Conformité NIS2, RGPD et ISO 27001

Les dirigeants de TPE, de PME, d'ETI et de collectivités font face à un empilement de réglementations qui peut sembler décourageant. Pourtant, ces cadres partagent une même logique : identifier les risques, mettre en place des mesures techniques et organisationnelles adaptées, documenter ses choix et progresser dans le temps. La conformité bien menée devient alors un levier de confiance vis-à-vis des clients, des partenaires et des autorités. Elle structure la sécurité au lieu de la subir, et elle évite les sanctions comme les incidents coûteux. Cette page pilier détaille les trois référentiels majeurs, les méthodes de l'ANSSI et de la CNIL, ainsi que la démarche progressive que nous recommandons pour atteindre un niveau de maturité durable.

Notre conviction est simple : la conformité réglementaire et la sécurité opérationnelle doivent avancer ensemble. Un registre de traitement impeccable ne protège de rien si le réseau reste vulnérable, et un pare-feu dernier cri ne sert à rien si personne ne sait réagir à une violation de données. C'est pourquoi nous abordons toujours ces sujets sous l'angle du risque métier. Avant de vous lancer dans une démarche de mise en conformité, un diagnostic de cybersécurité permet de mesurer votre exposition et de hiérarchiser les chantiers prioritaires, sans perdre de temps ni d'argent sur des actions secondaires.

La directive NIS2 est un texte européen qui impose un socle de mesures de cybersécurité aux entités considérées comme essentielles ou importantes pour le fonctionnement de la société et de l'économie. Elle met l'accent sur la gouvernance, la gestion des risques, la notification des incidents et la responsabilisation des dirigeants. Le RGPD, de son côté, protège spécifiquement les données à caractère personnel : il encadre leur collecte, leur conservation et leur sécurité, et il impose des obligations strictes en cas de violation. Enfin, la norme ISO 27001 fournit un cadre méthodologique internationalement reconnu pour construire un système de management de la sécurité de l'information, le fameux SMSI, qui peut donner lieu à une certification par un organisme accrédité.

Ces trois cadres se nourrissent mutuellement. Un système de management conforme à l'ISO 27001 facilite considérablement la démonstration de conformité à NIS2, car il documente l'analyse de risques, les politiques et les contrôles. De même, les mesures de sécurité exigées par le RGPD recoupent largement celles attendues par NIS2. Plutôt que de mener trois projets isolés, une entreprise de cybersécurité expérimentée recommande d'unifier la gouvernance : une seule analyse de risques, une seule politique de sécurité des systèmes d'information, des procédures partagées. Cette approche mutualisée réduit les coûts, évite les doublons et produit une documentation cohérente, lisible par un auditeur comme par une autorité de contrôle.

Cette convergence s'étend aux cadres internationaux les plus utilisés. Le NIST Cybersecurity Framework, élaboré aux États-Unis, structure la sécurité autour de six fonctions : gouverner, identifier, protéger, détecter, répondre et rétablir. Ces fonctions recoupent très directement les attentes de NIS2 et les mesures de l'ISO 27001, si bien qu'un travail mené selon l'une de ces grilles nourrit naturellement les autres. De même, des référentiels comme MITRE ATT&CK aident à comprendre les modes opératoires des attaquants et à calibrer les mesures de détection. L'objectif n'est pas de multiplier les standards mais de choisir un socle cohérent, puis de montrer comment il répond à chacune des obligations réglementaires qui vous concernent. Cette lecture transversale est l'une des valeurs ajoutées d'une société de cybersécurité qui maîtrise à la fois le droit applicable et la technique.

La directive NIS2 (Network and Information Security 2) a été publiée au Journal officiel de l'Union européenne en décembre 2022, avec une échéance de transposition par les États membres fixée à octobre 2024. Elle remplace la directive NIS de 2016, jugée trop limitée dans son périmètre et trop hétérogène dans son application. NIS2 répond à une réalité constatée partout en Europe : la multiplication des attaques par ransomware, les compromissions de chaînes d'approvisionnement et la dépendance croissante des services essentiels au numérique. Le texte poursuit un objectif clair, harmoniser les exigences et hausser durablement le niveau de sécurité des acteurs critiques.

La grande nouveauté tient à l'extension du champ d'application. Là où la première directive ciblait quelques secteurs, NIS2 couvre désormais de nombreux domaines : énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable et eaux usées, infrastructures numériques, administration publique, espace, mais aussi services postaux, gestion des déchets, fabrication de produits critiques, production alimentaire et fournisseurs de services numériques. En France, la transposition s'appuie sur l'ANSSI, désignée comme autorité nationale de référence, et elle se traduit par des obligations déclinées selon la catégorie de l'entité. Beaucoup d'organisations qui ne se sentaient pas concernées par la cybersécurité réglementaire entrent ainsi dans le dispositif, parfois sans le savoir.

