NIS2 · ANSSI
NIS2 en France : 13 outils comparés.
Chaque chiffre de ce tableau figure sur le site de l'éditeur concerné, avec sa source et sa date. Quand un éditeur ne publie rien, nous écrivons « non publié ». Nous n'estimons pas.
Relevé du 19 août 2026 · Sources : les sites des éditeurs eux-mêmes · Matproof figure au tableau selon les mêmes règles
En bref
En France, NIS 2 n'est pas encore la loi. Le critère qui tranche les appels d'offres, c'est la souveraineté. Au 19 août 2026, le texte de transposition est toujours un projet de loi. L'ANSSI publie depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), non obligatoire par défaut, comme socle de préparation. Sur le terrain souverain, un seul éditeur du tableau est inscrit sur la liste ANSSI des logiciels labellisés EBIOS Risk Manager : Egerie, qui tourne à 100 % sur OVHcloud mais ne publie aucun tarif. Galea Cyber affiche 1 000 et 2 500 EUR HT par mois et héberge en France, sans label ANSSI. Witik héberge en France et démarre à 240 EUR HT par mois, mais sur le module RGPD. CYBERACT facture par filiale et offre 30 jours d'essai, sans tarif public. Matproof est le moins souverain du lot sur ce critère : hébergement allemand, aucun label français. En échange, prix affiché et NIS2, DORA et règlement IA dans le même produit.
Comparatif
Le tableau.
Classement alphabétique, ce n'est pas un palmarès. La recommandation par situation se trouve plus bas. Faites défiler vers la droite.
Toutes les valeurs relevées le 19 août 2026 sur les pages publiques des éditeurs. « Non publié » signifie que l'éditeur n'affiche pas cette valeur sur son site. Cela ne veut pas dire que la fonction n'existe pas. Les tarifs changent. Consultez la source liée avant toute décision. Matproof édite cette page et figure dans le même tableau selon les mêmes règles.
Recommandation
Lequel choisir ?
Cinq situations. Dans quatre d'entre elles, le bon choix n'est pas Matproof. Nous l'écrivons parce que c'est ce que disent les sources.
Analyse de risques EBIOS RM exigée
Egerie
Egerie est le seul éditeur de ce tableau inscrit sur la liste ANSSI des logiciels labellisés EBIOS Risk Manager, et nous l'avons vérifié sur cyber.gouv.fr, pas sur son site. Il tourne exclusivement sur OVHcloud et couvre les référentiels français que personne d'autre ici ne couvre : LPM, RGS, IGI 1300, HDS. Deux réserves : aucun tarif publié, aucun essai gratuit. Et attention au vocabulaire, y compris chez Egerie : c'est un label EBIOS RM, pas une qualification ANSSI.
PME ou ETI, budget prévisible
Galea Cyber
Le seul du tableau à afficher un prix mensuel clair pour une plateforme GRC complète : 1 000 EUR HT et 2 500 EUR HT par mois, options publiées à l'unité, 14 jours d'essai sans carte. Hébergement France chez OVHcloud, moteur d'IA Mistral. La réserve est nette : Galea se dit « conforme aux référentiels ANSSI » mais ne figure pas sur la liste officielle des logiciels labellisés EBIOS RM. Si votre acheteur demande le label, ce n'est pas le bon choix.
RGPD et Sapin II d'abord, NIS2 ensuite
Witik
Witik est construit autour du RGPD, de Sapin II et de la gestion des tiers, avec un module gratuit et une offre Premium à partir de 240 EUR HT par mois. Les données sont hébergées en France et aucune donnée ne sort de l'Union européenne. Deux réserves honnêtes : il n'existe pas de page produit NIS2 dédiée, et l'infrastructure est certifiée ISO 27001 et HDS, ce qui n'est pas la même chose que Witik certifié.
Groupe à plusieurs filiales
CYBERACT
Facturation par filiale avec utilisateurs illimités, plus de 30 référentiels préchargés dont LPM/OIV, ACPR Cyber, PSD2 et PGSSI-S, et 30 jours d'essai sans carte bancaire. C'est aussi le seul à laisser choisir entre une IA locale Ollama on-premise et une API cloud. À savoir avant de signer : l'éditeur est un entrepreneur individuel, pas une société, et il écrit lui-même que sa certification ISO 27001 est visée pour le quatrième trimestre 2026, donc pas obtenue.
