CEI 27001 et 27002. C'est aujourd'hui le meilleur signal de ce que l'ANSSI attendra. Notre guide de la directive NIS2 détaille les obligations telles que la directive les prévoit.
En clair : évaluez un prestataire sur sa capacité à construire un socle ISO 27001 solide, qui recouvre largement les mesures de gestion des risques de l'article 21 de la directive. Ne l'évaluez pas sur une promesse de conformité à un texte français qui n'existe pas encore.
Ce que coûte la voie classique et d'où vient l'économie
L'étalon de comparaison le plus honnête n'est pas le prix de la licence, mais le chemin que vous auriez emprunté autrement. Pour une première certification ISO 27001 par un cabinet de conseil, ce chemin se présente ainsi. Les montants ci-dessous proviennent du marché germanophone et servent d'ordre de grandeur.
Le temps interne n'y figure pas. C'est précisément là que se creuse l'écart entre prestataires, et c'est là qu'il est le plus difficile à démontrer. Kertos annonce sur sa page consacrée à l'ISO 27001 réduire de 80 % le délai jusqu'à l'audit et coûter 50 % moins cher que la voie classique. À titre de repère, une première certification prend habituellement de 3 à 12 mois sur le marché.
Les frais d'audit sont d'ailleurs le seul poste qu'aucun prestataire ne peut automatiser. Ils dépendent du nombre de personnes dans le périmètre, pas de la vitesse du projet. Le tableau des durées d'audit de l'ISO/CEI 27006 prévoit 8,5 jours d'audit pour une première certification de 26 à 45 personnes et 2,8 jours pour l'audit de surveillance ; l'organisme certificateur peut s'en écarter en pratique jusqu'à 30 %.
Un exemple chiffré : un éditeur SaaS de 45 personnes avant sa première certification
Prenons un éditeur SaaS lyonnais de 45 salariés qui a besoin de l'ISO 27001 parce que deux contrats grands comptes en dépendent, et qui doit de toute façon respecter le RGPD.
Les 45 personnes sont dans le périmètre. Le tableau des durées d'audit donne donc 8,5 jours pour la première certification, plus 2,8 jours pour chaque audit de surveillance en années 1 et 2. Le certificat vaut trois ans, la recertification intervient ensuite. Par la voie du conseil classique, l'entreprise se situe la première année entre 23 000 et 49 000 €, hors temps de travail interne.
Ce temps interne dépend de qui traite les 93 mesures de l'annexe A. Si l'entreprise libère une personne à 50 %, elle perd un demi-équivalent temps plein pendant toute la durée du projet. Ce poste précis ne figure dans aucune des propositions qu'elle recevra.
La manière de raccourcir cette durée, et les raccourcis qui n'existent pas, sont traitées dans notre article sur l'obtention rapide de la certification ISO 27001.
Changer de prestataire : cinq étapes concrètes
Un changement échoue rarement à cause du logiciel et souvent à cause de la chaîne de preuves. Une entreprise qui déménage en plein cycle de certification doit démontrer à l'auditeur, lors de l'audit de surveillance, que les mesures ont fonctionné sans interruption pendant la migration. C'est faisable, mais c'est du travail, et cela fait partie de la décision.
Une troisième idée reçue se révèle exactement ici : beaucoup d'équipes traitent la certification comme un projet avec une date de fin. C'est un état. Le certificat vaut trois ans, avec des audits de surveillance en années 1 et 2 et une recertification en année 3. Un prestataire qui vous vend le chemin jusqu'au premier certificat puis se tait résout un tiers de votre problème.
- Vérifiez le cycle. Ne placez pas le changement dans les huit semaines qui précèdent un audit de surveillance. Le meilleur moment est juste après un audit réussi.
- Exportez les preuves avant de résilier. Politiques, registre des risques, inventaire des actifs, attestations de formation, rapports d'audit et plans d'action. Faites préciser par écrit sous quel format et pendant combien de temps le prestataire sortant conserve vos données après la fin du contrat.
- Contrôlez la correspondance. Faites-vous montrer comment vos mesures existantes se rattachent, dans le nouveau système, aux 93 mesures de l'annexe A et, le cas échéant, aux mesures de gestion des risques de l'article 21 de NIS2.
- Connectez d'abord les intégrations. Le fournisseur d'identité et les comptes cloud alimentent l'essentiel des preuves collectées automatiquement. Tant qu'ils ne sont pas branchés, le nouveau système paraît vide, ce qui déstabilise l'équipe.
- Informez l'organisme certificateur. Un changement d'outil n'est pas soumis à déclaration, mais votre auditeur planifie sa mission d'après ce qu'il a vu l'année précédente. Une information préalable vous épargne des questions pendant l'audit.
Comptez quatre à huit semaines de fonctionnement en parallèle pour une migration propre. Sauter cette phase produit exactement l'écart qui sera consigné comme non-conformité lors de l'audit de surveillance.
