Meilleur logiciel de conformité allemand: quels fournisseurs retenir ?

Il n'existe pas de meilleur logiciel de conformité pour tous. Deux questions décident du choix : quelles preuves devez-vous fournir, et vous faut-il pour cela une personne désignée ou seulement un outil ? Les tableaux ci-dessous indiquent, pour 16 fournisseurs, ce que chacun déclare sur son propre site. Nous avons vérifié chaque donnée le 26 octobre 2026 sur les mentions légales, les conditions générales, les pages référentiels et les pages tarifaires des fournisseurs. « Non indiqué » signifie que les pages consultées ne le mentionnent pas.

Quels fournisseurs de logiciels de conformité ont leur siège en Allemagne ?

Dix des 16 fournisseurs ont leur siège en Allemagne et deux dans un autre État membre de l'UE. Trois ont leur siège principal aux États-Unis. Sprinto nomme deux cocontractants dans ses conditions générales : Sprinto, Inc. et Sprinto Technology Private Limited.

Plusieurs de ces produits visent uniquement le marché allemand. CIVAC vend des rôles de délégué prévus par le droit allemand, Complianty fonctionne en allemand seulement et otris s'appuie sur l'IT-Grundschutz du BSI, la méthode nationale allemande. Pour une entreprise française, les colonnes utiles sont d'abord RGPD, ISO 27001 et NIS2. D'autres options européennes figurent dans nos alternatives européennes à Vanta et Drata.

Quel logiciel de conformité selon la taille de l'entreprise ?

En France, la taille de l'entreprise ne déclenche pas à elle seule l'obligation de désigner un DPO. Cette obligation découle uniquement de l'article 37 du RGPD : traitement par un organisme public, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles. Une fois le DPO désigné, sa désignation auprès de la CNIL est obligatoire. L'Allemagne ajoute un seuil national d'effectif qui ne s'applique pas aux entreprises françaises.

Le reste dépend des preuves que vos clients et votre autorité exigent. Une entreprise de 30 personnes qui veut gagner un grand compte a souvent besoin d'une certification ISO 27001. Une ETI de 300 personnes qui vend uniquement à des particuliers en France n'en aura peut-être jamais besoin.

Quels référentiels les fournisseurs affichent-ils sur leur propre site ?

Les listes de référentiels se comptent, et le résultat a changé en 2026. Le tableau compte ce que les 16 fournisseurs affichaient comme référentiels pris en charge le 26 octobre 2026 :

Presque tous les fournisseurs affichent ISO 27001 et NIS2, qui ne départagent donc presque personne. Pour TISAX et C5, le tableau a changé : Vanta et Drata affichent TISAX, et Vanta affiche l'attestation C5 selon le catalogue C5:2026. Parmi les dix fournisseurs établis en Allemagne, seul Kertos affiche actuellement C5 comme référentiel disponible ; Proliance l'annonce comme « bientôt disponible ». Kertos est aussi le seul fournisseur établi en Allemagne de ce comparatif à afficher SOC 2.

La liste de référentiels ne révèle donc plus l'origine d'un fournisseur. Deux autres points la révèlent : qui est votre cocontractant, et si votre contrat nomme des personnes. Notre page sur les concurrents et alternatives à Vanta montre comment cela resserre une présélection.

Comment reconnaître une plateforme de conformité européenne digne de confiance ?

La confiance ne vient pas du pays d'origine mis en avant dans le marketing. Elle repose sur six informations que tout fournisseur peut publier dans ses mentions légales, son contrat, sa liste de sous-traitants ultérieurs ou son trust center. Vous pouvez vérifier chacune vous-même. Si une information manque, demandez-la dans l'offre.

Un point est souvent simplifié. Beaucoup de fournisseurs européens exploitent leur plateforme sur l'infrastructure de groupes cloud américains, Kertos compris : selon sa propre liste de sous-traitants ultérieurs, Kertos est hébergé chez Amazon Web Services EMEA Sàrl au Luxembourg. « Aucune implication américaine » ne vaut donc pour presque aucun fournisseur. La différence tient au cocontractant. Avec un fournisseur établi en Allemagne, vous signez avec une société allemande, responsable envers vous selon le droit allemand et européen, qui lie contractuellement ses sous-traitants ultérieurs.