NIS2, DORA et règlement IA dans un seul outil
Matproof
C'est le cas où nous sommes pertinents : prix affiché de 480 EUR par mois pour un référentiel et 1 200 EUR pour trois, et les trois textes dans le même produit. Ce que nous n'avons pas : aucune qualification ANSSI, aucun label EBIOS RM, aucune qualification SecNumCloud, aucune certification HDS, et un hébergement en Allemagne, pas en France. Si la souveraineté française est un critère d'attribution, prenez Egerie, Galea Cyber, Witik, CYBERACT ou Keolux.
Obligations
Ce que NIS 2 exigera de l'outil en France.
Aucun texte n'oblige à acheter un logiciel. Ce tableau traduit l'état réel du droit français au 19 août 2026, et ce que l'ANSSI publie déjà, en exigences pour un outil.
Sources : ANSSI, page « La directive NIS 2 » et service MonEspaceNIS2 sur cyber.gouv.fr, consultés le 19 août 2026. État parlementaire : dossier législatif de l'Assemblée nationale, projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Qualification, Visa de sécurité, SecNumCloud, EBIOS Risk Manager et sa liste de logiciels labellisés : cyber.gouv.fr. Certification HDS : esante.gouv.fr.
Méthode
Comment nous avons comparé.
Pour chaque éditeur, nous avons lu son propre site : page tarifs, page référentiels, page sécurité, mentions légales et politique de confidentialité. Le 19 août 2026.
Nous n'avons utilisé ni comparateur d'avis, ni rapport d'analyste, ni souvenir. Quand un éditeur n'affiche pas une valeur, nous écrivons « non publié » plutôt qu'une estimation.
Les revendications de souveraineté ont été recoupées avec les sources officielles, pas seulement avec le site de l'éditeur. La liste ANSSI des logiciels labellisés EBIOS Risk Manager a été lue directement sur cyber.gouv.fr : Egerie y figure, Galea Cyber et CYBERACT n'y figurent pas.
Matproof édite cette page. La ligne Matproof porte les mêmes sources que les autres. Nous y écrivons aussi ce qui ne nous arrange pas : la société éditrice est immatriculée aux États-Unis, avec un représentant UE en Allemagne, l'hébergement est allemand et non français, et nous n'avons ni label ANSSI ni certification HDS.
Ce que nous n'avons pas pu sourcer
- Délais de 72 heures et de rapport final à un mois : nous ne les imprimons pas pour la France. EUR-Lex a répondu HTTP 202 avec un corps vide à toutes nos tentatives, et nous ne les avons trouvés sur aucune page ANSSI lue ce jour. Seul le délai de 24 heures est imprimé ici, parce que l'ANSSI l'écrit elle-même.
- Egerie : aucun tarif publié, aucun essai gratuit. Attention aussi à une incohérence de son propre site : le titre de page emploie « certifiée ANSSI » alors que le corps du texte écrit « labellisé ». Seul le label est vérifiable sur cyber.gouv.fr.
- Galea Cyber : le pied de page indique Paris alors que les mentions légales indiquent Boulogne-Billancourt. L'exploitant du datacenter n'est nommé explicitement que pour le site vitrine. Nous ne reprenons pas la mention de clients cités sur le site, faute d'étude de cas publiée.
- CYBERACT : aucun tarif publié. L'éditeur est un entrepreneur individuel. Sa certification ISO 27001 est annoncée comme visée au quatrième trimestre 2026, donc non détenue.
- Witik : le fournisseur cloud du service SaaS n'est pas nommé. Nous n'avons pas pu établir si Witik détient lui-même ISO 27001 ou HDS, ou si ce sont ses hébergeurs. L'hébergeur du site vitrine, Netlify aux États-Unis, n'est pas l'hébergeur du service.
- Keolux : le domaine nu keolux.fr échoue à la validation du certificat TLS. Seul www.keolux.fr répond. Aucune mention de DORA, aucune certification revendiquée par Keolux SAS.
