Quel logiciel de conformité choisir pour une PME ou une ETI?

Dernière mise à jour : 9 novembre 2026. Références juridiques vérifiées sur les textes le 9 novembre 2026. Informations sur les éditeurs vérifiées sur leurs propres sites publics le 9 novembre 2026.

Aucun logiciel de conformité n'est le meilleur pour toutes les PME et ETI. Pour une entreprise de cette taille, le bon choix dépend de deux questions qu'une start-up ou un grand groupe se posent rarement sous cette forme : combien d'obligations s'appliquent en même temps, et qui, dans l'entreprise, fait le travail d'expertise ? Une PME ou une ETI cumule souvent NIS2 à venir, des obligations RGPD et un client qui exige l'ISO 27001, sans RSSI en interne. Si une personne expérimentée en SMSI est en poste, un outil spécialisé suffit en général. Sinon, une plateforme accompagnée d'experts qui peuvent assurer le mandat de DPO externe ou de RSSI externe est en général la voie réaliste.

L'essentiel en bref

• Les PME et ETI cumulent plusieurs obligations : NIS2 à partir de 50 personnes dans les secteurs visés, dès que la France l'aura transposée, le RGPD, les exigences des clients comme l'ISO 27001 ou TISAX® et l'obligation de maîtrise de l'IA prévue par l'AI Act.
• Dans l'étude NIS2 Readiness Study 2026 de Kertos, 84 % des 51 entreprises allemandes de 50 à 1 000 salariés interrogées n'avaient ni RSSI interne ni RSSI externe.
• Sans fonction sécurité en interne, un outil seul reste en grande partie vide. Une plateforme accompagnée d'experts, qui peuvent aussi assurer les mandats de DPO et de RSSI, répond à cette situation.
• Avant d'acheter, vérifiez combien de vos référentiels tournent dans un seul système, qui fait le travail, quels systèmes existants sont connectés et qui est votre cocontractant.

Quelles obligations de conformité s'appliquent en même temps à une PME ou une ETI ?

Une start-up a en général une exigence, souvent sa première certification ISO 27001 pour un grand client. Un grand groupe dispose de sa propre direction de la conformité. Une PME ou une ETI a souvent plusieurs obligations aux déclencheurs différents et peu de personnes pour les traiter. Le tableau montre ce qui déclenche chacune.

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS2, est examiné en séance publique à l'Assemblée nationale à partir du 9 novembre 2026, selon Leto. Les obligations NIS2 s'appliqueront en France une fois l'ensemble des textes de transposition promulgués. Pour le choix d'un logiciel, le repère reste l'article 21 de la directive et ses dix mesures de gestion des risques.

Ces obligations se recoupent sur le fond. NIS2, l'ISO 27001 et TISAX exigent toutes une analyse des risques, une évaluation des fournisseurs, de la sensibilisation et une gestion des incidents ; le RGPD exige des mesures techniques et organisationnelles qui s'appuient sur les mêmes contrôles. Pour le choix du logiciel, plus les lignes du tableau concernent votre entreprise, plus un système unique avec une base de preuves commune se justifie face à un outil par référentiel.

Qu'entend-on par PME et ETI sur cette page ?

En France, la taille des entreprises est définie par le décret n° 2008-1354, pris en application de l'article 51 de la loi de modernisation de l'économie. D'après la définition de l'INSEE, une PME emploie moins de 250 personnes, avec au plus 50 millions d'euros de chiffre d'affaires annuel ou au plus 43 millions d'euros de total de bilan. Ces seuils reprennent ceux de la recommandation européenne 2003/361/CE, sur laquelle s'appuie NIS2. Une ETI compte entre 250 et 4 999 salariés et a soit un chiffre d'affaires n'excédant pas 1,5 milliard d'euros, soit un total de bilan n'excédant pas 2 milliards d'euros.

