entreprise fictive donnée en exemple

Complass chez Kellenbach : une visite en 11 chapitres

Les images montrent le véritable portail avec les données d’exemple de Kellenbach Maschinenbau. Choisissez un chapitre : les étapes s’enchaînent d’elles-mêmes et vous pouvez faire une pause à tout moment. Chaque étape montre comment cela se passe souvent aujourd’hui et ce que Complass change.

Démarrer la visite

Chapitre

Vue d’ensemble Tous les référentiels dans un seul portail 3 étapes Point de départ recommandé
De l’écart à la mesure Analyse des écarts, applicabilité, mesures 4 étapes
Travailler dans Teams et Jira Tâches et échéances dans vos outils habituels 2 étapes
Incident avec délai de notification Un incident NIS2 en cours 2 étapes
Produit propre (CRA) KB Connect Gateway et KB Insight 5 étapes
Chaîne d’approvisionnement Évaluer les fournisseurs, garder un œil sur leurs preuves 3 étapes
Site de Hagen (OT) Zones, conduits et niveaux de sécurité 2 étapes
Risques Évaluer, traiter, rendre compte 3 étapes
Direction Obligations de la direction selon NIS2 3 étapes
Audit et accès Preuves et droits d’accès 2 étapes
Preuves automatiques Contrôles issus de vos propres systèmes 3 étapes

Entreprise familiale, 380 salariés, deux sites à Hagen et à Iserlohn
Entité importante au sens de NIS2
Fabricant au sens du CRA et du règlement sur les machines, avec sa propre passerelle KB Connect

Chapitre 1

Vue d’ensemble: Tous les référentiels dans un seul portail

Dashboard de Kellenbach avec avancement global, prochain audit, tâches ouvertes, niveau de maturité et délais de notification en cours

Vue d’ensemble · 1 sur 3

L’état de Kellenbach sur une seule page

Souvent aujourd’hui: Pour savoir où en est l’entreprise, il faut rassembler des chiffres issus de tableaux, d’e-mails et de dossiers de projet.
Avec Complass: Le dashboard affiche l’avancement global, le prochain audit, les tâches ouvertes et le niveau de maturité de tous les projets. En dessous figurent les délais de notification de l’incident en cours, et chaque vignette mène directement à la liste correspondante.

26 Référentiels dans le portail

Avancement global de tous les projets
Délais de notification en cours

Vue d’ensemble des référentiels : mesures transversales et projets dans lesquels elles comptent

Vue d’ensemble · 2 sur 3

Mettre en œuvre une fois, prouver pour chaque référentiel

Souvent aujourd’hui: ISO 27001, NIS2 et CRA exigent beaucoup de choses en double, et chaque exigence est tenue dans sa propre liste.
Avec Complass: La vue d’ensemble des référentiels associe à chaque mesure transversale les projets dans lesquels elle compte. Ce qui est mis en œuvre et prouvé une fois vaut pour chaque référentiel qui l’exige.

Mesures transversales
Effet par projet

Projet ISO 27001 pour les sites de Hagen et d’Iserlohn, avec avancement, prochaine étape et phases

Vue d’ensemble · 3 sur 3

Un projet par référentiel, étape par étape jusqu’à l’audit

Souvent aujourd’hui: Le plan de projet est entre les mains d’une seule personne, et elle seule sait ce qui vient ensuite.
Avec Complass: Le projet ISO 27001 pour les deux sites montre l’avancement de chaque phase et la prochaine étape ouverte, avec un clic pour poursuivre le travail. L’audit préalable et l’audit de certification figurent comme échéances dans le projet.

Votre prochaine étape
Phases jusqu’à l’audit

Chapitre 2

De l’écart à la mesure: Analyse des écarts, applicabilité, mesures

Analyse des écarts avec échelle de maturité et évaluation par domaine

De l’écart à la mesure · 1 sur 4

Où en est Kellenbach aujourd’hui ?

