SMSI auto-hébergé aux référentiels européens et allemands
ISMS Builder est une application web Node.js à héberger soi-même pour tenir un système de management de la sécurité de l'information (SMSI) : documents maîtrisés, déclaration d'applicabilité (SoA), risques, actifs, fournisseurs, continuité d'activité et constats d'audit. L'interface existe en français, anglais, allemand et néerlandais, et une instance de démonstration remise à zéro chaque jour tourne avec des données fictives.
Les référentiels livrés prêts à l'emploi sont européens ou allemands : NIS2, BSI IT-Grundschutz, AI Act, Cyber Resilience Act et EUCS, plus un module RGPD. Probo se présente comme une solution pour SOC 2, RGPD et ISO 27001, et CISO Assistant annonce plus de 220 référentiels inclus.
Le comparatif des outils GRC open source met en regard les référentiels que livre chaque projet et ce qu'il laisse à faire.
NIS2 article par article et besoins de protection hérités
- NIS2 suivi article par article : une liste de 30 mesures pour l'article 21, et les délais de l'article 23 calculés pour chaque incident (alerte sous 24 h, notification sous 72 h, rapport final un mois après la notification), avec un rappel par e-mail au RSSI avant chaque échéance.
- Aucun compte pour le reste de l'entreprise : les salariés confirment la lecture d'une politique depuis un lien à jeton, et un formulaire public reçoit les signalements d'incident.
- Besoin de protection hérité entre actifs : confidentialité, intégrité, disponibilité et authenticité se notent de 1 à 4, et un actif reprend le besoin le plus élevé des actifs qui dépendent de lui, selon le principe du maximum du BSI.
- Scans repris en risques : un rapport Greenbone/OpenVAS, en XML ou en PDF, devient un brouillon de risque.
- Journal d'audit sur chaque création, modification, suppression et connexion, et double authentification TOTP imposable à toute l'organisation.
ISO 27001 à saisir soi-même, pour une petite équipe
Les contrôles ISO 27001 ne sont pas fournis. Les normes ISO 27001, 9000 et 9001 sont protégées par le droit d'auteur, et leurs onglets de SoA arrivent vides : l'administrateur doit se procurer la norme sous licence, en reporter les contrôles dans un fichier JSON et lancer scripts/import-iso-controls.sh. Le code livre 147 contrôles : 66 pour le BSI, 30 pour le Cyber Resilience Act, 23 pour EUCS, 18 pour l'AI Act et 10 pour NIS2. SOC 2 n'est pas un référentiel de la SoA, seulement un critère de tri des fournisseurs.
Taillé pour une petite équipe sur une seule instance. Le README vise une équipe SMSI d'une personne, parfois d'une poignée. Plusieurs entités d'un groupe tiennent dans une instance, mais le projet n'est pas fait pour héberger plusieurs clients. La limite de tentatives de connexion, arrivée en v1.40.4, compte d'ailleurs les échecs en mémoire, sans partage entre instances.
Les fichiers JSON restent le stockage conseillé. SQLite, MariaDB et PostgreSQL sont pris en charge, mais .env.example recommande JSON tant que la migration vers SQL n'est pas finie : comptes et rôles restent dans un fichier JSON quel que soit le choix.
Pas d'offre hébergée ni de support. Déploiement, TLS, sauvegardes et mises à jour reviennent à l'exploitant, et l'outil ne certifie aucune conformité. À qui a besoin de délais garantis, le README conseille lui-même un éditeur commercial. Le projet ne publie ni installeur ni archive ZIP, seulement le code et, depuis la v1.40.0, une image Docker ; le README signale un faux dépôt qui propose une archive porteuse d'un logiciel malveillant.
Un mainteneur, des versions par vagues. Le dépôt public date de mars 2026, et sa première version publiée porte déjà le numéro 1.29.0 ; le README qualifie le projet de « pas encore un produit fini ». Sur dix-sept versions, cinq sont sorties du 10 au 13 mars, aucune jusqu'au 27 juillet, puis douze jusqu'au 3 septembre (v1.40.4), sans commit depuis sur la branche principale. Le projet a un seul mainteneur, qui y travaille à côté d'un emploi à plein temps, signe 126 des 146 commits et ne corrige que la dernière version. La v1.40.3 a fermé une faille qui laissait tout compte connecté, même en lecture seule, lire les mots de passe SMTP et WebDAV (avis GHSA-63xg-pg3x-g36f). Changelog et messages de commit sont surtout en allemand. Sous AGPL-3.0, une version modifiée exposée en service réseau doit publier son code.