- Provaly : il n'existe aucune mention légale. Sa propre politique de confidentialité porte encore la note indiquant que l'identité du responsable de traitement reste à compléter. Nous ne lui attribuons donc ni société, ni adresse, ni forme juridique. Sa page produit affiche à la fois « Disponible » et « Disponible très bientôt » pour le même kit.
- Kertos : aucun tarif publié, aucun essai. La région AWS exacte utilisée pour les données clients n'est pas indiquée, seulement « serveurs dans l'UE » et AWS EMEA Sàrl au Luxembourg.
- Drata : sa page référentiels a répondu HTTP 403 à notre requête le 19 août 2026. Les valeurs affichées sont celles relevées sur cette même page, le même jour, pour les versions allemande et anglaise de ce comparatif. Nous n'avons pas pu vérifier si Drata cite l'ANSSI ou SecNumCloud.
- Vanta, Drata et OneTrust : aucun ne publie de tarif. Vanta et Drata nomment leur fournisseur cloud sans indiquer la région ni le pays. OneTrust ne publie ni datacenter ni liste complète de référentiels.
- Reglyze : aucun pays de datacenter indiqué. Les mentions légales désignent un micro-entrepreneur français, pas une société.
Toutes les sources
CYBERACT (19 août 2026)
Drata (19 août 2026)
Egerie (19 août 2026)
Galea Cyber (19 août 2026)
Keolux (19 août 2026)
Kertos (19 août 2026)
Kopexa (19 août 2026)
Matproof (19 août 2026)
OneTrust (19 août 2026)
Provaly (19 août 2026)
Reglyze (19 août 2026)
Vanta (19 août 2026)
FAQ
Questions fréquentes
La France a-t-elle transposé NIS 2 ?+
Non. Au 19 août 2026, le texte de transposition est toujours un projet de loi, pas une loi. Il s'appelle « projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ». Le Sénat l'a adopté en première lecture le 12 mars 2025 après engagement de la procédure accélérée. Le texte de la commission a été déposé à l'Assemblée nationale le 10 septembre 2025. L'ANSSI écrit sur son propre site que la transposition est en cours, et que NIS 2 entrera en vigueur en France quand l'ensemble des textes de transposition, loi, décrets et arrêtés, auront été promulgués. Aucun délai français n'est donc juridiquement applicable aujourd'hui.
Quel est le meilleur logiciel NIS2 en France ?+
Il n'y en a pas un seul pour tout le monde. Si votre acheteur exige une analyse de risques EBIOS Risk Manager reconnue, Egerie est le seul du tableau inscrit sur la liste ANSSI des logiciels labellisés EBIOS RM, mais il ne publie ni tarif ni essai. Si vous voulez un tarif public et un hébergement en France, Galea Cyber affiche 1 000 EUR HT par mois et 2 500 EUR HT par mois, avec 14 jours d'essai. Si votre sujet principal est le RGPD et Sapin II, Witik commence à 240 EUR HT par mois sur le module RGPD. Si vous êtes un groupe à plusieurs filiales, CYBERACT facture par filiale avec utilisateurs illimités et 30 jours d'essai, mais ne publie aucun tarif. Si vous avez besoin de NIS2, DORA et du règlement IA dans un seul outil avec un prix affiché, Matproof coûte 480 EUR par mois pour un référentiel et 1 200 EUR pour trois, avec un hébergement en Allemagne et non en France. Toutes ces valeurs datent du 19 août 2026 et viennent des sites des éditeurs.
Qu'est-ce qu'un label ANSSI, et qui l'a vraiment ?+
Trois choses différentes sont souvent confondues. La qualification ANSSI atteste du niveau de sécurité d'un produit ou d'un service face aux exigences de l'ANSSI, et tout produit qualifié porte le Visa de sécurité ANSSI. Le label EBIOS Risk Manager est autre chose : c'est un label de conformité à la méthode, ouvert à tout éditeur qui développe une solution logicielle conforme. Sur la liste officielle publiée par l'ANSSI au 19 août 2026 figurent ADACIS, AIRBUS PROTECT, ALL4TEC, EGERIE Software, RECIPROC-IT, SIA PARTNERS et PHINASOFT. Des éditeurs comparés ici, seul Egerie y figure. Galea Cyber se déclare « conforme aux référentiels ANSSI », ce qui est une déclaration de l'éditeur et non un label. CYBERACT, Witik, Keolux, Kertos, Kopexa et Matproof ne revendiquent aucune qualification ni aucun label ANSSI.
