Un logiciel de conformité multi-référentiels peut réunir les informations utiles au RGPD, à NIS2, à DORA et à l’AI Act. Son intérêt doit être démontré sur les activités de votre organisation : il ne résulte ni du nombre de logos réglementaires affichés, ni du remplacement de plusieurs abonnements par un seul. Certaines données se réutilisent, tandis que les qualifications, décisions et documents attendus restent propres à chaque régime.
Le choix consiste à comparer une plateforme commune, des outils spécialisés reliés entre eux et l’amélioration de l’existant. Cette page propose une méthode de décision, de chiffrage et de recette. Elle ne présente pas un classement de fournisseurs ni des tarifs de marché non vérifiés. L’objectif est de savoir quelles fonctions acheter, quelles preuves demander et quelle charge restera à vos équipes.
Commencer par les obligations de chaque entité
Établissez une fiche de périmètre par entité juridique et activité. Pour le RGPD, vérifiez le champ matériel et territorial ainsi que les rôles de responsable du traitement et de sous-traitant. Traiter une information concernant une personne de nationalité européenne ne suffit pas, à lui seul, à expliquer l’application territoriale du règlement. Les activités d’un établissement dans l’Union et certaines offres ou activités de suivi concernant des personnes dans l’Union obéissent aux critères de l’article 3.
Pour NIS2, examinez les secteurs, catégories d’entités, règles de taille et exceptions, puis la transposition nationale. Une entreprise petite par ses seuls effectifs peut nécessiter une analyse de ses liens de groupe ou d’une catégorie indépendante de la taille. Une collectivité ne doit pas être déclarée dans le champ sur la seule base d’une présentation commerciale. Au 28 septembre 2026, la transposition française de NIS2 reste en cours : le dossier parlementaire annonce un débat à l’Assemblée le 7 octobre, sans adoption définitive à cette date.
DORA, applicable depuis le 17 janvier 2025, concerne les entités financières de son champ et prévoit un cadre particulier de supervision des prestataires TIC désignés critiques. Fournir un service à une banque ne transforme pas automatiquement le fournisseur en entité financière. Il peut néanmoins devoir satisfaire des exigences contractuelles et fournir des informations à ses clients régulés.
L’articulation entre DORA et NIS2 est déterminante pour l’achat. DORA constitue, pour les entités financières visées par cette articulation, l’acte sectoriel de l’Union au sens de l’article 4 de NIS2. Les exigences correspondantes de gestion des risques, de notification et de supervision ne doivent donc pas être dupliquées mécaniquement. Une plateforme doit permettre de documenter la règle applicable, plutôt que d’attribuer deux obligations identiques parce que deux modules ont été activés.
L’AI Act exige enfin de qualifier les systèmes, leurs usages et les rôles de l’organisation. Développer, commercialiser, importer ou déployer un système ne produit pas le même ensemble d’obligations. Un outil d’IA intégré à un service existant mérite cette qualification ; il ne rend pas automatiquement tous les traitements à haut risque. L’inventaire interne sert à découvrir et analyser les usages, pas à leur attribuer indistinctement le régime le plus exigeant.
Vérifier les versions juridiques proposées dans le logiciel
Une bibliothèque réglementaire doit préciser ses sources, versions et dates d’application. Une modification peut changer un périmètre ou une échéance sans rendre caduques toutes les analyses existantes. Demandez comment le logiciel signale les fiches concernées, qui valide la modification et comment il conserve la décision précédente. Une mise à jour silencieuse peut rendre impossible la reconstitution d’un arbitrage ancien.
L’AI Act fournit un exemple actuel. Le règlement (UE) 2026/1744 a modifié son calendrier : les dispositions concernées sur les systèmes à haut risque de l’article 6, paragraphe 2, et de l’annexe III s’appliquent à partir du 2 décembre 2027 ; celles concernant l’article 6, paragraphe 1, et l’annexe I à partir du 2 août 2028. Cela ne signifie pas que toutes les obligations IA sont reportées. La chronologie de la Commission distingue notamment les obligations de transparence applicables depuis août 2026 et certaines dispositions transitoires spécifiques.
