entreprise fictive donnée en exemple

Complass chez Kellenbach : une visite en sept chapitres

Kellenbach Maschinenbau est fictif ; les images montrent le véritable portail avec les données d’exemple de l’entreprise. À chaque étape, vous voyez comment cela se passe souvent aujourd’hui et ce que Complass change. Parcourez les chapitres à votre rythme ; chacun peut être lancé séparément.

Entreprise familiale, 380 salariés, deux sites à Hagen et à Iserlohn
Entité importante au sens de NIS2
Fabricant au sens du CRA et du règlement sur les machines, avec sa propre passerelle KB Connect

Démarrer la visite

Chapitre

Vue d’ensemble Tous les référentiels dans un seul portail 3 étapes Point de départ recommandé
De l’écart à la mesure Analyse des écarts, applicabilité, mesures 4 étapes
Incident avec délai de notification Un incident NIS2 en cours 2 étapes
Produit propre (CRA) KB Connect Gateway et KB Insight 5 étapes
Site de Hagen (OT) Zones, conduits et niveaux de sécurité 2 étapes
Risques Évaluer, traiter, rendre compte 3 étapes
Audit et accès Preuves et droits d’accès 2 étapes

Chapitre 1

Vue d’ensemble: Tous les référentiels dans un seul portail

Dashboard de Kellenbach avec avancement global, prochain audit, tâches ouvertes, niveau de maturité et délais de notification en cours

Vue d’ensemble · 1 sur 3

L’état de Kellenbach sur une seule page

Souvent aujourd’hui: Pour savoir où en est l’entreprise, il faut rassembler des chiffres issus de tableaux, d’e-mails et de dossiers de projet.
Avec Complass: Le dashboard affiche l’avancement global, le prochain audit, les tâches ouvertes et le niveau de maturité de tous les projets. En dessous figurent les délais de notification de l’incident en cours, et chaque vignette mène directement à la liste correspondante.

20 Référentiels dans le portail

Avancement global de tous les projets
Délais de notification en cours

Vue d’ensemble des référentiels : mesures transversales et projets dans lesquels elles comptent

Vue d’ensemble · 2 sur 3

Mettre en œuvre une fois, prouver pour chaque référentiel

Souvent aujourd’hui: ISO 27001, NIS2 et CRA exigent beaucoup de choses en double, et chaque exigence est tenue dans sa propre liste.
Avec Complass: La vue d’ensemble des référentiels associe à chaque mesure transversale les projets dans lesquels elle compte. Ce qui est mis en œuvre et prouvé une fois vaut pour chaque référentiel qui l’exige.

Mesures transversales
Effet par projet

Projet ISO 27001 pour les sites de Hagen et d’Iserlohn, avec avancement, prochaine étape et phases

Vue d’ensemble · 3 sur 3

Un projet par référentiel, étape par étape jusqu’à l’audit

Souvent aujourd’hui: Le plan de projet est entre les mains d’une seule personne, et elle seule sait ce qui vient ensuite.
Avec Complass: Le projet ISO 27001 pour les deux sites montre l’avancement de chaque phase et la prochaine étape ouverte, avec un clic pour poursuivre le travail. L’audit préalable et l’audit de certification figurent comme échéances dans le projet.

Votre prochaine étape
Phases jusqu’à l’audit

Chapitre 2

De l’écart à la mesure: Analyse des écarts, applicabilité, mesures

Analyse des écarts avec échelle de maturité et évaluation par domaine

De l’écart à la mesure · 1 sur 4

Où en est Kellenbach aujourd’hui ?

Souvent aujourd’hui: L’analyse des écarts est le résultat d’un atelier que plus personne ne met à jour au bout de quelques mois.
Avec Complass: Chaque mesure transversale est évaluée de « inexistante » à « efficace et vérifiée », avec objectif et justification. Complass montre où se trouvent les écarts les plus importants et, si vous le souhaitez, les reporte directement dans le plan de mesures.

Échelle de maturité
Évaluation par domaine

Déclaration d’applicabilité selon l’annexe A de l’ISO 27001, avec état d’évaluation et export

De l’écart à la mesure · 2 sur 4

La déclaration d’applicabilité comme document maîtrisé

Souvent aujourd’hui: La déclaration d’applicabilité est un fichier Excel dont plus personne ne sait, lors de l’audit suivant, à quoi se rapportent les justifications.
Avec Complass: Pour chaque mesure de l’annexe A, le catalogue indique si elle est applicable, pourquoi, où en est sa mise en œuvre et où se trouve la preuve. Après vérification, la déclaration est validée en tant que version et exportée en Word, Excel ou PDF.

État d’évaluation du catalogue
Export en Word, Excel, PDF

Plan de mesures avec filtres, responsables, échéances et priorités

De l’écart à la mesure · 3 sur 4

Chaque écart devient une tâche avec un nom et une date

Souvent aujourd’hui: Les tâches issues de l’audit et de l’analyse des écarts se dispersent entre e-mails, notes de réunion et tickets.
Avec Complass: Le plan de mesures rassemble toutes les tâches avec responsable, échéance, priorité et le référentiel qui les exige. Les responsables reçoivent un e-mail lors de l’attribution et un rappel avant l’échéance ; ce qui est en retard se remarque immédiatement.

