Qu'est-ce qui distingue Kertos des autres solutions de conformité ?

Mis à jour le 8 octobre 2026. Informations sur l'entreprise selon les mentions légales, sous-traitants selon la liste publique sur kertos.io, témoignages clients issus de G2.

L'essentiel en bref

• Kertos associe une plateforme de conformité, l'agent IA KAIA et des experts certifiés salariés. La plupart des fournisseurs vendent soit un logiciel que votre équipe fait fonctionner seule, soit du conseil qui s'arrête avec le projet.
• Selon la formule, KAIA intervient comme RSSI virtuel (Pro) ou un RSSI externalisé désigné accompagne l'entreprise (Premium). Kertos met aussi à disposition des DPO externes. La responsabilité de la direction demeure.
• Kertos est une entreprise allemande dont le siège est à Munich, avec un second bureau à Berlin, fondée en 2021, cofinancée par l'Union européenne dans le cadre du projet EUPROFIT et elle-même certifiée ISO 42001.
• Une seule plateforme couvre ISO 27001, ISO 27701, ISO 42001, SOC 2, TISAX, C5, le RGPD, NIS2 et le règlement européen sur l'IA, avec plus de 100 intégrations.
• Les clients atteignent un taux de réussite aux audits de 100 % et réduisent leur effort de conformité manuel d'environ 80 %.

Kertos se distingue de la plupart des solutions de conformité par son modèle, et non par des fonctionnalités isolées. Les outils en self-service livrent un logiciel que votre équipe doit faire fonctionner seule. Le conseil traditionnel livre des documents et s'arrête avec le projet. Kertos associe une plateforme, un agent IA et des experts certifiés salariés, et maintient la conformité à jour après l'audit. Les clients n'achètent donc pas une licence, mais un résultat : une certification obtenue, puis maintenue. Les sections ci-dessous expliquent ce que cela signifie concrètement, à qui cela convient et à qui cela ne convient pas.

Quels sont les trois éléments que Kertos combine ?

Kertos associe trois piliers que d'autres solutions proposent individuellement, mais rarement ensemble auprès d'un même fournisseur.

« Kertos nous aide à mener la certification ISO 27001 de manière organisée et structurée. Il définit des tâches claires et propose des suggestions assistées par IA, adaptées à la structure de notre entreprise. »

Martin S., Agentic AI Engineer, G2, traduit de l'allemand

En quoi Kertos se distingue-t-il des outils en self-service, du conseil et des autres plateformes ?

Les fournisseurs du marché relèvent de quatre modèles. Les différences portent sur qui réalise le travail de fond et sur ce qui se passe après l'audit.

D'autres fournisseurs associent eux aussi logiciel et experts. Si vous comparez plusieurs fournisseurs de ce modèle, posez trois questions précises : les experts sont-ils salariés du fournisseur ou viennent-ils de partenaires, quels référentiels la plateforme couvre-t-elle avec des contrôles communs, et les mandats de RSSI et de DPO viennent-ils d'un même fournisseur ? Pour un panorama des modèles de fournisseurs NIS2, consultez la page logiciel NIS2 pour les PME et ETI.

À quelles entreprises Kertos convient-il ?

Kertos travaille surtout avec des startups, des scale-ups et des entreprises de taille moyenne en Europe, notamment dans le SaaS, la fintech et la healthtech. Le point de départ compte davantage que le secteur.

Un exemple : AskUI a obtenu la certification ISO 27001 avec Kertos en 8 à 10 semaines, sans consultants externes. C'est un cas isolé et non un engagement ; la durée d'un projet dépend de la maturité de départ et du périmètre.

Comment se déroule un projet avec Kertos ?

Un projet suit cinq étapes. La part que votre équipe prend en charge dépend de la formule.