Souvent aujourd’hui: L’analyse des écarts est le résultat d’un atelier que plus personne ne met à jour au bout de quelques mois.
Avec Complass: Chaque mesure transversale est évaluée de « inexistante » à « efficace et vérifiée », avec objectif et justification. Complass montre où se trouvent les écarts les plus importants et, si vous le souhaitez, les reporte directement dans le plan de mesures.

Échelle de maturité
Évaluation par domaine

Déclaration d’applicabilité selon l’annexe A de l’ISO 27001, avec état d’évaluation et export

De l’écart à la mesure · 2 sur 4

La déclaration d’applicabilité comme document maîtrisé

Souvent aujourd’hui: La déclaration d’applicabilité est un fichier Excel dont plus personne ne sait, lors de l’audit suivant, à quoi se rapportent les justifications.
Avec Complass: Pour chaque mesure de l’annexe A, le catalogue indique si elle est applicable, pourquoi, où en est sa mise en œuvre et où se trouve la preuve. Après vérification, la déclaration est validée en tant que version et exportée en Word, Excel ou PDF.

État d’évaluation du catalogue
Export en Word, Excel, PDF

Plan de mesures avec filtres, responsables, échéances et priorités

De l’écart à la mesure · 3 sur 4

Chaque écart devient une tâche avec un nom et une date

Souvent aujourd’hui: Les tâches issues de l’audit et de l’analyse des écarts se dispersent entre e-mails, notes de réunion et tickets.
Avec Complass: Le plan de mesures rassemble toutes les tâches avec responsable, échéance, priorité et le référentiel qui les exige. Les responsables reçoivent un e-mail lors de l’attribution et un rappel avant l’échéance ; ce qui est en retard se remarque immédiatement.

Tâches avec responsable et échéance
Filtres par référentiel, priorité et personne

Commentaires avec mentions et question traitée sur une tâche

De l’écart à la mesure · 4 sur 4

Les questions là où se fait le travail

Souvent aujourd’hui: La concertation sur une mesure se déroule par e-mail et reste introuvable lors de l’audit suivant.
Avec Complass: Les commentaires avec mentions figurent directement sur la tâche, et une question peut être marquée comme traitée. Lors de l’audit, on peut ainsi retracer qui a vérifié et décidé quoi.

Commentaires sur la tâche

Chapitre 3

Travailler dans Teams et Jira: Tâches et échéances dans vos outils habituels

Microsoft Teams dans les intégrations : canal actif avec ses événements

Travailler dans Teams et Jira · 1 sur 2

Les échéances et les approbations arrivent dans Microsoft Teams

Souvent aujourd’hui: Pour ne manquer aucune échéance ni aucune approbation, il faut consulter régulièrement l’outil de conformité.
Avec Complass: Le canal « Informationssicherheit » reçoit une carte lorsqu’un incident est créé, qu’un délai de notification expire, qu’une tâche est attribuée ou en retard, ou qu’une approbation est en attente. Le lien de la carte ouvre l’entrée dans Complass, où les personnes la traitent avec leurs propres droits.

Canal avec ses événements

Tâche avec un ticket Jira lié, la mention « Jira signale terminé » et le formulaire de confirmation

Travailler dans Teams et Jira · 2 sur 2

La mesure devient un ticket Jira

Souvent aujourd’hui: Le développement travaille dans Jira, la conformité dans des listes, et à la fin quelqu’un rapproche les deux à la main.
Avec Complass: En un clic, une mesure devient un ticket Jira, une par une ou plusieurs à la fois. Le statut, les commentaires et les responsables sont repris en retour. Lorsque Jira signale « terminé », la personne responsable confirme la mesure dans Complass avec un bref commentaire ; la preuve porte ainsi la confirmation d’une personne.

