Complass – Navigate compliance Complass – Navigate compliance

Fonctionnalités inclus à partir de Professional: Gestion des actifs, comparer les offres

Gestion des actifs

Votre inventaire d’actifs comme base commune pour la conformité et la sécurité : IT et OT sur une plateforme centrale, collectés sans agent, avec SBOM, avis des fabricants et relations entre actifs.

Image fixe de la courte vidéo « La gestion des actifs en 20 secondes »
La gestion des actifs en 20 secondes Import, capture réseau, inventaire, zones et conduits. Beispieldaten der Demo-Firma.
?>

On ne peut pas protéger des installations que l’on ne connaît pas, et ce savoir est souvent dispersé entre tableurs, exports d’outils et têtes des collaborateurs.

Collecte sans agent

  • Des scripts de collecte plutôt qu’un agent

    Des scripts lisibles pour Windows (PowerShell, cmd pour les systèmes plus anciens) et Linux. Ils se contentent de lire, n’installent rien et écrivent un fichier par système.

  • Signés, chiffrés, vérifiés

    Les fichiers issus des scripts PowerShell et Linux sont signés et chiffrés. Complass rejette les fichiers modifiés, étrangers ou en double. L’import se fait en lot avec aperçu, y compris sous forme de ZIP.

  • Réutilisez ce que vous avez

    Import depuis le modèle Excel/CSV, depuis Zeek et Nmap et depuis les exports CSV d’outils courants de supervision OT. Les captures réseau (PCAP, PCAPNG) sont analysées dans votre navigateur ; le fichier ne quitte pas votre ordinateur.

  • Pas de doublons

    Tous les chemins d’import font l’objet d’un rapprochement centralisé : numéro de série avec fabricant, adresse MAC, UUID du système, nom d’hôte avec domaine. Les cas incertains apparaissent comme « doublon possible : à vérifier » et ne sont jamais créés automatiquement.

  • Appareils et fabricants découverts

    Les tables de voisinage des systèmes fournissent d’autres appareils comme candidats, jamais directement comme actifs. Si le fabricant manque, Complass le propose à partir du registre public de l’IEEE, avec la mention « supposé (MAC) ».

  • Depuis vos outils

    Les connecteurs d’actifs lisent l’inventaire depuis NetBox, Snipe-IT, Intune, Lansweeper et des outils OT.

  • Déploiement par stratégie de groupe

    Modèle pour le planificateur de tâches Windows, avec instructions pour les stratégies de groupe, les minuteurs systemd et cron.

Bases juridiques et normatives

  • IEC 62443-3-2
  • IEC 62443-2-1
  • ISO/IEC 27001:2022, A.5.9
  • ISO/IEC 27001:2022, A.8.9
  • § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …État : 26.09.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
  • Anhang I Teil II CRAAnnexe I Partie II Règlement sur la cyberrésilience Exigences relatives à la gestion des vulnérabilitésLes fabricants des produits comportant des éléments numériques: 1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits; 2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits …État : 06.10.2026 · Source : EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
Inventaire des actifs de l’entreprise de démonstration avec type, adresses, zone, responsable et besoins de protection
Inventaire des actifs avec zone, responsable et besoins de protection.

Trois modes pour les scripts de collecte

Vous décidez dans Complass comment le fichier vous parvient. Le mode est fixé dans le script et ne peut pas être modifié à l’exécution.

Local uniquement

Aucune connexion réseau. Le fichier reste sur le système ; vous le téléversez vous-même.

Dépôt sur partage

Une simple copie vers un partage de votre réseau, sans token et sans adresse. Vous téléversez ensuite les fichiers regroupés en ZIP.

Envoi vers Complass

Le fichier parvient directement à Complass via HTTPS avec un token de collecte. Si la cible est injoignable, il reste en local.

Des actifs à partir d’une capture réseau

Image fixe de la courte vidéo « Actifs issus d’une capture réseau »
Assets aus einem Netzwerkmitschnitt PCAP-Datei im Browser auswerten: Die Datei bleibt auf Ihrem Rechner, übertragen wird nur das Ergebnis. Beispieldaten der Demo-Firma.

Le court film présente l’interface utilisateur en allemand.

Comprendre ce qui tourne

La page de l’actif réunit dans des onglets la vue d’ensemble, la technologie, le réseau, la sécurité, les contrats, les relations, les processus, les preuves et l’historique.