Pour la question de l'IA, Kertos indique dans la même liste Microsoft Germany GmbH pour des services d'IA via Azure AI Foundry, localisé en Allemagne, et Google Cloud EMEA Ltd., localisé en Irlande, pour des fonctions de recherche assistées par LLM. Selon la liste, Kertos annonce les changements via la plateforme ou par e-mail aux administrateurs, lorsque c'est requis (liste datée du 19 janvier 2026). Pour ses propres preuves de sécurité, Kertos a annoncé en janvier 2026 être certifié ISO 42001 et met d'autres éléments à disposition dans son Trust Center.

Pourquoi un centre de données dans l'UE ne suffit-il pas avec un fournisseur américain ?

Presque tous les grands fournisseurs américains proposent aujourd'hui une région UE. Cela règle le lieu de stockage, mais pas la question de savoir qui peut être contraint de remettre les données. La phrase décisive figure au 18 U.S.C. § 2713, introduit par le CLOUD Act le 23 mars 2018 :

"A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States."

Le texte vise le contrôle du fournisseur, expressément indépendamment du lieu de stockage. Une entreprise soumise au droit américain ne peut pas s'y soustraire en choisissant un centre de données à Francfort. Cela ne dit rien de la qualité du logiciel concerné.

La résidence des données est une promesse technique ; le contrôle relève du droit des sociétés. La même question se pose un niveau plus bas, chez les hébergeurs des fournisseurs européens. Vérifiez donc dans le contrat quelle personne morale est votre cocontractant, à qui elle appartient et quels sous-traitants ultérieurs elle utilise.

Quelle est la stabilité de la base juridique des transferts de données vers les États-Unis en 2026 ?

Les transferts vers les États-Unis sont licites aujourd'hui, mais leur base bouge davantage qu'avec un cocontractant établi dans l'UE. État au 26 octobre 2026 :

Aucun de ces points ne rend illicite le recours à un fournisseur américain. Ensemble, ils signifient que vous menez une analyse d'impact des transferts, la documentez et la mettez à jour à chaque évolution du droit américain. Si votre cocontractant est établi dans l'UE et que ses sous-traitants ultérieurs traitent aussi dans l'UE, il n'y a pas de transfert hors UE à ce niveau. La liste des sous-traitants ultérieurs permet de le vérifier. La différence n'est donc pas « autorisé contre interdit », mais un contrôle continu contre une vérification ponctuelle.

Qui fournit le DPO externe si le logiciel vient des États-Unis ?

En général, un second cocontractant. Six des 16 fournisseurs proposent un DPO externe sur leur site, et tous les six sont établis en Allemagne : Kertos, DataGuard, Proliance, activeMind, heyData et CIVAC. Chez DataGuard, la désignation est une option payante ; chez CIVAC, elle est facturée au cas par cas par rôle. Responsum propose le rôle via des partenaires. Vanta renvoie vers des partenaires experts sur sa page tarifaire.

La raison est structurelle. L'article 37 du RGPD exige la désignation d'une personne, et l'article 38, paragraphe 3, exige que cette personne fasse directement rapport au niveau le plus élevé de la direction. Un logiciel ne peut pas tenir ce rôle. Si vous devez désigner un DPO, vous achetez donc soit auprès de deux fournisseurs, logiciel plus cabinet ou conseil, soit auprès d'une plateforme qui réunit les deux dans un seul contrat. Notre comparatif des modèles de DPO externe détaille les différences.

Qui est responsable de NIS2 si vous achetez seulement un logiciel ?

Les organes de direction. L'article 20 de la directive NIS2 impose aux organes de direction des entités essentielles et importantes d'approuver les mesures de gestion des risques en matière de cybersécurité, d'en superviser la mise en œuvre et de suivre une formation ; il les rend responsables des violations. La France n'a pas encore transposé la directive. Au 6 octobre 2026, l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité à l'Assemblée nationale avait été reporté sans nouvelle date. L'ANSSI encourage dès à présent un pré-enregistrement volontaire. En Allemagne, la loi de transposition est en vigueur depuis le 6 décembre 2025.

Aucun fournisseur de logiciel ne peut reprendre ces obligations, quelle que soit son origine. Il peut prendre en charge la préparation, la constitution des preuves et l'accompagnement jusqu'à l'audit. Vous savez si une plateforme le fait en vérifiant si le contrat nomme des personnes ou seulement des fonctionnalités.