La catégorie des ETI est propre au droit français et n'existe pas dans la recommandation européenne. Elle a une conséquence pratique pour NIS2 : avec 250 personnes ou plus, une ETI sort de la catégorie des moyennes entreprises. Dans un secteur de l'annexe I, elle relève alors en principe des entités essentielles ; dans un secteur de l'annexe II, des entités importantes. Pour un groupe, les effectifs des entreprises partenaires et liées entrent en principe dans le calcul. Cette page vise les PME à partir de 50 personnes et les ETI qui n'ont pas encore de direction de la conformité.

Qui fait le travail de conformité quand il n'y a pas d'équipe sécurité en interne ?

Un outil gère les risques, les mesures et les preuves ; une personne doit les évaluer. Dans les PME et ETI, cette personne manque souvent. Dans l'étude NIS2 Readiness Study 2026 de Kertos, 84 % des 51 entreprises allemandes de 50 à 1 000 salariés interrogées n'avaient ni RSSI interne ni RSSI externe. Dans 63 % des cas, NIS2 relevait de la direction informatique, qui gère par ailleurs l'exploitation. Les résultats sont présentés dans l'étude NIS2 Readiness Study 2026.

Pour le choix du logiciel, décidez d'abord qui pilote le système de management de la sécurité de l'information (SMSI) et la protection des données, avant de comparer les fonctionnalités. Si une personne en interne a l'expérience et le temps, un outil suffit. Si un RSSI externe assure la fonction dans le cadre d'un mandat, l'outil doit lui convenir ou venir du même prestataire. Si personne n'est responsable, le travail part en missions de conseil ponctuelles ou n'est pas fait. Les modèles et les coûts d'un mandat externe sont comparés sur la page consacrée au RSSI externalisé.

Quel modèle de fournisseur convient à quelle situation de PME ou d'ETI ?

Les modèles de fournisseurs se distinguent par qui fait le travail d'expertise. Les éditeurs cités sont des exemples de chaque modèle, classés par ordre alphabétique, et non une recommandation pour votre cas. Chaque information provient du site de l'éditeur, vérifiée le 9 novembre 2026.

Les modèles peuvent se combiner. L'outil de SMSI d'un éditeur peut fonctionner avec le mandat externe d'un autre prestataire, à condition que le titulaire du mandat sache travailler dans cet outil. La question à poser est alors : qui tient les preuves à jour dans le système, et qui répond pendant l'audit ? La gestion de plusieurs référentiels dans un seul système est détaillée dans le comparatif des plateformes de conformité multi-référentiels.

Comment une PME ou une ETI reconnaît-elle le logiciel de conformité adapté ?

Cinq critères séparent les offres adaptées aux PME et ETI de celles qui ne le sont pas. Vous pouvez vérifier chacun avant d'acheter.

À quelles PME et ETI Kertos convient-il, et à lesquelles ne convient-il pas ?

Kertos est une plateforme de conformité de la société Kertos GmbH qui associe un logiciel et l'assistante IA Kaia à des experts certifiés de sa propre équipe.

Cible : PME et ETI qui doivent démontrer plusieurs référentiels en même temps et n'ont pas d'équipe sécurité en interne.

Référentiels pris en charge : RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5 et AI Act.

Particularité : Les experts certifiés font partie de l'équipe Kertos et assurent, sur demande, les mandats de DPO externe et de RSSI externe. Ces experts accompagnent la mise en place, l'audit et la certification, tandis que l'assistante IA Kaia accède à vos données de conformité, répond aux questions et rédige des projets de documents. La plateforme inclut une formation de sensibilisation à la sécurité en quatre modules vidéo, disponibles en allemand et en anglais, avec attribution et suivi des participants. Plus de 300 intégrations relient Kertos aux systèmes existants, dont Microsoft Entra ID, Microsoft Intune et Personio selon la liste d'intégrations.

