Fonctionnalités inclus à partir de Business: Gestion des risques, comparer les offres
Gestion des risques
Identifiez, appréciez et traitez les risques avec la méthode adaptée à votre entreprise, en lien avec les actifs, les vulnérabilités et les mesures.
Presque tous les référentiels exigent une approche fondée sur les risques, et l’appréciation doit correspondre aux actifs, aux vulnérabilités et aux mesures que vous documentez déjà.
Comment Complass vous aide
Registre des risques avec contexte
Risques liés aux actifs, zones et sites, couplés aux vulnérabilités, aux incidents et à la déclaration d’applicabilité.
La méthode de votre choix
Matrice de 3 × 3 à 5 × 5 avec modèles selon l’ISO/IEC 27005, l’IEC 62443-3-2 et la norme BSI 200-3. Qualitatif, quantitatif sous forme d’espérance de perte annuelle en euros avec fourchettes (P50/P90), ou combiné.
Appétence au risque et acceptation
Appétence au risque et critères d’acceptation librement définissables, avec niveaux de validation. À partir de la classe que vous fixez, et toujours au-dessus de l’appétence au risque, une seconde personne doit donner son accord (principe des quatre yeux).
Traitement avec analyse coûts-bénéfices
Mesures et tâches par risque, risque résiduel avec les mesures mises en œuvre, risque cible après toutes les mesures prévues avec approbation par le propriétaire du risque, et analyse coûts-bénéfices (ROSI). Plan de traitement des risques et rapport d’évaluation des risques en PDF.
Matrice thermique et évaluation des risques par zone
Heatmap du risque inhérent, du risque résiduel et du risque cible, évaluation des risques par zone selon IEC 62443-3-2. Les techniques d’attaque selon MITRE ATT&CK peuvent être saisies.
Bases juridiques et normatives
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Ouvrir l’original (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArticle 21 Directive SRI 2 Mesures de gestion des risques en matière de cybersécurité1. Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences …Ouvrir l’original (EUR-Lex) ↗
- Art. 13 CRAArticle 13 Règlement sur la cyberrésilience Obligations incombant aux fabricants1. Lorsqu’ils mettent sur le marché un produit comportant des éléments numériques, les fabricants s’assurent que ce produit a été conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I. 2. Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité associés à un produit comportant des éléments numériques et …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK comme référentiel et image de la menace
MITRE ATT&CK décrit la manière dont les attaquants opèrent réellement. Complass relie cette base de connaissances publique à vos mesures, vulnérabilités et incidents – configurable par entreprise, pour l’IT, l’OT ou les deux.
Matrice thermique tactique × technique
Enterprise pour l’IT, ICS pour les automates et les installations : quelles techniques d’attaque vos mesures couvrent-elles, où sont les écarts ? Filtres par plateforme et par type d’actif, comme automate, IHM ou poste d’ingénierie.
Mesures d’atténuation comme exigences
Statut, justification, preuves et tâches par mesure d’atténuation, préremplis à partir de votre mise en œuvre de l’ISO 27001 Annexe A et de l’IEC 62443-3-3.
Vulnérabilités, incidents, risques
Techniques rendues possibles par des vulnérabilités ouvertes, techniques observées lors d’incidents et scénarios de risque créés directement à partir d’une technique.
© The MITRE Corporation. ATT&CK® est une marque déposée de The MITRE Corporation.
Questions fréquentes
Qualitatif ou quantitatif : que choisir ?
Les deux sont admissibles. De nombreuses entreprises commencent par une matrice et évaluent en plus les risques importants en euros. Complass prend en charge les deux approches et leur combinaison.
Pouvons-nous conserver notre méthode actuelle ?
Oui, vous définissez vous-même la taille de la matrice, les niveaux, l’appétence au risque et les critères d’acceptation, ou vous partez d’un modèle.
Quel est le lien entre la gestion des risques et les référentiels ?
Les traitements de risques renvoient à des mesures et à des exigences, par exemple dans la déclaration d’applicabilité. On peut ainsi retracer pourquoi une mesure est mise en œuvre.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.