CISO Assistant est l’un des rares projets GRC à publier à la fois son code et sa grille tarifaire. C’est appréciable, et cela rend la comparaison avec GALEA inhabituellement concrète : pour une fois, on peut poser des chiffres des deux côtés. Reste la question que les grilles ne répondent jamais — qui fait le travail ?

Ce qu’est CISO Assistant, précisément

CISO Assistant est développé par intuitem et distribué en double licence : l’édition Community est publiée sous AGPLv3 et annoncée gratuite à perpétuité, tandis que les fonctions entreprise relèvent d’une licence commerciale. Le dépôt public affiche plus de 4 400 étoiles GitHub et plus de 800 forks, ce qui en fait l’un des projets GRC open source les plus actifs du moment.

Le périmètre fonctionnel est large : gestion multi-référentiels avec plus de 200 frameworks intégrés (ISO 27001, NIST CSF, SOC 2, PCI DSS, NIS2, DORA, RGPD, HIPAA, CMMC…), évaluations de risque, gestion des preuves d’audit, risques tiers, analyse d’impact métier (BIA) et quantification du risque cyber. La méthode EBIOS RM est nativement supportée, aux côtés de l’ISO 27005, et la bibliothèque inclut des catalogues de menaces dont MITRE ATT&CK. Le produit expose une API REST et un utilitaire en ligne de commande. Le déploiement autohébergé passe par Docker, Docker Compose ou un chart Helm sur Kubernetes ; les instances cloud d’intuitem sont opérées en France, chez Scaleway et OVH, avec une région secondaire aux Pays-Bas.

La force à reconnaître, sans détour : l’ouverture du code. Vous pouvez auditer le modèle de données, l’adapter, l’héberger où vous voulez, et vous ne dépendez d’aucun éditeur pour récupérer vos données. Pour une organisation qui a des exigences fortes de réversibilité ou une équipe capable de lire du Python, c’est un argument que peu de plateformes SaaS peuvent contrer.

Les deux grilles tarifaires, côte à côte

Fait rare dans ce marché : les deux éditeurs publient des prix.

Offre Tarif publié
CISO Assistant — Community (autohébergé) 0 € « forever »
CISO Assistant — Pro SaaS 39 € par contributeur et par mois, facturation annuelle
CISO Assistant — Pro on-premises 2 400 € par instance et par an
CISO Assistant — sièges illimités (SaaS) 8 500 € / an
CISO Assistant — instance SecNumCloud illimitée 14 500 € / an
GALEA — TPE 200 € / mois
GALEA — PME 300 € / mois
GALEA — ETI 700 € / mois
GALEA — RSSI externalisé (option) 15 000 € / an

À lire ces lignes, la conclusion semble évidente : zéro euro bat n’importe quel abonnement. Sauf que la ligne « licence » n’a jamais représenté la majorité du coût d’un projet GRC.

Le poste de coût que personne ne budgète

Un outil autohébergé implique une chaîne d’exploitation à porter en interne : installation, base de données, sauvegardes, montées de version, gestion des accès, supervision, et un minimum de veille sur les correctifs. Le projet documente clairement ses prérequis techniques — Docker et Docker Compose pour un test local, Python, Node et PostgreSQL pour un environnement de développement — ce qui est honnête, mais ne fait pas disparaître le travail.

Ajoutez le temps d’appropriation méthodologique. Une plateforme qui vous donne 200 référentiels vous donne 200 grilles vides. Quelqu’un doit décider lesquelles s’appliquent, construire la cartographie, rédiger les scénarios EBIOS RM, collecter les preuves et arbitrer les écarts. Sur une PME, ce « quelqu’un » est souvent un DSI qui a déjà un poste à plein temps.

La question utile n’est donc pas « combien coûte la licence ? » mais « combien de jours-homme internes ce choix consomme-t-il la première année, et ces jours existent-ils ? ». Un projet à licence gratuite qui mobilise quarante jours de DSI coûte plus cher qu’un abonnement à 3 600 € par an qui en mobilise dix.

Un référentiel n’est pas un livrable

C’est la différence de nature entre les deux approches, plus que la différence de prix.

CISO Assistant fournit un socle structurant : le modèle de données, les référentiels, les mappings entre exigences et contrôles, les mécanismes d’évaluation. Le contenu de votre analyse, vous le produisez.

GALEA fournit un socle plus des sorties pré-remplies. L’agent IA TARS, propulsé par Mistral AI, propose des scénarios de risque à partir d’une base de plus de 1 000 scénarios de référence croisés avec MITRE ATT&CK, avec validation humaine obligatoire avant inscription au registre. Le parcours aboutit à un plan d’actions de 65 mesures priorisées et à 54 contrôles de conformité pré-remplis depuis le socle documentaire. Le modèle IA est européen, hébergé en France, sans réutilisation contractuelle des données pour l’entraînement.

Notons qu’intuitem annonce de son côté un moteur d’IA et une intégration via le protocole MCP, indiqués sur sa page tarifaire comme en cours de développement pour le quatrième trimestre 2026. La comparaison sur ce point sera donc à refaire dans quelques mois.

Deux profils d’organisation, deux réponses

Vous avez une équipe technique et un RSSI expérimenté. L’édition Community de CISO Assistant est un choix rationnel : vous maîtrisez la méthode, vous avez les bras pour l’exploitation, et l’ouverture du code vous garantit la réversibilité. Vous investissez du temps plutôt que du budget, en connaissance de cause.

Vous n’avez ni RSSI interne, ni capacité d’exploitation disponible. Le coût déterminant devient le temps d’expertise, pas la licence. C’est le terrain de GALEA, éditée par Phishia — cabinet cyber depuis 2018, plus de 200 missions, plus de 15 experts certifiés — avec trois modalités : plateforme seule, conseil seul, ou formule combinée. Phishia avance une réduction moyenne de 60 % du coût total de conformité, jusqu’à 75 % pour les plus petites structures, et un time-to-compliance divisé par six.

Un dernier repère utile : si votre organisation vise un hébergement qualifié SecNumCloud, les deux mondes proposent des réponses, mais elles ne se valent pas en termes d’engagement contractuel. Demandez dans les deux cas ce qui est couvert par le contrat, et ce qui reste de votre responsabilité.

Questions fréquentes

L’édition Community de CISO Assistant est-elle vraiment gratuite ?

La page tarifaire d’intuitem indique « € 0 forever » pour l’édition Community, publiée sous AGPLv3. Les coûts résiduels sont ceux de votre hébergement et de votre temps d’exploitation, qui ne relèvent pas de l’éditeur.

Les deux outils couvrent-ils EBIOS RM de la même manière ?

Les deux revendiquent le support de la méthode. La différence porte sur l’assistance à la production : GALEA propose des scénarios générés à partir d’une bibliothèque de référence, soumis à validation humaine, là où CISO Assistant fournit la structure méthodologique à remplir.

Peut-on migrer d’une solution à l’autre ?

Posez la question de la réversibilité avant de signer, quel que soit le choix : formats d’export, complétude des données exportées, et délai de restitution en fin de contrat. C’est un point sur lequel une licence open source offre structurellement plus de garanties.

Sources

Pages consultées le 23 septembre 2026.