Pour la France, la page MesServicesCyber de l’ANSSI présente le ReCyF comme une version de travail susceptible d’ajustements. Un éditeur peut l’intégrer à une analyse préparatoire, mais doit éviter de le présenter comme une réglementation nationale définitivement publiée. Faites distinguer dans l’outil les textes applicables, les projets et les recommandations. Ces statuts sont essentiels lorsque le comité de direction utilise les résultats pour allouer un budget.
Ce qui peut être partagé entre référentiels
L’identité d’un fournisseur, ses services, certains contacts et des preuves techniques peuvent être réutilisés. Un même rapport sur la sécurité d’un service peut intéresser plusieurs équipes. Le bénéfice apparaît si elles retrouvent la bonne version et savent ce qu’elle couvre. Copier quatre fois le document ne l’améliore pas ; le rattacher sans distinction à quatre obligations ne prouve pas non plus qu’il y répond.
Prenons un groupe comprenant une filiale financière et une société industrielle. Elles achètent des services différents au même fournisseur cloud. La fiche fournisseur peut être commune, mais les contrats, dépendances, pays d’accès et fonctions soutenues ne sont pas nécessairement identiques. Une interruption peut être critique pour un service et tolérable pour un autre. Le modèle doit représenter ces relations au lieu de remplacer toutes les analyses par un statut global du fournisseur.
La qualification RGPD constitue une autre relation distincte. Les obligations du sous-traitant s’attachent aux traitements effectués pour le compte du responsable. Un fournisseur peut exercer un autre rôle pour des opérations propres. L’article 28 prévoit un contrat ou un autre acte juridique contraignant de l’Union ou d’un État membre, par écrit, y compris électroniquement. Dans un achat commercial ordinaire, le contrôle du contrat de sous-traitance demeure un chantier précis, qui ne vaut pas validation de toutes les exigences DORA ou NIS2.
Un bon essai consiste à modifier le pays d’intervention d’un support externe. Vérifiez que le logiciel identifie les traitements, contrats et services potentiellement affectés, puis ouvre les revues utiles. Il doit préserver le contenu et la date des décisions antérieures. Une propagation automatique peut mettre à jour un fait partagé ; elle ne doit pas décider seule de la licéité d’un transfert ou de l’acceptabilité d’un risque.
Ce qui doit rester distinct
Le registre RGPD de l’article 30 décrit des activités de traitement. Le registre d’information DORA décrit des arrangements contractuels relatifs aux services TIC et leurs relations avec les entités, fournisseurs, services et fonctions. Il couvre les arrangements pertinents, pas seulement les fournisseurs déjà désignés critiques. La documentation NIS2 décrit notamment la gestion des risques et les mesures ; elle ne correspond pas à un registre universel ayant le même schéma que le RGPD.
L’AI Act ne crée pas non plus un registre interne uniforme obligatoire pour tout utilisateur de toute IA. Selon le rôle et le système, des obligations spécifiques de documentation, de journalisation ou d’enregistrement peuvent s’appliquer. Le guide des logiciels de registre IA aide à distinguer l’inventaire de travail des sorties réellement attendues. La gestion conjointe du RGPD et de l’AI Act nécessite également de garder les analyses propres aux deux textes.
Les risques ne sont pas interchangeables. Une AIPD RGPD s’intéresse à la nécessité, à la proportionnalité et aux risques pour les personnes. Une analyse de résilience financière examine les risques TIC et leurs effets sur les activités. Un score unique peut faciliter une présentation, mais il ne remplace pas les questions spécifiques ni leurs critères. Une organisation doit pouvoir comprendre pourquoi un risque commercial faible peut néanmoins justifier une action importante pour les droits des personnes.
Même la gouvernance demande des distinctions. Le délégué à la protection des données n’est pas automatiquement requis dans toute entreprise, ni responsable de décider de chaque traitement à la place de l’organisation. Les fonctions de direction et de contrôle prévues par les autres textes répondent à leurs propres conditions. Faites attribuer les tâches à des rôles précis avec des suppléants, plutôt qu’à un utilisateur générique « responsable conformité » qui approuverait tout.
