Logiciel de conformité : 6 plateformes GRC (3 françaises)

NIS2, ISO 27001, SOC 2, RGPD : une PME qui vend à des grands comptes doit souvent prouver sa conformité à plusieurs référentiels à la fois. Un tableur tient jusqu'au premier questionnaire de sécurité d'un client, rarement jusqu'à l'audit. Un logiciel de conformité, qu'on appelle aussi plateforme GRC (gouvernance, risques et conformité), centralise les exigences, les preuves et le plan d'actions au même endroit.

Nous avons comparé six plateformes, dont trois éditées en France. Les tarifs ont été relevés le 26 octobre 2026 sur les sites officiels des éditeurs.

À quoi sert un logiciel de conformité

Le principe reste le même d'un outil à l'autre. Vous choisissez un ou plusieurs référentiels, le logiciel les découpe en exigences, puis vous rattachez à chaque exigence une mesure de sécurité, un responsable et une preuve (politique signée, capture de configuration, compte rendu de test). L'outil calcule ensuite votre taux de conformité et liste les écarts à traiter.

L'intérêt principal tient au mapping entre référentiels. Une politique de gestion des accès couvre à la fois une exigence ISO 27001, une mesure NIS2 et un critère SOC 2. Documentée une seule fois, elle compte pour les trois. Les plateformes génèrent aussi les livrables attendus par un auditeur : déclaration d'applicabilité (SoA), analyse de risques, plan de traitement.

Quel référentiel vous concerne vraiment

Avant de choisir un outil, identifiez les cadres qui s'appliquent à votre entreprise. C'est ce critère qui élimine le plus vite certaines plateformes.

1. RGPD : obligatoire dès que vous traitez des données personnelles, avec au minimum un registre des traitements.
2. NIS2 : directive européenne qui étend les obligations de cybersécurité à des entreprises de taille moyenne dans 18 secteurs. L'ANSSI propose le service MonEspaceNIS2 pour vérifier si vous êtes concerné.
3. ISO 27001 : certification volontaire, mais souvent exigée dans les appels d'offres et par les clients grands comptes.
4. SOC 2 : référentiel américain, demandé dès que vous vendez à des entreprises aux États-Unis.
5. DORA : règlement européen applicable aux acteurs financiers et à leurs prestataires informatiques depuis janvier 2025.

CISO Assistant, le GRC open source français

CISO Assistant est édité par intuitem, une société installée à Vélizy-Villacoublay. Le logiciel est open source (licence AGPLv3) et son dépôt GitHub dépasse 4 500 étoiles. Son catalogue est le plus large du comparatif : plus de 150 référentiels listés, dont ISO 27001, NIS2, DORA, SOC 2, RGPD et l'AI Act. Le moteur de mapping relie automatiquement une mesure à toutes les exigences qu'elle couvre.

L'édition Community est gratuite, avec utilisateurs illimités, à installer sur votre propre serveur. L'offre Pro SaaS coûte 39 euros HT par contributeur et par mois en facturation annuelle, et une version Pro sur site est proposée à 2 400 euros HT par an pour 1 à 5 sièges. Une option d'hébergement qualifié SecNumCloud existe pour les organisations les plus exigeantes. C'est le choix logique si vous avez quelqu'un capable de l'installer, ou si la souveraineté de l'hébergement compte dans vos achats.

CompliKey, le plus abordable pour une PME

CompliKey est un SaaS français hébergé chez OVH, pensé pour les RSSI de PME et d'ETI et pour les consultants qui accompagnent plusieurs clients. Il couvre l'audit interne, la SoA, le plan de traitement des risques et fournit des modèles de documents. Sa grille tarifaire est publique, ce qui reste rare dans ce secteur.

Une offre gratuite donne accès au socle essentiel de cybersécurité (1 périmètre, 20 mesures). Starter coûte 59 euros HT par mois (RGPD, guide ANSSI, AI Act, CIS 18), Business 199 euros HT par mois (ajoute NIS2, SOC 2 et DORA) et Advanced 349 euros HT par mois (ajoute ISO 27001, HDS et SecNumCloud). L'engagement annuel offre deux mois. Point d'attention : ISO 27001 n'est disponible que dans l'offre la plus haute.

Leto, pour piloter le RGPD et l'AI Act

Leto est une legaltech française spécialisée dans la protection des données. La plateforme tient le registre des traitements, audite les sous-traitants avec un agent IA, propose des modules de sensibilisation des équipes et couvre désormais l'AI Act et NIS2. Les données sont hébergées en France.

Leto se distingue des autres outils par son point d'entrée : le RGPD plutôt que la sécurité informatique. Il convient aux PME qui n'ont pas de DPO à temps plein et veulent un cadre guidé. L'éditeur précise que l'outil ne remplace pas un DPO et oriente vers des partenaires certifiés si besoin. Aucun prix n'est affiché : il faut demander une démonstration.

Vanta, la référence pour viser le marché américain

Vanta est une plateforme américaine connue pour automatiser l'obtention de SOC 2 et d'ISO 27001. Elle se connecte à vos outils (cloud, gestion des identités, ticketing) et collecte les preuves en continu. Son catalogue couvre aussi le RGPD, HIPAA, ISO 42001 pour l'IA et le cadre de gestion des risques IA du NIST.

Quatre offres existent (Essentials, Plus, Professional et Enterprise), toutes sur devis. NIS2 et DORA n'apparaissent pas sur sa page de tarifs. Vanta se justifie surtout si vos prospects sont aux États-Unis et réclament un rapport SOC 2.

Drata, l'automatisation des preuves d'audit

Drata, autre éditeur américain, suit le même modèle que Vanta : connexion aux outils techniques, surveillance continue des contrôles et préparation de l'audit. Il propose aussi un Trust Center pour partager vos preuves de sécurité avec vos clients et un module de gestion des risques fournisseurs.

L'offre Foundation vise les structures jusqu'à 50 salariés avec un seul référentiel préconfiguré parmi SOC 2, ISO 27001, Cyber Essentials, HIPAA et RGPD. Advanced et Enterprise ouvrent l'ensemble du catalogue, DORA compris. Comme chez Vanta, les prix sont communiqués après une démonstration.

OneTrust, la suite des grands groupes

OneTrust, éditeur américain basé à Atlanta, couvre un périmètre plus large que les autres : gestion du consentement, automatisation de la confidentialité, gouvernance de l'IA, risques technologiques et gestion des tiers. C'est une suite modulaire pensée pour les grandes organisations, avec des équipes juridiques et sécurité dédiées. Aucun prix public. Pour une PME, c'est souvent trop lourd.

Comparatif des 6 logiciels de conformité

Quelle plateforme choisir selon votre entreprise

Petite structure sans budget dédié : commencez par l'offre gratuite de CompliKey pour un premier état des lieux, ou par CISO Assistant Community si vous savez héberger un logiciel.

PME concernée par NIS2 ou visant ISO 27001 : CompliKey (offres Business ou Advanced) et CISO Assistant Pro couvrent les deux, avec un hébergement en France et des prix connus d'avance.

Entreprise dont l'enjeu principal est le RGPD : Leto offre l'approche la plus guidée, avec le registre des traitements et l'audit des sous-traitants.

Startup qui vend aux États-Unis : Vanta ou Drata, pour leur automatisation SOC 2 et leurs nombreuses intégrations cloud.

Grand groupe multi-pays : OneTrust, ou CISO Assistant en offre sur mesure si vous privilégiez un outil souverain.

Questions fréquentes

Pour aller plus loin