Complass – Navigate compliance Complass – Navigate compliance
Langue FR
Deutsch English Français Italiano Español Nederlands Polski Português
Essayer gratuitement

NIS2, CRA et autres : votre entreprise est-elle concernée ?

Une première évaluation pour NIS2 (§ 28 BSIG), KRITIS, le règlement sur la cyberrésilience et le règlement Machines, ainsi que pour ISO 27001, IEC 62443 et TISAX en tant que preuves volontaires. Pour tous les secteurs, avec une profondeur particulière pour l’industrie et l’OT. Sans inscription, en quelques minutes.

Entreprise

Toutes les questions sont facultatives ; nous comptons une question sans réponse comme « Je ne sais pas ». Condition supposée : activité exercée contre rémunération.

1. Où votre entreprise est-elle établie ?

NIS2 est transposée en droit national ; cette vérification évalue la transposition allemande (BSIG). Le règlement sur la cyberrésilience et le règlement Machines s’appliquent directement dans toute l’UE.

2. Secteur

Uniquement pour l’orientation et les indications non contraignantes ci-dessous ; pour les conséquences juridiques, c’est la question 3 qui compte.

Activité

3. Activité exacte au sens de NIS2 (annexe 1/2 BSIG)

Choisissez l’activité qui correspond le mieux. Les groupes correspondent aux secteurs des annexes 1 et 2 BSIG.

Ce qui compte, c’est ce que fait réellement votre entreprise, pas le secteur. Les activités qui ne représentent qu’une part négligeable de votre activité sont écartées (§ 28, al. 3, BSIG). Si aucune ne convient, choisissez « Aucune de celles-ci ».

Taille

Il s’agit de votre entreprise en tant qu’entité juridique, par exemple la GmbH, avec tous ses sites réunis, et non d’un site isolé. Nous demanderons à l’étape suivante si les chiffres d’un groupe d’entreprises comptent aussi. Les derniers comptes annuels font foi.

4. Effectifs

Les salariés à temps plein comptent pour 1, les salariés à temps partiel et saisonniers au prorata. Les apprentis ainsi que les salariés en congé maternité ou parental ne sont pas comptés. Exemple : 40 salariés à temps plein et 20 à mi-temps font 50.

5. Chiffre d’affaires annuel

Chiffre d’affaires hors TVA selon le compte de résultat.

6. Total du bilan

La somme de l’actif de votre bilan. Elle figure dans les comptes annuels ou vous est fournie par votre expert-comptable.

À partir de 50 salariés, votre entreprise est considérée comme une entreprise moyenne. Il en va de même si le chiffre d’affaires et le total du bilan dépassent tous deux 10 M€. En cas de doute, choisissez « Je ne sais pas » ; le résultat indique alors ce qu’il faut vérifier.

Groupe d’entreprises

7. Groupe d’entreprises

Il y a groupe lorsqu’une autre entreprise détient au moins 25 % de votre entreprise, par exemple une société mère, ou lorsque votre entreprise détient au moins 25 % d’une autre. Si votre informatique est indépendante du groupe, seuls vos propres chiffres comptent (§ 28, al. 4, BSIG).

Comment comptent les participations et l’informatique partagée
  • Plus de 50 % ou influence dominante (entreprise liée) : les chiffres comptent en totalité. Cela vaut pour la société mère, vos filiales et les sociétés sœurs sous la même mère.
  • 25 à 50 % (entreprise partenaire) : les chiffres comptent au prorata, à hauteur de la participation.
  • Moins de 25 % : ne compte pas, vous êtes considéré comme indépendant. Les participations de sociétés de capital-risque, de business angels ou d’universités jusqu’à 50 % peuvent elles aussi ne pas compter.
  • Informatique indépendante signifie séparée juridiquement, économiquement et dans les faits : systèmes et réseaux propres, exploitation informatique propre ou prestataire propre, décisions propres en matière de sécurité.
  • Informatique partagée, par exemple : un centre de données du groupe, un réseau commun ou une authentification commune (Active Directory) ou un service informatique central de la société mère.

Exemple : la société mère détient 100 % de votre GmbH, mais votre informatique fonctionne de façon totalement séparée. Alors seuls vos propres chiffres comptent. Vous devriez pouvoir prouver cette indépendance. En cas de doute, choisissez « Informatique partagée ».

