Quels outils SMSI et RGPD choisir pour un groupe avec plusieurs filiales?

À jour au 23 octobre 2026. RGPD, directive NIS2, recommandation 2003/361/CE et droit allemand (BSIG, BDSG) vérifiés dans le texte le 23 octobre 2026 ; norme ISO/CEI 17021-1 dans son édition 2015.

L'essentiel en bref

• Un certificat ISO 27001 couvre le périmètre qui y figure, pas le groupe. Une filiale hors de ce périmètre n'est pas certifiée, même si sa société mère l'est.
• Pour les seuils de taille de NIS2, l'effectif, le chiffre d'affaires et le bilan des entreprises partenaires et liées comptent en règle générale, car la directive renvoie à la recommandation 2003/361/CE. Une petite filiale peut ainsi être concernée du seul fait de son groupe.
• Le RGPD ne connaît pas de privilège de groupe. Chaque société est responsable du traitement à part entière, en règle générale avec son propre registre des activités de traitement ; l'article 37, paragraphe 2, du RGPD autorise un délégué à la protection des données (DPO) commun au groupe.
• Un outil pour plusieurs entités doit séparer les données par société, décliner les exigences du groupe, conserver les preuves par société et consolider le tout pour la direction du groupe. Le bon modèle de prestataire dépend du nombre de périmètres autonomes que vous gérez.

Le bon outil de système de management de la sécurité de l'information (SMSI) et de gestion de la conformité RGPD pour un groupe dépend moins des fonctionnalités que de la structure : gérez-vous un SMSI avec un périmètre commun à plusieurs sociétés, ou plusieurs systèmes de management autonomes ? Avec un périmètre commun et quelques entités, une plateforme qui rattache risques, documents, systèmes et activités de traitement à chaque société et permet de filtrer par société suffit en général. Si de nombreuses filiales ont leur propre certificat, leurs propres administrateurs et des données à cloisonner, il vous faut un outil avec une véritable séparation des environnements, la déclinaison des exigences du groupe et un reporting consolidé ; c'est en général une suite GRC pour grands comptes, pilotée par une équipe GRC interne. Côté RGPD, les obligations restent dans tous les cas attachées à chaque société, même lorsqu'un outil les centralise.

Le certificat de la société mère couvre-t-il les filiales ?

Seulement si elles figurent dans le périmètre. La norme ISO 27001 impose, au chapitre 4.3, de déterminer et de documenter le domaine d'application du SMSI. L'organisme de certification audite précisément ce périmètre. Selon la norme ISO/CEI 17021-1, paragraphe 8.2.2, le certificat indique le nom et la localisation de chaque client certifié ainsi que le périmètre de la certification ; pour une certification multisite, le siège et les sites inclus dans le périmètre. Ce qui n'y figure pas n'est pas certifié, quelle que soit la façon dont le groupe communique sur son certificat.

Pour les achats et l'évaluation des fournisseurs, il faut donc lire le périmètre et pas seulement vérifier l'existence d'un certificat. Il doit mentionner la société, le site et la prestation que vous achetez. Pour votre propre groupe, il faut décider avant l'audit si une filiale rejoint le périmètre commun ou obtient son propre certificat.

Chaque filiale a-t-elle besoin de son propre SMSI ?

Non. Un SMSI peut couvrir plusieurs sociétés si elles entrent dans son périmètre et si le système de management est piloté de façon centralisée. Plusieurs SMSI autonomes se justifient lorsque des filiales ont leur propre informatique, leurs propres clients avec leurs propres exigences de certification ou une direction qui porte sa propre responsabilité. Les obligations légales, elles, ne suivent pas la structure de votre SMSI, mais leur propre règle :

Un SMSI commun fait donc gagner du temps sur les politiques, la méthode d'analyse des risques et les mesures, mais pas sur les obligations propres à chaque société. Comment servir plusieurs référentiels à partir d'une même base de preuves, c'est l'objet de la page plateforme de conformité multi-référentiels.

Une filiale relève-t-elle de NIS2 à cause des chiffres de son groupe ?