Ticket Jira lié
Confirmation dans Complass

Chapitre 4

Incident avec délai de notification: Un incident NIS2 en cours

Liste des incidents avec l’incident de rançongiciel en cours et son prochain délai de notification

Incident avec délai de notification · 1 sur 2

Rançongiciel sur les serveurs de fichiers de l’administration

Souvent aujourd’hui: En cas d’urgence, l’équipe commence par déterminer s’il faut notifier, à qui et avant quand.
Avec Complass: L’incident en cours est enregistré, évalué comme soumis à notification selon NIS2 et affiche le prochain délai avec le temps restant. Les incidents clos, dont un cas CRA sur la passerelle propre à l’entreprise, restent traçables avec toutes leurs notifications.

3 Incidents dans l’exemple

Incident ouvert avec prochain délai
Délais en vue

Étapes de notification de l’incident NIS2 avec délais, alerte précoce transmise et notification ouverte

Incident avec délai de notification · 2 sur 2

Les étapes de notification selon NIS2 et leurs délais

Souvent aujourd’hui: Quelqu’un recalcule les délais à la main sous la pression du temps, et ce qui a été transmis figure dans un e-mail.
Avec Complass: Complass calcule les délais à partir de la prise de connaissance : alerte précoce, notification d’incident, rapport final. Les étapes transmises figurent avec l’horodatage et le numéro de dossier ; la notification elle-même passe, comme prescrit, par le portail de l’autorité compétente.

Prochain délai
Étapes de notification selon NIS2

Chapitre 5

Produit propre (CRA): KB Connect Gateway et KB Insight

Liste des vulnérabilités avec CVSS, KEV, priorité, échéance et responsables

Produit propre (CRA) · 1 sur 5

Les vulnérabilités par urgence plutôt que par ordre d’arrivée

Souvent aujourd’hui: Les rapports de scanners arrivent en PDF, et c’est l’intuition qui décide du constat à corriger en premier.
Avec Complass: Tous les constats figurent dans une liste avec CVSS, indicateur des vulnérabilités activement exploitées (KEV), priorité, délai et responsables. En haut figure ce qui est exploité et accessible.

Constats par priorité

Constat sur le portail clients KB Insight avec CVSS, KEV, décision SSVC et asset concerné

Produit propre (CRA) · 2 sur 5

Un constat avec tout ce qu’il faut pour décider

Souvent aujourd’hui: Le numéro CVE, l’évaluation et le système concerné figurent dans trois outils différents.
Avec Complass: Le constat sur le portail clients propre à l’entreprise, KB Insight, affiche l’évaluation, l’entrée KEV et la décision SSVC à côté de l’asset concerné et de son accessibilité depuis Internet. Cela justifie qu’il soit traité immédiatement.

Évaluation de la vulnérabilité
Asset concerné

Mesures recommandées pour un constat, avec source et « Reprendre comme mesure »

Produit propre (CRA) · 3 sur 5

Du constat à la mesure

Souvent aujourd’hui: Ce qu’il faut faire est dispersé entre avis de fabricants, bases de données et forums.
Avec Complass: Pour chaque constat, les mesures recommandées sont disponibles avec leur source : mise à jour du fabricant, consigne de la CISA, mesure générale pour ce type de vulnérabilité. Un clic suffit pour en faire une tâche avec échéance.

Actions recommandées avec source

SBOM du micrologiciel KB Connect avec composants, licences et vulnérabilités ouvertes

Produit propre (CRA) · 4 sur 5

La SBOM de la passerelle KB Connect

Souvent aujourd’hui: Quels composants se trouvent dans le micrologiciel, le développement le sait ; la gestion de produit et le support l’ignorent.
Avec Complass: La SBOM présente le micrologiciel avec son chargeur d’amorçage, son noyau et ses bibliothèques, leurs licences et les vulnérabilités ouvertes. Elle est importée depuis CycloneDX, comparée en continu aux nouvelles vulnérabilités et exportée au format standard.