À remplir uniquement si vous avez choisi « Fait partie d’un groupe, informatique partagée ». Alors les chiffres du groupe comptent : toutes les entreprises liées ensemble, y compris la vôtre, au prorata pour les participations comprises entre 25 et 50 %. En cas de doute, demandez à la comptabilité de votre groupe.

Effectifs du groupe
Chiffre d’affaires annuel du groupe
Total du bilan du groupe

Activités particulières

8. Exploitez-vous une installation critique (KRITIS) ?

Les installations critiques approvisionnent en règle générale au moins 500 000 personnes, par exemple de grandes centrales électriques, stations d’eau ou hôpitaux à partir d’un certain nombre de cas. Les seuils figurent dans l’ordonnance BSI-KritisV. Les exploitants le savent généralement, car ils sont enregistrés auprès du BSI.

9. Cas particuliers (facultatif, choix multiple)

Ces activités relèvent de NIS2 quelle que soit la taille : signatures, cachets ou horodatages électroniques (services de confiance), services DNS ou domaine de premier niveau, réseaux ou services de télécommunications publics. Pour les banques, assurances et autres entités financières, DORA prévaut.

Produits et machines

10. Produits comportant des éléments numériques

Sont visés le matériel et les logiciels pouvant être connectés à un appareil ou à un réseau, par exemple des automates, appareils connectés, applications ou micrologiciels. Quiconque vend un produit sous son propre nom est considéré comme fabricant, même si un autre l’a fabriqué.

11. Machines

Une machine est substantiellement modifiée lorsqu’une transformation crée de nouveaux dangers que le fabricant n’avait pas prévus. Quiconque le fait est lui-même considéré comme fabricant. Cela vaut aussi pour les machines que vous construisez pour votre propre exploitation.

Preuves volontaires

12. Exigences des clients (facultatif, choix multiple)

Choisissez ce que les clients exigent de vous dans les contrats, demandes ou audits fournisseurs. TISAX est surtout exigé par l’industrie automobile. Même si NIS2 ou le CRA ne s’appliquent pas directement à vous, les clients concernés répercutent souvent leurs obligations sur leurs fournisseurs et prestataires par contrat.

13. Intelligence artificielle

Dès l’utilisation d’outils d’IA tels que ChatGPT ou Copilot dans l’entreprise, des obligations apparaissent, par exemple en matière de maîtrise de l’IA par les salariés. Quiconque développe des systèmes d’IA ou les distribue sous son propre nom a nettement plus d’obligations.

What is counted (s’ouvre dans un nouvel onglet)

Switzerland, product safety and pharma

These questions concern further frameworks. Skip them if they do not fit; we then do not assess these frameworks.

14. Do you process personal data of people in Switzerland, or does your processing have an effect in Switzerland?

The Swiss Federal Act on Data Protection (FADP) applies to situations that have an effect in Switzerland, even if they are initiated abroad (Art. 3 para. 1 FADP).

15. Do you place consumer products on the EU market or offer them online, also as a distributor, fulfilment service provider or online marketplace?

General Product Safety Regulation (EU) 2023/988 (GPSR). Consumer products are products intended for consumers or likely to be used by them.

Your role under the GPSR (choix multiple)

Only fill in if you answered question 15 with “Yes” or “Don’t know”. Fulfilment service providers carry out at least two of warehousing, packaging, addressing and dispatching goods they do not own.

16. Pharma, biotech and medical devices (choix multiple)

Legal basis: Annex 11 of the EU GMP Guide for computerised systems and FDA 21 CFR Part 11 for electronic records and signatures.

Que signifient ces référentiels ?