  • Détails techniques par actif

    Matériel, BIOS/UEFI, CPU, RAM, disques, système d’exploitation avec build, cartes réseau et logiciels installés, en option ports et services en écoute. Les logiciels alimentent la SBOM.

  • État de sécurité issu du système

    Antivirus, firewall et chiffrement des disques (BitLocker) issus de la collecte. Des alertes comme « firewall désactivé » apparaissent sur l’actif.

  • Historique avec origine

    Les modifications depuis la dernière collecte apparaissent dans l’historique, avec l’origine (manuelle, import, script de collecte), filtrables et exportables au format Excel/CSV.

  • Certificats et cryptographie

    Certificats avec alerte 30, 14 et 7 jours avant l’expiration, import depuis PEM, nmap et testssl ; un inventaire des clés montre ce qui doit migrer vers la cryptographie post-quantique.

  • Ponts entre zones

    Complass détecte les systèmes présents dans plusieurs réseaux et les évalue : moyen, élevé avec transfert IP, critique s’ils relient des zones sans conduit. La vue des zones les affiche comme « pont ».

SBOM pour les produits et les installations

Le règlement sur la cyberrésilience impose aux fabricants de tenir une nomenclature logicielle (SBOM) pour leurs produits. Les exploitants s’en servent pour retrouver les installations concernées dès qu’une nouvelle vulnérabilité est connue.

  • SBOM par actif et par produit

    Composants avec version, fournisseur, type, purl, CPE, licence, somme de contrôle et composant parent. Les vulnérabilités ouvertes s’affichent juste à côté du composant.

  • Modèle, import ou script de collecte

    Modèle Excel/CSV, fichiers existants aux formats CycloneDX 1.4–1.6 et SPDX 2.2/2.3 ou logiciels issus du script de collecte, chacun avec aperçu.

  • Instantanés et comparaison

    « Enregistrer un instantané » fige la SBOM, par exemple par version de firmware. La comparaison montre les composants ajoutés, supprimés et modifiés.

  • Export pour les clients et les autorités

    CycloneDX 1.6 (JSON, XML) et SPDX 2.3, contrôlés par rapport aux champs obligatoires avant la sortie, ainsi que VEX avec le statut des vulnérabilités connues.

  • Vue d’ensemble des licences

    Licences classées en permissives, copyleft faible ou fort, propriétaires ou inconnues. Pour vos propres produits, des indications comme « vérifier les obligations » ou « clarifier la licence » ; ceci ne constitue pas un conseil juridique.

Rapports et exports : rapport de sécurité des actifs en PDF, format d’échange Complass, CSV pour les systèmes de CMDB et de tickets, CycloneDX et Excel. Les connexions directes figurent sur la page Intégrations →

Repérer les risques et les prioriser avec justification

  • Priorité avec justification

    Si un service du composant concerné est joignable sur le réseau, la priorité de la vulnérabilité augmente ; les services joignables uniquement en local la voient baisser. Firewall désactivé, antivirus désactivé et disques non chiffrés sont pris en compte, chacun avec sa justification.

  • Fin du support du fabricant

    Complass indique pour chaque actif quand le fabricant cesse de fournir des mises à jour de sécurité pour le système d’exploitation ou le logiciel, avec la règle et la source. Filtre, décompte par zone et vignette de dashboard.

  • Exploité en connaissance de cause, compensé

    Pour les systèmes OT hérités, vous documentez la segmentation, la liste d’autorisation ou la supervision avec une justification et une date de revue. La priorité des vulnérabilités en tient compte.

  • Avis des fabricants (CSAF)

    Les avis de sécurité issus de sources officielles sont rapprochés du fabricant, du modèle et de la version de firmware de vos actifs. La signature et la somme de contrôle sont vérifiées ; si le contrôle échoue, l’avis n’est pas utilisé. Vos administrateurs peuvent désactiver des sources par entreprise.

  • Un risque ou une tâche en un clic

    À partir d’une alerte sur l’actif, vous créez un risque ou une tâche préremplis, par exemple pour une migration, un remplacement ou une mesure compensatoire.

Avis des fabricants issus de sources officielles

Flux CSAF publics, récupérés chaque jour et activables par entreprise. Vous pouvez aussi téléverser vos propres fichiers CSAF, individuellement ou sous forme de ZIP.