Composants du micrologiciel
Export au format standard

Avis de sécurité d’un fabricant fictif avec les assets propres à l’entreprise concernés

Produit propre (CRA) · 5 sur 5

Associer les avis des fabricants à ses propres appareils

Souvent aujourd’hui: Les avis de sécurité des fournisseurs arrivent par e-mail, et quelqu’un vérifie à la main si les appareils de l’entreprise sont concernés.
Avec Complass: Les avis au format CSAF sont importés et associés aux assets de l’entreprise via le modèle et la version. La liste montre immédiatement quel appareil est concerné et lequel est encore à l’étude.

Vos assets concernés
Exporter

Chapitre 6

Chaîne d’approvisionnement: Évaluer les fournisseurs, garder un œil sur leurs preuves

Cockpit fournisseurs avec les indicateurs de la chaîne d’approvisionnement et la liste « Nécessite une attention »

Chaîne d’approvisionnement · 1 sur 3

Là où la chaîne d’approvisionnement demande de l’attention

Souvent aujourd’hui: Quel fournisseur est critique, quel certificat arrive à expiration : l’information est dispersée dans des listes d’achat et des e-mails.
Avec Complass: Le cockpit fournisseurs compte les fournisseurs critiques, les évaluations à échéance, les preuves qui expirent et les contrats de sous-traitance manquants. En dessous figure qui nécessite une attention en premier : le risque le plus élevé, issu de la classification et de la dernière évaluation, en tête.

État de la chaîne d’approvisionnement
Nécessite une attention

Évaluations d’un fournisseur : autodéclaration en mode externe avec avancement, nouvelle invitation automatique et rappels

Chaîne d’approvisionnement · 2 sur 3

Le fournisseur répond lui-même au questionnaire

Souvent aujourd’hui: Les questionnaires font des allers-retours sous forme de fichiers Excel, et personne ne sait exactement quelle version fait foi.
Avec Complass: Druck & Service Hagen répond aux exigences de sécurité de base dans son propre accès au portail fournisseurs. Kellenbach suit l’avancement et vérifie les réponses après leur soumission. Avant l’échéance, Complass envoie un rappel au fournisseur et, si vous le souhaitez, une nouvelle évaluation part automatiquement pour la prochaine revue.

Autodéclaration du fournisseur
Nouvelle invitation automatique

Preuves d’un hébergeur avec leur validité, la mention « Expire bientôt » et la vérification du périmètre

Chaîne d’approvisionnement · 3 sur 3

Certificats et rapports d’audit avec date d’expiration

Souvent aujourd’hui: Qu’un certificat de prestataire ait expiré, on ne le remarque souvent qu’à l’audit.
Avec Complass: Pour chaque fournisseur figurent les certificats, rapports d’audit et assurances avec leur validité, ainsi que la question de savoir si leur périmètre couvre la prestation. Ce qui expire bientôt est signalé et apparaît dans le cockpit avant qu’une lacune ne se crée.

Preuves avec date d’expiration

Chapitre 7

Site de Hagen (OT): Zones, conduits et niveaux de sécurité

Zones et conduits du site de Hagen avec indicateurs et plan réseau selon les niveaux de Purdue

Site de Hagen (OT) · 1 sur 2

Zones et conduits : cible et état réel

Souvent aujourd’hui: Le modèle de zones est un dessin issu du dernier projet, qui n’est plus exact après la prochaine transformation.
Avec Complass: Le site de Hagen est divisé en zones et conduits selon l’IEC 62443. Complass montre les écarts entre le niveau de sécurité cible et le niveau atteint, ainsi que le trafic observé sans conduit validé, y compris dans le plan réseau selon les niveaux de Purdue.

Zones, conduits et écarts de SL
Plan réseau selon les niveaux de Purdue

Inventaire des assets avec zone, responsable et besoin de protection

Site de Hagen (OT) · 2 sur 2

Un seul inventaire pour l’IT et l’OT

Souvent aujourd’hui: L’IT gère les serveurs, tandis que chaque site tient les machines et les automates dans sa propre liste.
Avec Complass: Serveurs, postes de travail, automates et pupitres opérateur figurent dans un seul inventaire avec zone, besoin de protection et responsable. Reste ouvert et visible : les assets du site d’Iserlohn n’ont pas encore de zone, le projet OT correspondant suivra en 2027.

