Fonctionnalités inclus à partir de Professional: Gestion des actifs, comparer les offres
Gestion des actifs
Votre inventaire d’actifs comme base commune pour la conformité et la sécurité : IT et OT sur une plateforme centrale, collectés sans agent, avec SBOM, avis des fabricants et relations entre actifs.
- Collecte
- Comprendre
- SBOM
- Risques
- Relations
- Contrats et licences
- Zones
- Identités
- Rapports et échanges
- Droits
- FAQ
On ne peut pas protéger des installations que l’on ne connaît pas, et ce savoir est souvent dispersé entre tableurs, exports d’outils et têtes des collaborateurs.
Collecte sans agent
Des scripts de collecte plutôt qu’un agent
Des scripts lisibles pour Windows (PowerShell, cmd pour les systèmes plus anciens) et Linux. Ils se contentent de lire, n’installent rien et écrivent un fichier par système.
Signés, chiffrés, vérifiés
Les fichiers issus des scripts PowerShell et Linux sont signés et chiffrés. Complass rejette les fichiers modifiés, étrangers ou en double. L’import se fait en lot avec aperçu, y compris sous forme de ZIP.
Réutilisez ce que vous avez
Import depuis le modèle Excel/CSV, depuis Zeek et Nmap et depuis les exports CSV d’outils courants de supervision OT. Les captures réseau (PCAP, PCAPNG) sont analysées dans votre navigateur ; le fichier ne quitte pas votre ordinateur.
Pas de doublons
Tous les chemins d’import font l’objet d’un rapprochement centralisé : numéro de série avec fabricant, adresse MAC, UUID du système, nom d’hôte avec domaine. Les cas incertains apparaissent comme « doublon possible : à vérifier » et ne sont jamais créés automatiquement.
Appareils et fabricants découverts
Les tables de voisinage des systèmes fournissent d’autres appareils comme candidats, jamais directement comme actifs. Si le fabricant manque, Complass le propose à partir du registre public de l’IEEE, avec la mention « supposé (MAC) ».
Depuis vos outils
Les connecteurs d’actifs lisent l’inventaire depuis NetBox, Snipe-IT, Intune, Lansweeper et des outils OT.
Déploiement par stratégie de groupe
Modèle pour le planificateur de tâches Windows, avec instructions pour les stratégies de groupe, les minuteurs systemd et cron.
Bases juridiques et normatives
- IEC 62443-3-2
- IEC 62443-2-1
- ISO/IEC 27001:2022, A.5.9
- ISO/IEC 27001:2022, A.8.9
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Ouvrir l’original (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnnexe I Partie II Règlement sur la cyberrésilience Exigences relatives à la gestion des vulnérabilitésLes fabricants des produits comportant des éléments numériques: 1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits; 2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗

Trois modes pour les scripts de collecte
Vous décidez dans Complass comment le fichier vous parvient. Le mode est fixé dans le script et ne peut pas être modifié à l’exécution.
Local uniquement
Aucune connexion réseau. Le fichier reste sur le système ; vous le téléversez vous-même.
Dépôt sur partage
Une simple copie vers un partage de votre réseau, sans token et sans adresse. Vous téléversez ensuite les fichiers regroupés en ZIP.
Envoi vers Complass
Le fichier parvient directement à Complass via HTTPS avec un token de collecte. Si la cible est injoignable, il reste en local.
Des actifs à partir d’une capture réseau
Le court film présente l’interface utilisateur en allemand.
Comprendre ce qui tourne
La page de l’actif réunit dans des onglets la vue d’ensemble, la technologie, le réseau, la sécurité, les contrats, les relations, les processus, les preuves et l’historique.
Détails techniques par actif
Matériel, BIOS/UEFI, CPU, RAM, disques, système d’exploitation avec build, cartes réseau et logiciels installés, en option ports et services en écoute. Les logiciels alimentent la SBOM.
État de sécurité issu du système
Antivirus, firewall et chiffrement des disques (BitLocker) issus de la collecte. Des alertes comme « firewall désactivé » apparaissent sur l’actif.