C'est possible si elle exerce dans un secteur visé par la directive. La directive (UE) 2022/2555 reprend les catégories de taille de la recommandation 2003/361/CE. Selon l'article 6 de l'annexe de la recommandation, les données d'une entreprise qui a des entreprises partenaires ou liées sont établies sur la base des comptes consolidés ; les entreprises liées comptent à 100 %, les entreprises partenaires au prorata. Une filiale de 30 personnes dans un secteur visé peut ainsi dépasser le seuil de 50 personnes, alors qu'elle se situe en dessous à elle seule. Le calcul porte sur l'effectif en personnes.

La loi de transposition de chaque État membre fixe le périmètre définitif. En France, la directive n'était pas transposée au 23 octobre 2026 : l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, prévu à l'Assemblée nationale le 7 octobre 2026, a été reporté. Pour les filiales établies en Allemagne, l'article 28, paragraphe 4, de la loi allemande BSIG écarte les chiffres des entreprises partenaires et liées lorsque l'entreprise est juridiquement, économiquement et effectivement indépendante d'elles pour la conception et l'exploitation de ses systèmes informatiques ; une filiale qui utilise l'informatique du groupe peut difficilement s'en prévaloir. La même disposition écarte l'article 3, paragraphe 4, de l'annexe, selon lequel une participation publique de 25 % ou plus exclut la qualité de PME.

Ce que NIS2 implique pour les PME et ETI, et quel modèle de prestataire leur convient, c'est l'objet de la page logiciel NIS2 pour PME et ETI.

Existe-t-il un privilège de groupe en matière de RGPD ?

Non. Le RGPD définit le groupe d'entreprises (article 4, point 19), mais traite chaque société comme un responsable du traitement à part entière. Chaque société a besoin d'une base légale pour ses traitements, y compris pour les transferts vers la société mère ou les sociétés sœurs, et tient en règle générale son propre registre des activités de traitement au titre de l'article 30. Le considérant 48 reconnaît seulement que les sociétés d'un groupe peuvent avoir un intérêt légitime à transmettre des données à caractère personnel au sein du groupe à des fins administratives internes. C'est une aide à la mise en balance, pas une dispense. Lorsqu'une société traite des données pour le compte d'une autre, par exemple une société informatique ou RH centrale, un contrat au titre de l'article 28 est nécessaire ; lorsque les deux déterminent conjointement les finalités et les moyens, un accord au titre de l'article 26.

Le droit national peut ajouter des obligations propres à chaque société. La France ne fixe pas de seuil d'effectif pour la désignation d'un DPO : elle découle de l'article 37, paragraphe 1, du RGPD. En Allemagne, l'article 38, paragraphe 1, de la loi fédérale sur la protection des données (BDSG) impose un DPO dès qu'un responsable du traitement emploie en général au moins 20 personnes affectées en permanence au traitement automatisé de données à caractère personnel. Ce seuil s'apprécie par responsable du traitement, pas par groupe.

Quels prestataires gèrent plusieurs entités ?

Les prestataires se distinguent moins par leur capacité à représenter plusieurs sociétés que par la profondeur du cloisonnement et par la question de savoir qui fait le travail d'expertise. Quatre modèles couvrent le marché. Ce sont des catégories, pas une évaluation de prestataires ; vérifiez lors d'une démonstration jusqu'où va un produit donné.

Si vous disposez en interne d'une équipe SMSI expérimentée, la page logiciels SMSI présente l'origine, les référentiels et les notes G2 d'outils individuels.

Que doit savoir faire un outil SMSI et RGPD pour plusieurs entités ?

Quatre capacités départagent les prestataires en pratique. Posez des questions concrètes lors de la démonstration plutôt que de vous fier au mot « multi-entités », employé pour des mises en œuvre très différentes.

Tous les groupes n'ont pas besoin des quatre. Si trois sociétés partagent un périmètre et une informatique, le rattachement et le filtrage par entité suffisent. Si dix sociétés ont leur propre certificat, la déclinaison des exigences et le reporting consolidé deviennent indispensables.

Combien coûte un SMSI à l'échelle d'un groupe ?

Les coûts d'audit dépendent surtout du nombre de personnes dans le périmètre et du nombre de périmètres, pas du nombre de sociétés. Le tableau des temps d'audit de la norme ISO/CEI 27006 prévoit les jours d'audit suivants pour la certification initiale. L'organisme de certification peut s'en écarter, en pratique jusqu'à 30 %.