Une collecte d’incident commune, plusieurs décisions
Un signalement initial peut rassembler les faits, systèmes touchés et éléments de chronologie pour plusieurs équipes. La qualification vient ensuite : une panne n’est pas nécessairement une violation de données personnelles, ni un incident significatif NIS2 ou majeur au titre de DORA. Le logiciel doit conserver les faits disponibles, les incertitudes et les raisons d’une décision de non-notification. Une nouvelle information peut imposer de réexaminer cette décision.
Pour le RGPD, l’article 33 exige de notifier l’autorité sans retard excessif et, si possible, dans les 72 heures après connaissance d’une violation, sauf si celle-ci est peu susceptible d’engendrer un risque pour les droits et libertés. Il faut motiver un retard ; les informations peuvent être complétées progressivement sans nouveau retard excessif. Toutes les violations de données sont documentées, notifiées ou non. L’information des personnes prévue par l’article 34 dépend notamment du risque élevé et constitue une décision distincte.
NIS2 et DORA ont leurs propres seuils, étapes, destinataires et points de départ. Une plateforme ne démontre pas leur prise en charge en ajoutant simplement une alerte de 72 heures. Pour NIS2, demandez notamment la gestion de l’exception relative aux incidents significatifs affectant la fourniture de services de confiance et celle d’un incident encore en cours à l’étape du rapport final. Pour DORA, le règlement délégué (UE) 2025/301 distingue connaissance et classification et prévoit plusieurs branches de reporting.
Organisez une démonstration où la qualification change après la première analyse. Le système doit recalculer ce qui doit l’être, conserver la chronologie antérieure et identifier les validations manquantes. L’envoi d’un formulaire ne suffit pas : vérifiez aussi l’accusé de réception, les compléments transmis et le fonctionnement de secours lorsque l’outil est indisponible.
Plateforme unique ou outils spécialisés : construire la comparaison
Une plateforme peut réduire la ressaisie lorsque les équipes utilisent réellement les mêmes faits et documents. Elle peut aussi faciliter la consultation d’un historique commun. Cependant, une interface unique ne garantit ni une bonne séparation des accès, ni des exports réglementaires corrects, ni un coût réduit. La profondeur d’une fonction doit être évaluée sur le livrable attendu, pas sur son nom dans une démonstration.
Des outils spécialisés peuvent rester pertinents lorsqu’ils répondent bien à des besoins distincts, disposent de connecteurs maîtrisés ou produisent des formats difficiles à reproduire ailleurs. Cette approche n’est pas réservée aux grandes banques. Elle peut convenir à une petite structure ayant une exigence sectorielle précise et un registre RGPD simple. À l’inverse, une organisation modeste mais très dispersée peut tirer parti de tâches et de responsabilités réunies dans un même outil.
L’amélioration de l’existant constitue une troisième option. Un problème de doublons peut venir d’identifiants incohérents ou de responsabilités mal définies. Acheter un logiciel ne résoudra pas automatiquement ces causes. Avant le choix, désignez la source faisant autorité pour chaque information et le service chargé de corriger les divergences. Cette décision de fonctionnement reste nécessaire quelle que soit l’architecture retenue.
Pour examiner la profondeur, utilisez les critères du guide des logiciels RGPD, du logiciel de conformité NIS2 et du logiciel de conformité DORA. Les liens servent à préparer des questions propres à chaque chantier ; ils ne constituent pas une certification de la couverture d’une offre commerciale particulière.
Pour le risque lié aux tiers, la matrice d’achat d’un logiciel TPRM teste dépendances, preuves, exceptions, incidents et sortie au-delà d’un module de questionnaires.
Chiffrer le coût complet sur un périmètre identique
La feuille de calcul du coût total d’un outil de conformité détaille licence, intégrations, migration, revue humaine et sortie, puis teste la sensibilité du résultat à une hypothèse de temps.