Historique avec origine
Les modifications depuis la dernière collecte apparaissent dans l’historique, avec l’origine (manuelle, import, script de collecte), filtrables et exportables au format Excel/CSV.
Certificats et cryptographie
Certificats avec alerte 30, 14 et 7 jours avant l’expiration, import depuis PEM, nmap et testssl ; un inventaire des clés montre ce qui doit migrer vers la cryptographie post-quantique.
Ponts entre zones
Complass détecte les systèmes présents dans plusieurs réseaux et les évalue : moyen, élevé avec transfert IP, critique s’ils relient des zones sans conduit. La vue des zones les affiche comme « pont ».
SBOM pour les produits et les installations
Le règlement sur la cyberrésilience impose aux fabricants de tenir une nomenclature logicielle (SBOM) pour leurs produits. Les exploitants s’en servent pour retrouver les installations concernées dès qu’une nouvelle vulnérabilité est connue.
SBOM par actif et par produit
Composants avec version, fournisseur, type, purl, CPE, licence, somme de contrôle et composant parent. Les vulnérabilités ouvertes s’affichent juste à côté du composant.
Modèle, import ou script de collecte
Modèle Excel/CSV, fichiers existants aux formats CycloneDX 1.4–1.6 et SPDX 2.2/2.3 ou logiciels issus du script de collecte, chacun avec aperçu.
Instantanés et comparaison
« Enregistrer un instantané » fige la SBOM, par exemple par version de firmware. La comparaison montre les composants ajoutés, supprimés et modifiés.
Export pour les clients et les autorités
CycloneDX 1.6 (JSON, XML) et SPDX 2.3, contrôlés par rapport aux champs obligatoires avant la sortie, ainsi que VEX avec le statut des vulnérabilités connues.
Vue d’ensemble des licences
Licences classées en permissives, copyleft faible ou fort, propriétaires ou inconnues. Pour vos propres produits, des indications comme « vérifier les obligations » ou « clarifier la licence » ; ceci ne constitue pas un conseil juridique.
Rapports et exports : rapport de sécurité des actifs en PDF, format d’échange Complass, CSV pour les systèmes de CMDB et de tickets, CycloneDX et Excel. Les connexions directes figurent sur la page Intégrations →
Repérer les risques et les prioriser avec justification
Priorité avec justification
Si un service du composant concerné est joignable sur le réseau, la priorité de la vulnérabilité augmente ; les services joignables uniquement en local la voient baisser. Firewall désactivé, antivirus désactivé et disques non chiffrés sont pris en compte, chacun avec sa justification.
Fin du support du fabricant
Complass indique pour chaque actif quand le fabricant cesse de fournir des mises à jour de sécurité pour le système d’exploitation ou le logiciel, avec la règle et la source. Filtre, décompte par zone et vignette de dashboard.
Exploité en connaissance de cause, compensé
Pour les systèmes OT hérités, vous documentez la segmentation, la liste d’autorisation ou la supervision avec une justification et une date de revue. La priorité des vulnérabilités en tient compte.
Avis des fabricants (CSAF)
Les avis de sécurité issus de sources officielles sont rapprochés du fabricant, du modèle et de la version de firmware de vos actifs. La signature et la somme de contrôle sont vérifiées ; si le contrôle échoue, l’avis n’est pas utilisé. Vos administrateurs peuvent désactiver des sources par entreprise.
Un risque ou une tâche en un clic
À partir d’une alerte sur l’actif, vous créez un risque ou une tâche préremplis, par exemple pour une migration, un remplacement ou une mesure compensatoire.
Avis des fabricants issus de sources officielles
Flux CSAF publics, récupérés chaque jour et activables par entreprise. Vous pouvez aussi téléverser vos propres fichiers CSAF, individuellement ou sous forme de ZIP.
- Siemens ProductCERT
- Schneider Electric
- Phoenix Contact
- CERT@VDE
- ABB PSIRT
- BSI (CERT-Bund)
- CISA (avis ICS)
Relations, contrats et zones
Les relations et responsabilités dont la conformité et la continuité d’activité ont besoin, sans introduire une CMDB ITIL complète.