  • Siemens ProductCERT
  • Schneider Electric
  • Phoenix Contact
  • CERT@VDE
  • ABB PSIRT
  • BSI (CERT-Bund)
  • CISA (avis ICS)

Relations, contrats et zones

Les relations et responsabilités dont la conformité et la continuité d’activité ont besoin, sans introduire une CMDB ITIL complète.

  • Relations avec plan

    « dépend de », « s’exécute sur », « connecté à », « fait partie de », « backup/surveille ». Le sens inverse apparaît sur l’autre actif ; le plan montre l’environnement jusqu’au deuxième niveau.

  • Processus métier

    Des processus comme « Ligne d’assemblage 2 » avec responsable, criticité, RTO et RPO et les actifs qui les soutiennent, en option sur l’ensemble des dépendances.

  • Contrats et télémaintenance

    Garantie, contrat de maintenance avec SLA et coûts, télémaintenance par le fabricant ou un prestataire avec chemin d’accès et autorisation. Complass rappelle les responsables par e-mail 90 et 30 jours avant l’expiration.

  • Tags, champs personnalisés, arborescence des sites

    Numéro d’inventaire, tags colorés, champs personnalisés (texte, nombre, date, choix, oui/non) et site, bâtiment, hall, salle – dans la liste, les filtres, l’import et l’export.

  • État de sécurité par actif

    Durcissement avec référence, antivirus/EDR, niveau de patchs, backup et backup de configuration avec date, et dernière revue. Les écarts apparaissent sous forme de nombre et de filtre.

Contrats et licences

L'inventaire comprend aussi ce que vous avez le droit d'utiliser, dans quelle mesure vous l'utilisez et jusqu'à quand. Le registre est inclus dans le module de gestion des actifs, sans supplément de prix.

  • Un registre pour les licences et les contrats

    Licences logicielles, abonnements cloud, contrats de maintenance et de services avec fabricant, produit, modèle de licence, quantité, durée et délai de résiliation, ainsi que responsable et suppléant.

  • Échéances avec rappel

    La date de résiliation ou la fin du contrat figurent sous Échéances, dans l’abonnement calendrier et sous forme de tuile dans le dashboard. Complass vous envoie un rappel 90, 30 et 7 jours avant, sans détails du contrat dans l’e-mail.

  • Avec actifs et preuves

    Reliez les actifs sur lesquels une licence fonctionne et joignez le contrat, la facture ou le certificat de licence. Import depuis un tableau avec aperçu, preuve d’audit au format PDF ou Excel.

  • Sous licence et utilisé

    Complass compare le nombre de licences acquises au nombre de licences utilisées : à partir d'actifs liés, d'installations selon l'inventaire, de comptes d'un système, d'une saisie manuelle ou de Microsoft 365. Le statut figure dans la liste, sous forme de filtre et sur une tuile. En cas de nouveau déficit de licences, les responsables reçoivent une notification au plus une fois par semaine.

  • Logiciels sans contrat

    Une liste affiche les applications et systèmes d'exploitation de l'inventaire qui ne sont rattachés à aucun contrat actif. En un clic, vous créez le contrat ou marquez le logiciel, en motivant votre choix, comme « Aucun contrat nécessaire ».

  • Volontairement allégé

    Complass n'enregistre pas les clés de licence, seulement leur lieu de conservation. Les coûts sont facultatifs et visibles uniquement par les administrateurs et les personnes disposant d'un droit propre. Le rapprochement est un simple comptage et ne remplace pas un audit de licences selon les règles de l'éditeur.

Microsoft 365 : via un enregistrement d'application dédié disposant d'une autorisation exclusivement en lecture, Complass lit le nombre de licences achetées et attribuées par produit, pas les noms de personnes. à partir de Professional: Licences Microsoft 365, comparer les offres

Appuie les preuves relatives à ISO/IEC 27001:2022 A.5.9 et A.5.32 ainsi que les informations destinées au registre d’informations selon l’art. 28 DORA, sans export au format de déclaration.

Zones et conduits selon l’IEC 62443-3-2

  • Zones et conduits

    Zones et chemins de communication selon l’IEC 62443-3-2 avec une vue zone × zone et un plan.