Demandez aux fournisseurs de chiffrer le même nombre d’entités, d’utilisateurs, de contributeurs externes, de dossiers et de connecteurs. Identifiez les limites de volume et ce qui déclenche un supplément. Une licence générale peut exclure un module, un export ou une API indispensable. Le prix pertinent est celui de l’offre permettant d’obtenir les résultats spécifiés.
Ajoutez les coûts de reprise, nettoyage, paramétrage, formation et exploitation. Une importation automatique ne supprime pas le besoin de réconcilier les fournisseurs ni de valider les qualifications juridiques. Estimez séparément le temps passé à entretenir les connexions et celui consacré aux revues qui resteraient nécessaires avec n’importe quel logiciel. Le coût complet d’un logiciel de conformité fournit un cadre pour organiser ces postes.
Pour comparer les scénarios, utilisez vos propres volumes. Si plusieurs équipes demandent aujourd’hui le même justificatif à un fournisseur, mesurez le temps effectivement évitable. Déduisez ensuite l’effort nécessaire pour gérer une source commune, ses droits d’accès et ses versions. Ne comptez pas comme économie une validation qui doit toujours être effectuée par chaque entité. Ce calcul rend le gain discutable et vérifiable au lieu de le déduire du seul nombre d’abonnements.
Incluez la sortie : export, assistance, récupération des pièces, reconstruction des relations et vérification des données rendues. Une plateforme centrale peut réduire certaines opérations tout en augmentant la dépendance à son format. Le contrat doit permettre de connaître les conditions pratiques et financières de la migration, avant que plusieurs processus critiques reposent sur le fournisseur.
Organiser une recette avant d’élargir le déploiement
Une recette doit aussi vérifier la reprise des données lors d’une migration GRC : identifiants de risques, liens vers les contrôles, historiques de preuve et rapprochement après import.
Choisissez un cas représentatif avec des données fictives mais des relations réalistes : une entité, deux services d’un fournisseur, une preuve à portée limitée et une décision comportant une réserve. Produisez les sorties attendues pour chaque régime applicable. Une exportation lisible doit conserver l’entité, la période, la source, le responsable de la décision et les limites de la preuve. Un document sans ces éléments peut sembler complet tout en étant inutilisable pour une vérification.
Le cahier des charges GRC centré sur les preuves propose de tester ce type de changement de périmètre. Complétez-le par un essai de droits d’accès : un contributeur externe ne doit pas voir les autres dossiers par simple appartenance à un projet commun. Examinez les droits d’administration et d’export, qui peuvent contourner des restrictions visibles dans les écrans ordinaires.
Le déploiement commence par les obligations urgentes et les données disponibles. Il n’existe pas d’ordre universel imposant de terminer tout le RGPD avant DORA ou NIS2. Une entreprise peut d’abord fiabiliser son registre d’information DORA, puis relier ses fournisseurs aux activités RGPD. Attribuez à chaque étape un résultat vérifiable et une personne capable de l’accepter. L’élargissement devient alors une décision fondée sur la qualité du premier périmètre.
La recette d’une plateforme d’audit vérifie, sur une preuve contestée, si les décisions et versions demeurent compréhensibles après changement et export.
FAQ
Un seul logiciel peut-il couvrir plusieurs réglementations ?
Oui, s’il produit les fonctions et documents nécessaires au périmètre de l’organisation. La couverture doit être démontrée dans l’offre contractée. Des informations communes peuvent être réutilisées tout en conservant les décisions propres à chaque texte.
Est-il nécessairement moins cher que plusieurs outils ?
Non. Le coût dépend des licences, de la reprise, des intégrations, du fonctionnement et de la sortie. Comparez les mêmes résultats attendus et mesurez les tâches réellement supprimées. Une économie annoncée sans périmètre comparable ne permet pas de décider.
Une preuve partagée valide-t-elle plusieurs obligations ?
Elle peut les soutenir, mais chacune demande une analyse de sa pertinence. Vérifiez le service, l’entité, la période et les limites couvertes. Partager le document évite de le rechercher plusieurs fois ; cela ne dispense pas de vérifier ce qu’il démontre.