Relations avec plan
« dépend de », « s’exécute sur », « connecté à », « fait partie de », « backup/surveille ». Le sens inverse apparaît sur l’autre actif ; le plan montre l’environnement jusqu’au deuxième niveau.
Processus métier
Des processus comme « Ligne d’assemblage 2 » avec responsable, criticité, RTO et RPO et les actifs qui les soutiennent, en option sur l’ensemble des dépendances.
Contrats et télémaintenance
Garantie, contrat de maintenance avec SLA et coûts, télémaintenance par le fabricant ou un prestataire avec chemin d’accès et autorisation. Complass rappelle les responsables par e-mail 90 et 30 jours avant l’expiration.
Tags, champs personnalisés, arborescence des sites
Numéro d’inventaire, tags colorés, champs personnalisés (texte, nombre, date, choix, oui/non) et site, bâtiment, hall, salle – dans la liste, les filtres, l’import et l’export.
État de sécurité par actif
Durcissement avec référence, antivirus/EDR, niveau de patchs, backup et backup de configuration avec date, et dernière revue. Les écarts apparaissent sous forme de nombre et de filtre.
Contrats et licences
L'inventaire comprend aussi ce que vous avez le droit d'utiliser, dans quelle mesure vous l'utilisez et jusqu'à quand. Le registre est inclus dans le module de gestion des actifs, sans supplément de prix.
Un registre pour les licences et les contrats
Licences logicielles, abonnements cloud, contrats de maintenance et de services avec fabricant, produit, modèle de licence, quantité, durée et délai de résiliation, ainsi que responsable et suppléant.
Échéances avec rappel
La date de résiliation ou la fin du contrat figurent sous Échéances, dans l’abonnement calendrier et sous forme de tuile dans le dashboard. Complass vous envoie un rappel 90, 30 et 7 jours avant, sans détails du contrat dans l’e-mail.
Avec actifs et preuves
Reliez les actifs sur lesquels une licence fonctionne et joignez le contrat, la facture ou le certificat de licence. Import depuis un tableau avec aperçu, preuve d’audit au format PDF ou Excel.
Sous licence et utilisé
Complass compare le nombre de licences acquises au nombre de licences utilisées : à partir d'actifs liés, d'installations selon l'inventaire, de comptes d'un système, d'une saisie manuelle ou de Microsoft 365. Le statut figure dans la liste, sous forme de filtre et sur une tuile. En cas de nouveau déficit de licences, les responsables reçoivent une notification au plus une fois par semaine.
Logiciels sans contrat
Une liste affiche les applications et systèmes d'exploitation de l'inventaire qui ne sont rattachés à aucun contrat actif. En un clic, vous créez le contrat ou marquez le logiciel, en motivant votre choix, comme « Aucun contrat nécessaire ».
Volontairement allégé
Complass n'enregistre pas les clés de licence, seulement leur lieu de conservation. Les coûts sont facultatifs et visibles uniquement par les administrateurs et les personnes disposant d'un droit propre. Le rapprochement est un simple comptage et ne remplace pas un audit de licences selon les règles de l'éditeur.
Microsoft 365 : via un enregistrement d'application dédié disposant d'une autorisation exclusivement en lecture, Complass lit le nombre de licences achetées et attribuées par produit, pas les noms de personnes. à partir de Professional: Licences Microsoft 365, comparer les offres
Appuie les preuves relatives à ISO/IEC 27001:2022 A.5.9 et A.5.32 ainsi que les informations destinées au registre d’informations selon l’art. 28 DORA, sans export au format de déclaration.
Zones et conduits selon l’IEC 62443-3-2
Zones et conduits
Zones et chemins de communication selon l’IEC 62443-3-2 avec une vue zone × zone et un plan.
Proposition de zones à partir des données réseau
Complass propose des zones à partir des sous-réseaux, des VLAN et des connexions observées et désigne la zone correspondante pour les systèmes collectés. Vous décidez de ce qu’il faut retenir.