  • Proposition de zones à partir des données réseau

    Complass propose des zones à partir des sous-réseaux, des VLAN et des connexions observées et désigne la zone correspondante pour les systèmes collectés. Vous décidez de ce qu’il faut retenir.

  • Ports ouverts et ponts par zone

    La vue des zones montre les ports ouverts par zone, les systèmes sans support du fabricant et les systèmes multi-homed.

Zones et conduits de l’entreprise de démonstration sous forme de plan
Zones et conduits selon l’IEC 62443-3-2.

Droits et sécurité : lecture et écriture par domaine, sur demande uniquement ses propres actifs ; exports consignés dans le journal ; exports à partir de l’abonnement. Détails sur la page Sécurité et protection des données →

Identités et accès

L’auditeur ne demande pas seulement quels systèmes vous avez, mais qui s’y connecte et comment. Complass l’affiche par système en un seul endroit.

  • Authentification par système

    SSO, annuaire ou comptes locaux, MFA en général et pour les comptes privilégiés, PAM et accès d’urgence (break-glass).

  • Comptes directement ou par import

    Directement depuis Microsoft Entra ID ou votre organisation GitHub, régulièrement et en lecture seule, ou par import depuis Active Directory et CSV. Les comptes à privilèges, partagés et de service sont signalés.

  • Revues des accès (Access Reviews)

    Campagnes de recertification des droits. Sur demande, les propriétaires vérifient leurs groupes, vous cochez certains droits pour retrait, et le rapprochement suivant montre si le retrait a été effectué. Une preuve scellée clôt la campagne. inclus à partir de Professional: Revues des accès, comparer les offres

  • Arrivées et départs

    Listes de contrôle pour les collaborateurs qui arrivent, changent de poste et partent ; au départ, Complass affiche les comptes qui existent encore.

Bases juridiques et normatives

  • ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
  • § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …État : 26.09.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗

Questions fréquentes

Un agent est-il nécessaire ?

Non. Les scripts de collecte pour Windows et Linux sont lisibles, n’installent rien et ne s’exécutent que lorsque vous ou le planificateur de tâches les lancez. Sans collecte valide configurée dans Complass, ils ne démarrent pas.

Que se passe-t-il dans les réseaux sans accès à Internet ?

En mode « Dépôt sur partage », le script copie simplement son fichier vers un partage de votre réseau, sans token et sans connexion à Complass. Vous téléversez ensuite les fichiers regroupés en ZIP.

Les automates (API) sont-ils scannés ?

Non, Complass ne scanne pas les appareils. Pour les automates, vous analysez passivement une capture réseau (PCAP) ou des logs Zeek. Vous pouvez importer des résultats Nmap ; les scans actifs d’automates ne doivent être effectués qu’avec l’accord de l’exploitant de l’installation et en dehors de la production.

Comment évite-t-on les doublons ?

Tous les chemins d’import utilisent le même rapprochement par numéro de série avec fabricant, adresse MAC, UUID du système et nom d’hôte avec domaine ; l’adresse IP n’est qu’un indice. Vous tranchez vous-même les cas incertains.

Quels formats sont disponibles pour les systèmes tiers ?

JSON au format d’échange Complass, CSV avec colonnes en anglais, CSV pour CMDB et systèmes de tickets tels que ServiceNow ou GLPI, CycloneDX 1.6 avec VEX et CSAF 2.0 VEX. Une référence des champs est disponible dans le portail.

La capture réseau quitte-t-elle mon ordinateur ?

Non. L’analyse s’effectue dans le navigateur ; seule la liste des appareils et des connexions détectés, que vous vérifiez avant de la reprendre, est transmise au portail.

Complass remplace-t-il un outil de Software Asset Management ?

Non. Le registre « Contrats et licences » gère les licences, contrats, échéances et preuves, et compte combien de licences vous possédez et combien sont utilisées. Il ne remplace pas un bilan de licences selon les règles de licence des éditeurs.

Le registre « Contrats et licences » est-il facturé en supplément ?

Non, il est inclus dans le module Gestion des actifs. Avec la gestion des fournisseurs, vous voyez en outre les contrats auprès du fournisseur concerné.

La gestion des actifs est-elle un module distinct ?

Oui, elle peut être réservée comme module et constitue la base de la gestion des vulnérabilités, des risques et des incidents ainsi que du modèle de zones.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.