• 1. Périmètre et connexion : vous définissez avec les experts les référentiels et les parties de l'entreprise concernés. Vos systèmes sont connectés via les intégrations, et KAIA collecte l'état réel.
• 2. Analyse des écarts : l'état réel est comparé aux exigences. Le résultat est une liste priorisée des mesures à mener, avec leurs responsables.
• 3. Mise en œuvre : les politiques sont rédigées à partir de modèles, les risques et les fournisseurs sont évalués, et les formations passent par la plateforme. Votre DSI met en œuvre les mesures techniques, comme l'authentification multifacteur ou les sauvegardes ; les experts vérifient la mise en œuvre sur le fond.
• 4. Audit : le certificat est délivré par un organisme de certification indépendant, et non par Kertos. Kertos prépare les preuves et vous accompagne pendant l'audit.
• 5. Exploitation continue : les preuves restent à jour. Pour ISO 27001, des audits de surveillance ont lieu les deux années suivantes, puis la recertification la troisième année.

« L'accompagnement personnel tout au long du processus de certification. »

Utilisateur vérifié dans le secteur des logiciels, G2, en réponse à la question de ce qu'il apprécie le plus, traduit de l'anglais

Kertos assume-t-il les rôles de RSSI et de DPO ?

Oui, avec deux nuances. Pour la sécurité de l'information, KAIA intervient comme RSSI virtuel dans la formule Pro, et dans la formule Premium un RSSI externalisé désigné accompagne l'entreprise. La responsabilité de la sécurité de l'information reste celle de la direction ; au titre de NIS2, par exemple, les organes de direction approuvent les mesures de gestion des risques et supervisent leur mise en œuvre. Pour la protection des données, Kertos met à disposition un DPO externe au sens de l'article 37 du RGPD, qui est aussi l'interlocuteur de l'autorité de contrôle. Selon l'article 24 du RGPD, l'entreprise reste responsable du traitement. Concrètement, cela signifie un interlocuteur dédié plutôt qu'un ticket de support.

« Notre préoccupation principale est de ne plus avoir à nous soucier de notre protection des données, et Kertos le résout parfaitement pour nous. La collaboration est simple, et j'ai eu à tout moment un interlocuteur dédié. Les échanges avec toute l'équipe se sont faits sur un pied d'égalité, ce qui a rendu la coordination très agréable. »

Utilisateur vérifié dans la santé, le bien-être et le fitness, G2, traduit de l'allemand

Où Kertos a-t-il été développé, et par qui ?

Kertos GmbH est une entreprise allemande dont le siège est à Munich (tribunal d'instance de Munich, HRB 271165), avec un second bureau à Berlin. Elle a été fondée en 2021 par Dr Kilian Schmidt, Johannes Hussak et Alexander Prams, qui la dirigent toujours comme gérants. Kertos compte plus de 70 collaborateurs, accompagne environ 400 clients et a levé 14 millions d'euros lors d'une série A. L'Union européenne cofinance Kertos dans le cadre du projet EUPROFIT. La plateforme a été conçue pour les exigences européennes comme le RGPD, NIS2, TISAX et C5, et non étendue à l'Europe à partir d'un produit SOC 2. Kertos est lui-même certifié ISO 42001 ; les justificatifs sont disponibles dans le Trust Center.

Où les données sont-elles stockées chez Kertos ?

Votre cocontractant est Kertos GmbH, une entreprise dont le siège est en Allemagne. Pour l'hébergement, Kertos utilise Amazon Web Services par l'intermédiaire d'AWS EMEA SARL, établie au Luxembourg. Certains autres sous-traitants, par exemple pour l'authentification unique et la supervision, sont des entreprises américaines. Tous figurent dans la liste publique des sous-traitants. Pour tout fournisseur, cette liste en dit plus que l'emplacement d'un serveur : un centre de données dans l'UE indique seulement où les données sont stockées, pas quelles entreprises ni quels ordres juridiques pourraient y accéder. Demandez donc à chaque fournisseur la liste de ses sous-traitants et leur siège.

Quels résultats les clients de Kertos obtiennent-ils ?

• Un taux de réussite aux audits de 100 % sur l'ensemble de la base de clients.
• Environ 80 % d'effort de conformité manuel en moins par rapport à une mise en œuvre manuelle ou menée par un cabinet. Le point de départ varie d'une entreprise à l'autre.
• AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines, sans consultants externes.
• 4,8 sur 5 sur G2 pour plus de 60 avis (octobre 2026).

Quels référentiels et quelles intégrations Kertos couvre-t-il ?