Qu'un changement fonctionne lorsqu'il est planifié, un client venu du sens inverse le décrit ainsi :
Ce à quoi Kertos convient, et ce à quoi il ne convient pas
Kertos est une plateforme de conformité européenne qui associe l'automatisation à une équipe interne d'experts certifiés. La plateforme couvre la gestion des risques et des actifs, la découverte de données, les demandes des personnes concernées et la préparation des audits, se connecte à plus de 100 systèmes et prend en charge l'ISO 27001, l'ISO 27701, l'ISO 42001, le RGPD, SOC 2, TISAX, NIS2 et le règlement européen sur l'IA. L'hébergement se fait en Allemagne.
L'offre se décline en trois niveaux qui ne diffèrent pas par les fonctionnalités, mais par la part de travail qui vous reste. Au niveau d'entrée, votre équipe travaille avec la plateforme ; aux niveaux supérieurs, les experts de Kertos prennent en charge une part croissante de la mise en œuvre. C'est le véritable point de comparaison face aux éditeurs purs, et c'est aussi la raison pour laquelle une comparaison de prix de licence induit en erreur.
Kertos n'est pas le bon choix si vous avez besoin de FedRAMP ou de CMMC, si vous exploitez déjà un système GRC couvrant tout le groupe, ou si vous cherchez explicitement un outil en libre-service sans accompagnement. Dans ces cas, nous vous le disons dès le premier entretien.
Sur la plateforme d'avis G2, Kertos affiche 4,8 sur 5. Ce que les clients mettent le plus souvent en avant, c'est l'association de la plateforme et de l'accompagnement, et le jugement est comparable sur OMR Reviews :
Le déroulement concret de ces projets est décrit dans nos témoignages clients. Si vous voulez chiffrer une comparaison pour votre entreprise, réservez une démonstration : nous passons en revue vos référentiels, votre environnement technique et votre calendrier, et nous vous disons aussi lorsqu'une autre catégorie de prestataires vous conviendrait mieux.
Comparaisons complémentaires par référentiel
Selon la preuve qui vous attend en premier, les critères de sélection diffèrent nettement. Pour le seul choix d'outil autour de l'ISO 27001, un guide d'achat des outils de conformité ISO 27001 existe séparément.
Si un rapport SOC 2 vous attend parce que des clients américains le réclament, notre article sur les avantages du rapport SOC 2 précise ce que cette preuve apporte et ce qu'elle n'apporte pas.
Pour les fournisseurs de services cloud sur le marché allemand, l'attestation C5 du BSI est souvent la preuve la plus pertinente, parce que les acheteurs publics et les secteurs régulés la demandent.
Dans la chaîne d'approvisionnement automobile, c'est l'évaluation TISAX qui décide de l'attribution des marchés, selon un système de labels distinct qu'un certificat ISO 27001 ne remplace pas.
Questions fréquentes
Quelles sont les meilleures alternatives à Kertos ?
Cela dépend de ce que vous cherchez à remplacer. Pour les programmes américains comme FedRAMP ou CMMC, Vanta et Drata proposent des catalogues plus larges ; pour un outil en libre-service sans accompagnement, les plateformes américaines sont également le choix naturel. Si vous cherchez un accompagnement francophone et un hébergement européen, le nombre de candidats se réduit nettement.
Combien coûte un logiciel de conformité ?
Les prix de licence sont rarement publics et dépendent de la taille de l'entreprise, du nombre de référentiels et de la part de service. La valeur de comparaison la plus solide reste le coût complet : sur le marché germanophone, la voie du conseil classique vers l'ISO 27001 représente la première année 23 000 à 49 000 € pour une entreprise de moins de 50 personnes, hors temps de travail interne.
Vaut-il mieux choisir Vanta ou Kertos ?
La réponse dépend de votre cahier des charges. Vanta met en avant plus de 35 référentiels, un centre de données européen à Francfort et un réseau de partenaires pour la mise en œuvre. Kertos s'appuie sur un catalogue plus restreint, un hébergement en Allemagne et une équipe interne d'experts certifiés qui prend en charge la mise en œuvre. Si vous disposez de capacité en interne, le premier modèle l'emporte ; sinon, le second.
NIS2 s'applique-t-elle déjà en France ?
Non. À la date du 12 août 2026, la France n'a pas transposé la directive : le projet de loi n° 1112 est à l'Assemblée nationale sans vote en séance publique, et la Commission européenne a saisi la Cour de justice le 8 juillet 2026. NIS1 reste applicable aux opérateurs de services essentiels et aux fournisseurs de service numérique, et l'ANSSI propose un pré-enregistrement volontaire.
Puis-je changer de logiciel de conformité sans perdre ma certification ?
Oui. Le certificat appartient à votre entreprise, pas à votre éditeur. Évitez toutefois de programmer la migration dans les semaines qui précèdent un audit de surveillance, et assurez-vous que les preuves issues de l'ancien système sont exportées et rattachées dans le nouveau avant toute coupure.