Il en découle un avantage structurel. Selon ce tableau, deux périmètres séparés de 60 personnes chacun totalisent 20 jours d'audit, un périmètre commun de 120 personnes en demande 12. Chaque jour d'audit est facturé au tarif journalier de l'organisme de certification, et l'écart se répète à chaque audit de surveillance, pour lequel les organismes retiennent habituellement environ un tiers du temps de l'audit initial. En présence de plusieurs sites, l'organisme peut définir un programme d'échantillonnage selon la norme ISO/CEI 17021-1, paragraphe 9.1.5, au lieu d'auditer chaque site en entier, à condition que les sites exercent des activités similaires. Le tableau se poursuit pour les périmètres plus importants ; l'organisme indique les jours d'audit exacts dans son offre.

La préparation, la mise en œuvre et l'outil s'ajoutent aux frais d'audit. Les valeurs indicatives de Kertos pour la voie classique du conseil, jusqu'à 200 salariés, figurent sur la page prix d'une certification ISO 27001.

Quand Kertos convient-il à un groupe ?

Kertos convient aux groupes de quelques sociétés qui gèrent un SMSI commun avec un seul périmètre et ne veulent pas créer de service conformité pour cela. Avec la gestion multi-entités, vous pilotez la conformité de plusieurs entités juridiques, filiales ou unités opérationnelles depuis un seul compte. Chaque entité a ses propres données de référence et ses propres titulaires de rôle, par exemple le responsable de la sécurité des systèmes d'information ou le DPO. Risques, documents, systèmes, prestataires, actifs et activités de traitement peuvent être rattachés à une entité ou à tout le groupe, puis filtrés. La gestion multi-entités est incluse dans les offres Pro et Premium et disponible en option dans l'offre Essential.

Kertos associe la plateforme à des experts certifiés internes. La plateforme et l'agent IA KAIA sont développés et hébergés en Europe. ISO 27001, NIS2 et le RGPD reposent sur une base de preuves commune, tout comme ISO 27701, ISO 42001, TISAX, SOC 2, C5 et le règlement européen sur l'IA. Les clients atteignent un taux de réussite aux audits de 100 % et réduisent d'environ 80 % l'effort manuel de conformité. Sur G2, Kertos obtient une note de 4,8 sur 5 (octobre 2026). Une démonstration montre comment la structure de votre groupe se présente dans la plateforme.

Quand Kertos n'est-il pas le bon choix ?

Kertos n'est pas le bon choix si votre groupe a besoin d'environnements séparés avec cloisonnement des données par société, ou d'administrateurs distincts par société. Il en va de même si de nombreuses sociétés gèrent des certificats autonomes et que les mesures du groupe doivent être déclinées avec une preuve distincte par société, ou si la direction du groupe attend un tableau de bord consolidé sur toutes les sociétés. Une suite GRC pour grands comptes avec une équipe GRC interne est alors la meilleure voie. Un mandat de DPO externe ou de RSSI externalisé chez Kertos couvre d'abord une société ; son extension à d'autres sociétés se décide en amont avec les experts.

Questions fréquentes sur le SMSI et le RGPD dans un groupe

Un groupe peut-il désigner un DPO commun ?

Oui. Selon l'article 37, paragraphe 2, du RGPD, un groupe d'entreprises peut désigner un seul délégué à la protection des données, à condition qu'il soit facilement joignable à partir de chaque lieu d'établissement. Chaque société concernée le désigne et publie ses coordonnées et les communique à son autorité de contrôle (article 37, paragraphe 7) ; en France, cette désignation se fait auprès de la CNIL par son téléservice de désignation. Un DPO commun mutualise la mission, pas la responsabilité, qui reste à chaque société. Les différences entre les modèles de DPO externe sont présentées dans le comparatif des modèles de DPO externe.

Un certificat ISO 27001 de groupe prouve-t-il la conformité NIS2 ?

Non, mais c'est une base solide. Un certificat ISO 27001 atteste un SMSI certifié pour son périmètre. Aucun certificat ne prouve la conformité à NIS2, et les obligations NIS2 s'appliquent à chaque entité concernée elle-même. Comme les exigences se recoupent fortement, de nombreux groupes utilisent tout de même un SMSI commun comme base pour les deux. Ce que cela donne pour les PME et ETI est présenté sur la page logiciel ISO 27001 pour PME et ETI.