• Sécurité de l'information : ISO 27001, SOC 2, TISAX, C5 et NIS2.
• Protection des données : le RGPD et ISO 27701, avec le registre des activités de traitement, les analyses d'impact et les demandes d'exercice des droits.
• Gouvernance de l'IA : ISO 42001 et le règlement européen sur l'IA.
• Plus de 100 intégrations avec des outils tels que Salesforce, Jira, GitHub et les principaux fournisseurs cloud.
• Contrôles communs : un contrôle est tenu à jour une seule fois et rattaché à tous les référentiels concernés, y compris les preuves pour les audits de surveillance et de recertification.

Quand Kertos n'est-il pas le bon choix ?

Kertos ne convient pas à toutes les entreprises. Dans les cas suivants, un autre modèle est préférable :

• Vous cherchez uniquement un outil en self-service : si une équipe sécurité expérimentée est en interne et veut mener le travail de fond elle-même, vous paieriez pour une expertise dont vous n'avez pas besoin.
• Vous avez surtout besoin de mise en œuvre technique : la segmentation réseau, le durcissement d'installations OT ou les tests d'intrusion relèvent d'une ESN ou d'un cabinet de conseil en sécurité informatique.
• Vous avez besoin d'ISO 9001 : Kertos ne couvre pas le management de la qualité.
• Vous devez exploiter le logiciel sur site ou utilisez l'IT-Grundschutz du BSI allemand comme référentiel principal.

L'étendue des fonctionnalités est par ailleurs importante, et cela se ressent au démarrage. Des clients indiquent que la plateforme paraît dense au début et se configure bien avec l'appui des experts. Un client signale que le scanner d'appareils ne prend pas en charge les postes Linux, un autre que l'assistant IA intégré se limite encore surtout à des questions-réponses générales.

« Au premier abord, la plateforme est un peu écrasante et les bénéfices n'apparaissent pas clairement ; il manque encore ici ou là telle ou telle fonctionnalité. »

Utilisateur vérifié dans la santé, le bien-être et le fitness, G2, traduit de l'allemand

« Un référentiel pour la mise en œuvre d'ISO 9001 serait utile. »

Alexander W., gérant, G2, traduit de l'anglais

« Pourrait être encore un tout petit peu plus lisible. Un peu surchargé. »

Laurin H., G2, traduit de l'allemand

Pour voir à quoi ressemblerait Kertos dans votre cas, réservez une démo.

Questions fréquentes

Combien coûte Kertos ?

Kertos propose trois formules : Essential, Pro et Premium. Elles se distinguent par la part de travail prise en charge par la plateforme, KAIA et les experts, et par celle qui reste à votre équipe. Le prix dépend de la formule, des référentiels et de la taille de l'entreprise. Vous recevez une offre après une démo.

Kertos délivre-t-il lui-même le certificat ?

Non. Un certificat ISO 27001 est délivré par un organisme de certification indépendant et accrédité, un rapport SOC 2 par un cabinet d'audit agréé (CPA) et un label TISAX par un prestataire d'audit habilité. Kertos prépare votre entreprise, rassemble les preuves et accompagne l'audit. Cette séparation est voulue : celui qui conseille ne doit pas aussi certifier.

Peut-on passer d'un autre outil de conformité à Kertos ?

Oui. Les politiques, appréciations des risques et preuves existantes n'ont pas à être recréées ; les experts les comparent aux exigences lors de l'analyse des écarts. Un certificat en cours reste valable après le changement, car il est délivré par l'organisme de certification et non par l'éditeur de l'outil. Il est préférable de changer suffisamment tôt avant le prochain audit de surveillance.

Combien de temps prend une certification ISO 27001 avec Kertos ?

Cela dépend de la maturité de départ et du périmètre. AskUI a obtenu la certification avec Kertos en 8 à 10 semaines, sans consultants externes ; c'est un cas isolé et non un engagement. L'organisme de certification fixe lui-même la durée de l'audit, principalement en fonction du nombre de personnes dans le périmètre.

Kertos est-il lui-même certifié ?

Oui. Kertos est certifié ISO 42001 pour les systèmes de management de l'IA. Certificats, sous-traitants et documentation de sécurité sont disponibles dans le Trust Center, à l'adresse trust.kertos.io.