NIS2
(transposée dans la loi sur le BSI) oblige les exploitants de certains secteurs, à partir d’une taille minimale, à la gestion des risques, à l’enregistrement et à la notification.
En savoir plus sur NIS2
KRITIS
(loi-cadre KRITIS) concerne les exploitants d’installations critiques quelle que soit leur taille et exige des mesures de résilience.
En savoir plus sur la loi-cadre KRITIS
Règlement sur la cyberrésilience
Exige des fabricants, importateurs et distributeurs de produits comportant des éléments numériques une cybersécurité sur l’ensemble du cycle de vie, dans toute l’UE.
En savoir plus sur le CRA
Règlement Machines
Complète le marquage CE des machines par des exigences de cybersécurité pour les systèmes de commande, dans toute l’UE.
En savoir plus sur le règlement Machines
ISO 27001, IEC 62443 et TISAX
Ne sont pas des obligations légales, mais des preuves souvent exigées par les clients ou les contrats.
En savoir plus sur ISO 27001 · En savoir plus sur IEC 62443
FADP, GPSR, EU GMP Annex 11 and 21 CFR Part 11
The check assesses the Swiss data protection act, the EU General Product Safety Regulation and the GMP and FDA rules for computerised systems and electronic records if you answer questions 14 to 16.
RGPD
Protection des données : le RGPD s’applique à presque toute entreprise qui traite des données à caractère personnel. Il ne fait pas partie de cette vérification. Avec le module RGPD, vous mettez en œuvre la protection des données de façon démontrable dans Complass.
En savoir plus sur le RGPD

Première appréciation non contraignante, pas un conseil juridique. Le résultat repose exclusivement sur vos indications et sur des règles standardisées ; il ne remplace ni votre propre examen ni l’auto-identification auprès des autorités. Fichier de règles 2026.11.2, État au 2026-11-03.

Questions fréquentes sur la vérification de l’assujettissement

Le résultat est-il juridiquement contraignant ?

Non. Il s’agit d’une première appréciation non contraignante, fondée sur vos indications et sur des règles standardisées, et non d’un conseil juridique.

Mes données sont-elles enregistrées ?

Not with anything that identifies you. The evaluation happens in working memory. We only count anonymously which answer options and results are chosen, never who chose them; you can opt out of this in the form. Your answers only reach us if you explicitly send the result along with a demo request. Details in the privacy policy.

D’où viennent les seuils ?

Du § 28 BSIG, de l’ordonnance BSI-KritisV, du règlement sur la cyberrésilience et du règlement Machines ; les références figurent avec chaque résultat.

Le résultat suffit-il pour fonder une décision ?

Pour commencer, oui : vous voyez quels référentiels s’appliquent probablement d’après vos réponses, et pourquoi. Pour un budget, des contrats ou des déclarations aux autorités, vérifiez le résultat à l’aide de vos documents et, pour les cas limites, avec une aide experte ou juridique.

Que signifie « examen en suspens » ?

Vos indications ne permettent pas encore de répondre de façon définitive ; une indication manquante ne mène jamais automatiquement à « non concerné ».

Mon entreprise n’est pas établie en Allemagne. La vérification s’applique-t-elle quand même ?

En tant que règlements européens, le règlement sur la cyberrésilience et le règlement Machines s’appliquent directement dans tous les États membres (règlement Machines à partir du 20.01.2027). Pour NIS2, chaque État membre transpose la directive en droit national ; cette vérification n’évalue que la transposition allemande (BSIG) et affiche pour celle-ci « examen en suspens ».

Qu’en est-il du RGPD ?

Le RGPD s’applique à presque toute entreprise qui traite des données à caractère personnel. Il ne fait pas partie de cette vérification. Avec le module RGPD, vous mettez en œuvre la protection des données de façon démontrable dans Complass.

Le règlement sur l’IA s’applique-t-il à nous ?

Quiconque utilise l’IA dans l’entreprise doit prendre des mesures pour promouvoir la maîtrise de l’IA de ses salariés (art. 4 du règlement sur l’IA, dans la version en vigueur depuis le 27.07.2026). Aucun niveau ni certificat particulier n’est prescrit, mais vous devriez pouvoir justifier ces mesures. D’autres obligations dépendent de la finalité d’utilisation et s’appliquent de façon échelonnée ; veuillez vérifier l’état actuel.

Puis-je enregistrer ou imprimer le résultat ?

Oui, via la fonction d’impression de votre navigateur ; il n’existe pas d’export PDF côté serveur.

Que faire du résultat ?

Vous trouverez pour chaque référentiel les premières étapes et, à la fin, une proposition d’offre adaptée ; une démo vous montre Complass à partir de votre propre exemple.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.

Essayer gratuitement Demander une démo