Siège et hébergement : Votre cocontractant est Kertos GmbH, dont le siège est à Munich. Selon la liste des sous-traitants (état au 19 janvier 2026), l'hébergement est assuré par Amazon Web Services EMEA Sàrl au Luxembourg, donc dans l'UE, sur l'infrastructure d'un groupe américain.

Quand Kertos ne convient pas : Kertos ne convient pas si un RSSI expérimenté est en poste et ne cherche qu'un outil de documentation, si le logiciel doit obligatoirement être installé sur site, ou si vous avez besoin de supports de formation en français. La sécurité technique des installations de production relève d'un partenaire spécialisé en OT ; Kertos peut documenter ces installations comme actifs, les relier aux risques et les intégrer au périmètre du SMSI.

Preuves : les clients affichent un taux de réussite aux audits de 100 % et consacrent environ 80 % d'efforts manuels en moins à la conformité. Sur G2, les utilisateurs attribuent à Kertos une note de 4,8 sur 5 (65 avis, au 9 novembre 2026). Ce que Kertos couvre pour les PME est présenté sur la page Conformité pour les PME. Pour savoir quelles obligations s'appliquent à votre entreprise, prenez rendez-vous avec l'un de nos experts certifiés.

Questions fréquentes

À partir de quelle taille une PME ou une ETI a-t-elle besoin d'un logiciel de conformité ?

Aucun texte ne fixe une taille à partir de laquelle un logiciel devient obligatoire ; ce sont les obligations qui ont leurs seuils. NIS2 visera, une fois transposée, les entreprises d'au moins 50 personnes dans les secteurs des annexes I et II. La désignation d'un DPO dépend de l'activité, pas de l'effectif. L'obligation de maîtrise de l'IA s'applique quelle que soit la taille, et les exigences clients comme l'ISO 27001 ou TISAX peuvent arriver à toute taille. Dès que deux de ces obligations s'appliquent, elles partagent l'essentiel de leurs preuves. À partir de là, un système commun évite de tenir les mêmes preuves deux fois.

Un tableur suffit-il pour la conformité d'une PME ou d'une ETI ?

Pour un seul référentiel, avec une personne expérimentée en interne, un tableur peut suffire au départ. Il atteint ses limites dès que plusieurs référentiels utilisent les mêmes mesures, que les preuves doivent être renouvelées régulièrement ou que les tâches sont réparties entre plusieurs personnes. Un tableur ne collecte aucune preuve dans vos systèmes, ne rappelle aucune revue arrivée à échéance et ne montre aucun historique à l'auditeur. Dans l'étude NIS2 Readiness Study 2026, 16 % des entreprises interrogées citaient les processus manuels sur tableur comme un obstacle.

Faut-il recruter un RSSI en interne ?

Aucun texte n'impose à une PME ou une ETI d'employer un RSSI. NIS2 rend les organes de direction responsables de l'approbation et de la supervision des mesures de gestion des risques ; cette responsabilité reste la leur même s'ils confient le travail à d'autres. L'ISO 27001 exige que les rôles et responsabilités soient attribués, pas que la personne soit salariée. Beaucoup de PME et d'ETI pourvoient donc la fonction par un mandat de RSSI externe.

Un logiciel de conformité couvre-t-il aussi la conformité des achats ?

Cela dépend de ce que recouvre la conformité des achats pour vous. S'il s'agit de la sécurité de l'information et de la protection des données chez vos fournisseurs, comme les contrats de sous-traitance selon l'article 28 du RGPD et la sécurité de la chaîne d'approvisionnement selon NIS2, les plateformes de conformité la couvrent par la gestion des fournisseurs. Chez Kertos, cela comprend une évaluation du risque par fournisseur, les contrats de sous-traitance et les certificats rattachés au fournisseur, et un cycle de revue de 6 ou 12 mois. S'il s'agit du devoir de vigilance en matière de droits humains et d'environnement, du filtrage des listes de sanctions ou de la prévention de la corruption dans les achats, il vous faut un logiciel spécialisé ; Kertos ne couvre pas ces sujets.