Tâches avec responsable et échéance
Filtres par référentiel, priorité et personne

Commentaires avec mentions et question traitée sur une tâche

De l’écart à la mesure · 4 sur 4

Les questions là où se fait le travail

Souvent aujourd’hui: La concertation sur une mesure se déroule par e-mail et reste introuvable lors de l’audit suivant.
Avec Complass: Les commentaires avec mentions figurent directement sur la tâche, et une question peut être marquée comme traitée. Lors de l’audit, on peut ainsi retracer qui a vérifié et décidé quoi.

Commentaires sur la tâche

Chapitre 3

Incident avec délai de notification: Un incident NIS2 en cours

Liste des incidents avec l’incident de rançongiciel en cours et son prochain délai de notification

Incident avec délai de notification · 1 sur 2

Rançongiciel sur les serveurs de fichiers de l’administration

Souvent aujourd’hui: En cas d’urgence, l’équipe commence par déterminer s’il faut notifier, à qui et avant quand.
Avec Complass: L’incident en cours est enregistré, évalué comme soumis à notification selon NIS2 et affiche le prochain délai avec le temps restant. Les incidents clos, dont un cas CRA sur la passerelle propre à l’entreprise, restent traçables avec toutes leurs notifications.

3 Incidents dans l’exemple

Incident ouvert avec prochain délai
Délais en vue

Étapes de notification de l’incident NIS2 avec délais, alerte précoce transmise et notification ouverte

Incident avec délai de notification · 2 sur 2

Les étapes de notification selon NIS2 et leurs délais

Souvent aujourd’hui: Quelqu’un recalcule les délais à la main sous la pression du temps, et ce qui a été transmis figure dans un e-mail.
Avec Complass: Complass calcule les délais à partir de la prise de connaissance : alerte précoce, notification d’incident, rapport final. Les étapes transmises figurent avec l’horodatage et le numéro de dossier ; la notification elle-même passe, comme prescrit, par le portail de l’autorité compétente.

Prochain délai
Étapes de notification selon NIS2

Chapitre 4

Produit propre (CRA): KB Connect Gateway et KB Insight

Liste des vulnérabilités avec CVSS, KEV, priorité, échéance et responsables

Produit propre (CRA) · 1 sur 5

Les vulnérabilités par urgence plutôt que par ordre d’arrivée

Souvent aujourd’hui: Les rapports de scanners arrivent en PDF, et c’est l’intuition qui décide du constat à corriger en premier.
Avec Complass: Tous les constats figurent dans une liste avec CVSS, indicateur des vulnérabilités activement exploitées (KEV), priorité, délai et responsables. En haut figure ce qui est exploité et accessible.

Constats par priorité

Constat sur le portail clients KB Insight avec CVSS, KEV, décision SSVC et asset concerné

Produit propre (CRA) · 2 sur 5

Un constat avec tout ce qu’il faut pour décider

Souvent aujourd’hui: Le numéro CVE, l’évaluation et le système concerné figurent dans trois outils différents.
Avec Complass: Le constat sur le portail clients propre à l’entreprise, KB Insight, affiche l’évaluation, l’entrée KEV et la décision SSVC à côté de l’asset concerné et de son accessibilité depuis Internet. Cela justifie qu’il soit traité immédiatement.

Évaluation de la vulnérabilité
Asset concerné

Mesures recommandées pour un constat, avec source et « Reprendre comme mesure »

Produit propre (CRA) · 3 sur 5

Du constat à la mesure

Souvent aujourd’hui: Ce qu’il faut faire est dispersé entre avis de fabricants, bases de données et forums.
Avec Complass: Pour chaque constat, les mesures recommandées sont disponibles avec leur source : mise à jour du fabricant, consigne de la CISA, mesure générale pour ce type de vulnérabilité. Un clic suffit pour en faire une tâche avec échéance.

Actions recommandées avec source

SBOM du micrologiciel KB Connect avec composants, licences et vulnérabilités ouvertes

Produit propre (CRA) · 4 sur 5

La SBOM de la passerelle KB Connect

Souvent aujourd’hui: Quels composants se trouvent dans le micrologiciel, le développement le sait ; la gestion de produit et le support l’ignorent.
Avec Complass: La SBOM présente le micrologiciel avec son chargeur d’amorçage, son noyau et ses bibliothèques, leurs licences et les vulnérabilités ouvertes. Elle est importée depuis CycloneDX, comparée en continu aux nouvelles vulnérabilités et exportée au format standard.