Qu'est-ce que SecNumCloud, et un éditeur peut-il en avoir besoin ?+
SecNumCloud est le référentiel élaboré par l'ANSSI en 2016 pour qualifier les prestataires de services d'informatique en nuage. Il vise notamment à résister à une injonction issue de lois extraterritoriales portant atteinte à la disponibilité, à la confidentialité ou à l'intégrité du service. La qualification vaut trois ans et fait l'objet d'audits annuels de surveillance. Attention à une confusion fréquente : aider un client à obtenir SecNumCloud n'est pas être qualifié SecNumCloud. Egerie vend la première chose et l'écrit ainsi. Aucun éditeur de ce tableau ne revendique la seconde. Le schéma européen EUCS n'est pas finalisé à ce jour, donc SecNumCloud n'a pas encore d'équivalent européen.
Que veut dire « hébergé sur une infrastructure certifiée HDS » ?+
Cela veut dire que l'hébergeur détient le certificat, pas l'éditeur du logiciel. La certification HDS s'obtient auprès d'un organisme certificateur accrédité par le COFRAC, pour un certificat « hébergeur d'infrastructure physique » ou « hébergeur infogéreur ». Elle vaut trois ans avec un audit de surveillance annuel. Witik et Galea Cyber écrivent tous deux que leur infrastructure est certifiée HDS. Ni l'un ni l'autre n'écrit détenir lui-même un certificat HDS. Si les données de santé sont votre sujet, demandez le numéro de certificat et le périmètre exact, et vérifiez le nom sur la liste officielle des hébergeurs certifiés.
Combien coûte un logiciel de conformité NIS2 en France ?+
La plupart ne publient rien. Au 19 août 2026, 6 des 13 éditeurs comparés affichent des chiffres sur leur propre site : Galea Cyber à 1 000 et 2 500 EUR HT par mois, Keolux à partir de 350 EUR HT par mois avec une grille de 0,91 à 1,50 EUR HT par salarié, Kopexa à 249 et 599 EUR par mois et par space, Witik à partir de 240 EUR HT par mois sur le module RGPD, Reglyze avec une offre gratuite et à partir de 490 EUR par organisation et par an, et Matproof à 480 et 1 200 EUR par mois. Egerie, CYBERACT, Kertos, Vanta, Drata et OneTrust vous renvoient tous vers un rendez-vous commercial.
Pourquoi tant de cases « non publié » ?+
Parce que nous n'écrivons que ce que l'éditeur montre sur son propre site. Si une page tarifs n'affiche pas de chiffre, il n'y a pas de chiffre ici. Si une page sécurité ne nomme pas le pays du datacenter, il n'y a pas de pays ici. Nous n'estimons pas et nous ne reprenons rien des comparateurs d'avis. Une affirmation fausse sur un concurrent nommé est un risque juridique, pas une coquille.
Matproof est-il un auditeur ou un organisme de certification ?+
Non. Matproof est un logiciel de gestion de la conformité. Matproof n'audite personne et ne certifie personne. L'audit et la certification sont toujours réalisés par un organisme indépendant et accrédité. Le logiciel collecte les preuves, tient les politiques et prépare l'audit. Sur le terrain français, disons-le clairement : Matproof n'a ni qualification ANSSI, ni label EBIOS RM, ni qualification SecNumCloud, ni certification HDS, et héberge en Allemagne et non en France. Si l'un de ces points est un critère d'attribution chez vous, choisissez Egerie, Galea Cyber, Witik, CYBERACT ou Keolux.
À lire ensuite
Étape suivante
D'abord le périmètre, ensuite l'outil.
Si la souveraineté française est un critère d'attribution chez vous, ce tableau se lit dans un autre ordre. Dites-nous votre situation et nous vous dirons si nous sommes pertinents ou non.