Ports ouverts et ponts par zone
La vue des zones montre les ports ouverts par zone, les systèmes sans support du fabricant et les systèmes multi-homed.

Droits et sécurité : lecture et écriture par domaine, sur demande uniquement ses propres actifs ; exports consignés dans le journal ; exports à partir de l’abonnement. Détails sur la page Sécurité et protection des données →
Identités et accès
L’auditeur ne demande pas seulement quels systèmes vous avez, mais qui s’y connecte et comment. Complass l’affiche par système en un seul endroit.
Authentification par système
SSO, annuaire ou comptes locaux, MFA en général et pour les comptes privilégiés, PAM et accès d’urgence (break-glass).
Comptes directement ou par import
Directement depuis Microsoft Entra ID ou votre organisation GitHub, régulièrement et en lecture seule, ou par import depuis Active Directory et CSV. Les comptes à privilèges, partagés et de service sont signalés.
Revues des accès (Access Reviews)
Campagnes de recertification des droits. Sur demande, les propriétaires vérifient leurs groupes, vous cochez certains droits pour retrait, et le rapprochement suivant montre si le retrait a été effectué. Une preuve scellée clôt la campagne. inclus à partir de Professional: Revues des accès, comparer les offres
Arrivées et départs
Listes de contrôle pour les collaborateurs qui arrivent, changent de poste et partent ; au départ, Complass affiche les comptes qui existent encore.
Bases juridiques et normatives
- ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
- § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Ouvrir l’original (gesetze-im-internet.de) ↗
Questions fréquentes
Un agent est-il nécessaire ?
Non. Les scripts de collecte pour Windows et Linux sont lisibles, n’installent rien et ne s’exécutent que lorsque vous ou le planificateur de tâches les lancez. Sans collecte valide configurée dans Complass, ils ne démarrent pas.
Que se passe-t-il dans les réseaux sans accès à Internet ?
En mode « Dépôt sur partage », le script copie simplement son fichier vers un partage de votre réseau, sans token et sans connexion à Complass. Vous téléversez ensuite les fichiers regroupés en ZIP.
Les automates (API) sont-ils scannés ?
Non, Complass ne scanne pas les appareils. Pour les automates, vous analysez passivement une capture réseau (PCAP) ou des logs Zeek. Vous pouvez importer des résultats Nmap ; les scans actifs d’automates ne doivent être effectués qu’avec l’accord de l’exploitant de l’installation et en dehors de la production.
Comment évite-t-on les doublons ?
Tous les chemins d’import utilisent le même rapprochement par numéro de série avec fabricant, adresse MAC, UUID du système et nom d’hôte avec domaine ; l’adresse IP n’est qu’un indice. Vous tranchez vous-même les cas incertains.
Quels formats sont disponibles pour les systèmes tiers ?
JSON au format d’échange Complass, CSV avec colonnes en anglais, CSV pour CMDB et systèmes de tickets tels que ServiceNow ou GLPI, CycloneDX 1.6 avec VEX et CSAF 2.0 VEX. Une référence des champs est disponible dans le portail.
La capture réseau quitte-t-elle mon ordinateur ?
Non. L’analyse s’effectue dans le navigateur ; seule la liste des appareils et des connexions détectés, que vous vérifiez avant de la reprendre, est transmise au portail.
Complass remplace-t-il un outil de Software Asset Management ?
Non. Le registre « Contrats et licences » gère les licences, contrats, échéances et preuves, et compte combien de licences vous possédez et combien sont utilisées. Il ne remplace pas un bilan de licences selon les règles de licence des éditeurs.
Le registre « Contrats et licences » est-il facturé en supplément ?
Non, il est inclus dans le module Gestion des actifs. Avec la gestion des fournisseurs, vous voyez en outre les contrats auprès du fournisseur concerné.
La gestion des actifs est-elle un module distinct ?
Oui, elle peut être réservée comme module et constitue la base de la gestion des vulnérabilités, des risques et des incidents ainsi que du modèle de zones.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.