Composants du micrologiciel
Export au format standard

Avis de sécurité d’un fabricant fictif avec les assets propres à l’entreprise concernés

Produit propre (CRA) · 5 sur 5

Associer les avis des fabricants à ses propres appareils

Souvent aujourd’hui: Les avis de sécurité des fournisseurs arrivent par e-mail, et quelqu’un vérifie à la main si les appareils de l’entreprise sont concernés.
Avec Complass: Les avis au format CSAF sont importés et associés aux assets de l’entreprise via le modèle et la version. La liste montre immédiatement quel appareil est concerné et lequel est encore à l’étude.

Vos assets concernés
Exporter

Chapitre 5

Site de Hagen (OT): Zones, conduits et niveaux de sécurité

Zones et conduits du site de Hagen avec indicateurs et plan réseau selon les niveaux de Purdue

Site de Hagen (OT) · 1 sur 2

Zones et conduits : cible et état réel

Souvent aujourd’hui: Le modèle de zones est un dessin issu du dernier projet, qui n’est plus exact après la prochaine transformation.
Avec Complass: Le site de Hagen est divisé en zones et conduits selon l’IEC 62443. Complass montre les écarts entre le niveau de sécurité cible et le niveau atteint, ainsi que le trafic observé sans conduit validé, y compris dans le plan réseau selon les niveaux de Purdue.

Zones, conduits et écarts de SL
Plan réseau selon les niveaux de Purdue

Inventaire des assets avec zone, responsable et besoin de protection

Site de Hagen (OT) · 2 sur 2

Un seul inventaire pour l’IT et l’OT

Souvent aujourd’hui: L’IT gère les serveurs, tandis que chaque site tient les machines et les automates dans sa propre liste.
Avec Complass: Serveurs, postes de travail, automates et pupitres opérateur figurent dans un seul inventaire avec zone, besoin de protection et responsable. Reste ouvert et visible : les assets du site d’Iserlohn n’ont pas encore de zone, le projet OT correspondant suivra en 2027.

38 assets recensés

Inventaire avec zone et besoin de protection

Chapitre 6

Risques: Évaluer, traiter, rendre compte

Registre des risques avec évaluation et traitement

Risques · 1 sur 3

Un registre des risques pour toute l’entreprise

Souvent aujourd’hui: Les risques figurent dans une liste remise à jour une fois par an pour l’audit.
Avec Complass: Chaque risque a une évaluation, un traitement, un propriétaire du risque et la date de la prochaine revue, et il est lié à des assets, des vulnérabilités et des mesures. Registre, carte thermique et méthode se trouvent sur une même page.

12 risques évalués

Registre des risques
Registre, carte thermique et méthode

Carte thermique avec risque inhérent et risque résiduel côte à côte

Risques · 2 sur 3

Avant et après en un coup d’œil

Souvent aujourd’hui: Pour la direction, la carte thermique est reconstruite chaque trimestre dans une présentation.
Avec Complass: La carte thermique est générée à partir du registre : à gauche le risque inhérent, à droite le risque résiduel après les mesures mises en œuvre. Un clic sur un chiffre ouvre les risques correspondants.

Risque inhérent et risque résiduel

Évaluation d’un risque avec proposition non contraignante et ses motifs

Risques · 3 sur 3

Une proposition d’évaluation, la décision reste en interne

Souvent aujourd’hui: Chaque évaluation repart de zéro, et chaque service évalue selon sa propre échelle.
Avec Complass: Complass déduit une proposition du besoin de protection et de l’exposition des assets liés ainsi que des vulnérabilités ouvertes, et en indique les motifs. La proposition n’est pas contraignante ; ce sont les spécialistes de l’entreprise qui la reprennent ou l’ajustent.

Proposition motivée

Chapitre 7

Audit et accès: Preuves et droits d’accès

Export d’audit avec le périmètre de l’offre

Audit et accès · 1 sur 2

Le dossier d’audit sur demande

Souvent aujourd’hui: Avant l’audit, quelqu’un passe des jours à rassembler documents, listes et preuves depuis des dossiers.
Avec Complass: L’export d’audit réunit documents, catalogues, registres, preuves et journaux dans un fichier ZIP, avec page d’accueil et liste des sommes de contrôle. Il ne contient que ce que la personne qui le demande est autorisée à lire ; chaque export est consigné dans le journal du client.

Périmètre de l’export

Droits par personne et par domaine avec filtre

Audit et accès · 2 sur 2

Qui a le droit de faire quoi, avec justificatif pour l’audit

Souvent aujourd’hui: Qui peut accéder à quoi est dispersé entre systèmes et e-mails, et l’aperçu destiné à l’audit est refait à chaque fois.
Avec Complass: Pour chaque personne et chaque domaine, il est établi : aucun accès, lecture ou écriture, ainsi que des droits spéciaux comme exporter ou valider. L’aperçu peut être filtré et exporté comme preuve.

Qui peut faire quoi ?
Droits par domaine

Votre prochaine étape: Voir Complass avec votre exemple

Lors de la démonstration, nous présentons Complass sur un projet d’exemple adapté à vos référentiels. Ou vérifiez d’abord quels référentiels s’appliquent à vous.

Demander une démo Vérifier l’applicabilité Tarifs