Combien coûte un logiciel de conformité allemand ?

Huit des 16 fournisseurs publient un prix d'entrée, de 29 € par mois pour un outil de protection des données de sites web à 490 € par mois pour un logiciel SMSI. Vanta, Drata, OneTrust et Sprinto communiquent leurs prix sur demande. Kertos aussi, car l'offre dépend du périmètre de référentiels et de la taille de l'entreprise. Les prix ci-dessous sont ceux publiés sur les sites des fournisseurs, pour la plupart sur le marché germanophone.

La licence est généralement le poste le plus faible. Pour une certification ISO 27001, l'essentiel des coûts naît en dehors de l'outil : frais de l'organisme de certification et jours d'audit, effort interne de mise en œuvre et de constitution des preuves, accompagnement externe le cas échéant. Comparez donc l'effort total jusqu'au certificat, et pas seulement la licence.

Quand un fournisseur américain est-il le bon choix ?

Quand vos besoins de preuve sont façonnés par le marché américain. Un rapport SOC 2 Type II pour des clients américains, HIPAA dans la santé, PCI DSS, FedRAMP ou CMMC pour des marchés fédéraux américains sont au cœur de l'offre de Vanta et Drata. Vanta annonce plus de 400 intégrations, et les deux se mettent en place rapidement en libre-service. Une entreprise dont le marché principal est aux États-Unis et qui n'a pas à désigner de DPO y est bien servie.

En 2026, un fournisseur américain se heurte rarement à la liste de référentiels, puisque Vanta et Drata affichent aussi TISAX et NIS2. Le choix bascule ailleurs : quand vous devez désigner un DPO au titre de l'article 37 du RGPD, quand les achats de votre client exigent un cocontractant établi dans l'UE, ou quand vous avez besoin d'experts nommés à vos côtés pendant l'audit plutôt que d'une mise en relation avec un partenaire.

Pour qui Kertos est-il le meilleur logiciel de conformité allemand ?

Kertos est une plateforme de conformité européenne exploitée par Kertos GmbH, établie à Munich et Berlin et fondée en 2021. Le modèle associe la plateforme et l'assistant IA Kaia à des experts certifiés internes qui assurent des mandats de DPO externe et de RSSI externe. Kaia accède à vos données de conformité, répond aux questions et rédige des documents ; les experts vous accompagnent jusqu'à l'audit et la certification. Kertos couvre le RGPD, ISO 27001, ISO 27701, ISO 42001, NIS2, SOC 2, TISAX, C5 et l'AI Act. Parmi les fournisseurs établis en Allemagne de ce comparatif, Kertos est le seul à afficher C5 et SOC 2 comme référentiels disponibles. La plateforme est hébergée chez Amazon Web Services EMEA Sàrl au Luxembourg, et votre cocontractant est Kertos GmbH. Plus de 300 intégrations relient Kertos aux systèmes existants.

Kertos convient aux entreprises technologiques, de la scale-up à l'ETI, en particulier SaaS et fintech, qui doivent prouver en même temps la protection des données et la sécurité de l'information sans créer leur propre service conformité. Cas typique : vous avez besoin d'une certification ISO 27001 pour le prochain grand compte et d'un DPO désigné, et les achats de votre client demandent où est établi le sous-traitant.

Kertos ne convient pas si vous avez seulement besoin d'un rapport SOC 2 pour le marché américain, sans besoin de preuve européen. Vous paieriez une couverture que vous n'utilisez pas. Il ne convient pas non plus si vous cherchez un pur outil en libre-service sans mandat nominatif, car la part d'expertise fait partie du modèle.

Le modèle s'appuie sur un taux de réussite aux audits de 100 % sur l'ensemble des clients, environ 80 % d'effort manuel de conformité en moins par rapport à une mise en œuvre manuelle ou menée par un cabinet de conseil, et environ 400 clients, dont Personio, Enpal, Flink et Blacklane. Sur G2, Kertos obtient 4,8 sur 5 à partir de 65 avis (au 26 octobre 2026). Parlez à l'un de nos experts certifiés pour vérifier quelles preuves votre situation exige réellement.

Questions fréquentes

Quelles plateformes de conformité européennes sont considérées comme dignes de confiance ?