38 assets recensés

Inventaire avec zone et besoin de protection

Chapitre 8

Risques: Évaluer, traiter, rendre compte

Registre des risques avec évaluation et traitement

Risques · 1 sur 3

Un registre des risques pour toute l’entreprise

Souvent aujourd’hui: Les risques figurent dans une liste remise à jour une fois par an pour l’audit.
Avec Complass: Chaque risque a une évaluation, un traitement, un propriétaire du risque et la date de la prochaine revue, et il est lié à des assets, des vulnérabilités et des mesures. Registre, carte thermique et méthode se trouvent sur une même page.

12 risques évalués

Registre des risques
Registre, carte thermique et méthode

Carte thermique avec risque inhérent et risque résiduel côte à côte

Risques · 2 sur 3

Avant et après en un coup d’œil

Souvent aujourd’hui: Pour la direction, la carte thermique est reconstruite chaque trimestre dans une présentation.
Avec Complass: La carte thermique est générée à partir du registre : à gauche le risque inhérent, à droite le risque résiduel après les mesures mises en œuvre. Un clic sur un chiffre ouvre les risques correspondants.

Risque inhérent et risque résiduel

Évaluation d’un risque avec proposition non contraignante et ses motifs

Risques · 3 sur 3

Une proposition d’évaluation, la décision reste en interne

Souvent aujourd’hui: Chaque évaluation repart de zéro, et chaque service évalue selon sa propre échelle.
Avec Complass: Complass déduit une proposition du besoin de protection et de l’exposition des assets liés ainsi que des vulnérabilités ouvertes, et en indique les motifs. La proposition n’est pas contraignante ; ce sont les spécialistes de l’entreprise qui la reprennent ou l’ajustent.

Proposition motivée

Chapitre 9

Direction: Obligations de la direction selon NIS2

Cockpit de la direction avec les obligations d’une entité importante et leurs dispositions légales

Direction · 1 sur 3

Ce que la direction doit selon NIS2

Souvent aujourd’hui: La direction est responsable, mais ne voit l’état d’avancement qu’une fois par an dans une présentation.
Avec Complass: Le cockpit de la direction montre à Katharina Kellenbach et à Dr. Martin Oberholz ce qui s’applique à une entité importante : mettre en œuvre la gestion des risques, notifier les incidents importants, s’enregistrer, superviser la mise en œuvre et suivre une formation. Chaque obligation est accompagnée de sa disposition légale.

Ce qui s’applique à vous

Décision sur les mesures de gestion des risques avec l’état des confirmations, supervision trimestrielle et état des formations par membre

Direction · 2 sur 3

Décider, superviser, se former, chaque étape confirmée

Souvent aujourd’hui: Que la direction a approuvé les mesures, seule une phrase dans le procès-verbal d’une réunion en témoigne, au mieux.
Avec Complass: Sabine Hartwig prépare la décision sur les mesures de gestion des risques, et chaque membre de la direction la confirme après s’être reconnecté. La supervision a lieu chaque trimestre avec une échéance, et pour chaque membre figure la dernière formation avec sa validité. Ce qui est en retard ou arrive bientôt à échéance saute immédiatement aux yeux.

Décision sur les mesures
Supervision trimestrielle
Formation par membre

Preuve des obligations de la direction en PDF scellé et en version de travail

Direction · 3 sur 3

Une preuve des obligations de la direction qui tient la route

Souvent aujourd’hui: Ce que la direction a décidé et appris, et quand, doit d’abord être recherché dans des classeurs le jour où cela compte vraiment.
Avec Complass: La preuve des obligations de la direction rassemble dans un PDF scellé les décisions, supervisions, formations et prises de connaissance de la direction pour une période donnée. Les destinataires vérifient son authenticité sur la page de vérification, sans se connecter.