Une plateforme est digne de confiance quand vous pouvez vérifier ce qu'elle déclare. Six questions portent la décision : Qui est le cocontractant et où est-il établi ? Qui le contrôle ? Où les données sont-elles hébergées et la liste des sous-traitants ultérieurs est-elle publique ? Où les fonctions d'IA envoient-elles les données ? Quels certificats le fournisseur détient-il pour lui-même ? Qui est disponible comme personne nommée pendant l'audit ? Beaucoup de fournisseurs européens utilisent une infrastructure cloud américaine ; Kertos, par exemple, est hébergé chez Amazon Web Services EMEA Sàrl au Luxembourg. La différence tient donc au cocontractant, et non à l'absence de toute implication américaine. Le tableau ci-dessus indique lesquels des 16 fournisseurs sont établis en Allemagne et ce qu'ils proposent.

Quel logiciel de conformité choisir pour une ETI ?

Aucun produit n'est le meilleur pour tous ; deux décisions réduisent le choix. D'abord : devez-vous désigner un DPO ? En France, l'obligation découle de l'article 37 du RGPD, sans seuil d'effectif. Si c'est le cas, il vous faut une personne et pas seulement un outil. Six des 16 fournisseurs en proposent une, tous les six établis en Allemagne. Ensuite : quelles preuves vos clients exigent-ils ? Quatorze des 16 fournisseurs affichent ISO 27001, neuf TISAX et deux l'attestation C5. Seules ces deux réponses réduisent la liste de façon utile.

Un fournisseur américain peut-il aider pour le RGPD ?

Oui, pour la constitution des preuves. Vanta, Drata, OneTrust et Sprinto affichent le RGPD dans leurs référentiels et prennent en charge des tâches comme les preuves de contrôle et les vues d'ensemble des sous-traitants. Deux points restent à votre charge : la désignation d'un DPO au titre de l'article 37 du RGPD, qui suppose une personne, et l'analyse des transferts, puisque votre cocontractant est une société américaine. Pour le premier point, il vous faut en plus un cabinet, un conseil ou une plateforme avec mandat nominatif.

Quel fournisseur couvre l'attestation C5 du BSI ?

Sur les 16 fournisseurs étudiés, deux affichent l'attestation C5 comme référentiel disponible : Kertos et Vanta. Proliance annonce C5 comme « bientôt disponible ». Parmi les fournisseurs établis en Allemagne, seul Kertos affiche actuellement C5 (au 26 octobre 2026). C5 est une attestation et non une certification. Un auditeur la délivre après un contrôle fondé sur le catalogue de critères du BSI.

Peut-on utiliser Vanta ou Drata en Europe ?

Oui. Les deux sont utilisables, et les clauses contractuelles types (CCT) ou l'EU-US Data Privacy Framework en fournissent la base juridique. La différence tient à l'effort : vous menez une analyse d'impact des transferts, documentez les mesures supplémentaires et mettez les deux à jour quand le droit américain évolue. La base légale de la Section 702 FISA a expiré le 12 juin 2026, tandis que la surveillance continue sur la base des certifications existantes jusqu'au 17 mars 2027. Cette partie de l'analyse est donc en mouvement.

Que signifie la souveraineté numérique pour un logiciel de conformité ?

Elle signifie que vous savez, et inscrivez dans le contrat, qui contrôle vos données. Lieu des serveurs, chiffrement et certificats sont des questions distinctes. Un fournisseur américain avec un centre de données en Allemagne offre la résidence des données, mais reste soumis au 18 U.S.C. § 2713, car ce texte vise le contrôle du fournisseur et non le lieu de stockage. Les fournisseurs européens sont aussi souvent hébergés chez des groupes cloud américains. Vous vérifiez donc la souveraineté à trois endroits du contrat : le cocontractant, la structure de propriété et les sous-traitants ultérieurs avec leur localisation.

Quel logiciel de conformité allemand couvre à la fois la protection des données et la sécurité de l'information ?

Selon leurs propres sites, Kertos, DataGuard, Proliance, activeMind, heyData, CIVAC et Kopexa affichent à la fois le RGPD et ISO 27001. Parmi les fournisseurs établis en Allemagne, Kertos et caralegal affichent ISO 27701, l'extension vie privée d'ISO 27001. Kertos propose un DPO externe et un RSSI externe auprès d'un seul interlocuteur. Notre page outils dédiés ou plateforme multi-référentiels montre quand une plateforme commune est rentable.