Preuve des obligations de la direction

Chapitre 10

Audit et accès: Preuves et droits d’accès

Export d’audit avec le périmètre de l’offre

Audit et accès · 1 sur 2

Le dossier d’audit sur demande

Souvent aujourd’hui: Avant l’audit, quelqu’un passe des jours à rassembler documents, listes et preuves depuis des dossiers.
Avec Complass: L’export d’audit réunit documents, catalogues, registres, preuves et journaux dans un fichier ZIP, avec page d’accueil et liste des sommes de contrôle. Il ne contient que ce que la personne qui le demande est autorisée à lire ; chaque export est consigné dans le journal du client.

Périmètre de l’export

Droits par personne et par domaine avec filtre

Audit et accès · 2 sur 2

Qui a le droit de faire quoi, avec justificatif pour l’audit

Souvent aujourd’hui: Qui peut accéder à quoi est dispersé entre systèmes et e-mails, et l’aperçu destiné à l’audit est refait à chaque fois.
Avec Complass: Pour chaque personne et chaque domaine, il est établi : aucun accès, lecture ou écriture, ainsi que des droits spéciaux comme exporter ou valider. L’aperçu peut être filtré et exporté comme preuve.

Qui peut faire quoi ?
Droits par domaine

Chapitre 11

Preuves automatiques: Contrôles issus de vos propres systèmes

Connexion à Microsoft Entra ID et Microsoft 365 avec les résultats des contrôles, la dernière et la prochaine exécution

Preuves automatiques · 1 sur 3

Complass lit les paramètres chaque jour

Souvent aujourd’hui: Pour l’audit, on fait des captures d’écran de la console d’administration, qui peuvent être déjà obsolètes le lendemain.
Avec Complass: La connexion à Microsoft Entra ID et Microsoft 365 lit une fois par jour, en lecture seule, des paramètres tels que l’obligation de MFA, l’authentification forte des administrateurs ou le nombre d’administrateurs globaux. Chaque contrôle reçoit un feu tricolore ; sont enregistrés des chiffres et des résultats, pas de noms de personnes. Une organisation GitHub peut être connectée de la même manière.

Contrôles avec feu tricolore
Exécution quotidienne

Exigence de la déclaration d’applicabilité avec une proposition de statut issue d’une preuve automatique en échec et les preuves automatiques de Microsoft Entra ID

Preuves automatiques · 2 sur 3

La preuve se trouve au niveau de l’exigence

Souvent aujourd’hui: Qu’une exigence soit toujours satisfaite, on ne le revérifie que peu avant l’audit suivant.
Avec Complass: Dans la déclaration d’applicabilité, l’exigence relative aux principes de contrôle d’accès indique quels contrôles automatiques en apportent la preuve, avec le résultat, l’ancienneté et l’historique. Comme un contrôle échoue, Complass propose ici « Partiellement mis en œuvre » et en indique la raison ; la proposition n’est reprise qu’à la main.

Proposition de statut avec sa raison
Preuves automatiques liées à l’exigence

Vue d’ensemble des preuves automatiques avec l’état de tous les contrôles et les sources de preuves

Preuves automatiques · 3 sur 3

Tous les contrôles en un coup d’œil

Souvent aujourd’hui: Quelles preuves sont obsolètes, on ne s’en aperçoit souvent que lorsque l’auditeur les demande.
Avec Complass: La vue d’ensemble montre combien de contrôles sont conformes, expirent bientôt ou ont échoué, et de quelle source ils proviennent. Outre les connecteurs, vos propres systèmes, comme le backup ou le pipeline de build, fournissent aussi des résultats via l’API.

État de tous les contrôles
Sources de preuves

Votre prochaine étape: Complass avec vos propres données

Créez vous-même votre accès d’essai, 14 jours gratuits et sans données de paiement. Ou nous vous présentons Complass lors d’une démonstration adaptée à vos référentiels.

Essayer gratuitement Demander une démo

Vérifier l’applicabilité Packs et tarifs