Entités essentielles et entités importantes

NIS2 introduit une distinction structurante entre deux catégories d'acteurs régulés, qui détermine l'intensité des obligations et la nature de la supervision par l'autorité compétente. Cette classification repose sur le secteur d'activité, la taille de l'entité et son importance pour le fonctionnement de la société. Comprendre dans quelle catégorie se situe votre organisation est la première démarche à mener, car elle conditionne tout le reste du plan de conformité. Le tableau ci-dessous synthétise les principales différences telles qu'elles ressortent du texte européen et de sa transposition.

Au-delà de la catégorie, l'essentiel reste identique pour tous : NIS2 impose une approche de gestion des risques tous risques, c'est-à-dire couvrant aussi bien les menaces techniques que les défaillances humaines, les catastrophes physiques et les dépendances envers les fournisseurs. Les dirigeants doivent approuver les mesures de gestion des risques, suivre des formations en cybersécurité et peuvent être tenus personnellement responsables en cas de manquement grave. C'est un changement de culture profond : la cybersécurité quitte le seul périmètre de la direction informatique pour devenir un sujet de conseil d'administration.

Les obligations concrètes fixées par NIS2

La directive ne se contente pas de principes, elle énumère un socle de mesures minimales que chaque entité doit mettre en oeuvre de manière proportionnée à son exposition. Ces mesures forment la colonne vertébrale de tout plan de conformité NIS2 et recoupent largement les bonnes pratiques promues par l'ANSSI et par la norme ISO 27001. Une société de cybersécurité vous aide à décliner chacune de ces exigences en actions opérationnelles, puis à en apporter la preuve.

• Politiques d'analyse des risques et de sécurité des systèmes d'information.
• Gestion des incidents : détection, traitement, notification et retour d'expérience.
• Continuité d'activité : sauvegardes, reprise après sinistre et gestion de crise.
• Sécurité de la chaîne d'approvisionnement et des relations avec les fournisseurs.
• Sécurité dans l'acquisition, le développement et la maintenance des systèmes.
• Politiques d'évaluation de l'efficacité des mesures de gestion des risques.
• Pratiques d'hygiène informatique de base et formation à la cybersécurité.
• Cryptographie et chiffrement, lorsque cela est approprié.
• Sécurité des ressources humaines, contrôle d'accès et gestion des actifs.
• Authentification à plusieurs facteurs et communications sécurisées.

La notification des incidents suit une logique en plusieurs temps. Face à un incident significatif, l'entité doit transmettre une alerte précoce très rapidement, généralement sous 24 heures, puis une notification plus complète sous 72 heures, et enfin un rapport final dans le mois qui suit. Cette cadence exige une organisation préparée en amont, avec des procédures testées et des canaux de communication définis. C'est précisément là que la théorie réglementaire rencontre la réalité opérationnelle : sans capacité de détection et sans plan de réponse, respecter ces délais est impossible. Pour bâtir cette capacité, il est pertinent de s'appuyer sur notre offre de SOC et supervision de sécurité, qui assure une surveillance continue des systèmes et une remontée d'alertes structurée.

Sanctions et calendrier de transposition en France

NIS2 prévoit un régime de sanctions administratives dissuasif, à l'image du RGPD. Pour les entités essentielles, les amendes peuvent atteindre un plafond exprimé en pourcentage du chiffre d'affaires annuel mondial, avec un montant maximal élevé, tandis que les entités importantes relèvent d'un barème inférieur mais néanmoins substantiel. Au-delà des amendes, les autorités disposent de pouvoirs d'injonction, d'audit, voire de suspension temporaire de certaines fonctions de direction en cas de manquement persistant. L'enjeu financier et réputationnel est donc réel, et il justifie d'engager la démarche sans attendre le dernier moment.

En France, la transposition de NIS2 s'inscrit dans un processus législatif qui confie à l'ANSSI le rôle d'autorité nationale de cybersécurité chargée d'accompagner et de contrôler les entités régulées. Le calendrier européen fixait la transposition à octobre 2024, et la mise en oeuvre opérationnelle se déploie progressivement, avec des obligations d'enregistrement des entités concernées et une montée en charge des contrôles. Notre recommandation est de ne pas attendre la clôture définitive du cadre national pour agir : les fondamentaux de NIS2 sont connus, et les mesures attendues correspondent à des bonnes pratiques qu'il est de toute façon prudent d'adopter. Anticiper, c'est transformer une contrainte en avantage.

Le maillon souvent négligé : la chaîne d'approvisionnement

Parmi les apports majeurs de NIS2 figure l'attention portée à la sécurité de la chaîne d'approvisionnement. De nombreuses attaques récentes ont exploité non pas la victime directement, mais l'un de ses prestataires, éditeurs de logiciels ou infogéreurs. La directive impose donc de prendre en compte les vulnérabilités propres à chaque fournisseur et la qualité de leurs pratiques de cybersécurité. Concrètement, cela se traduit par des clauses contractuelles de sécurité, des évaluations de prestataires, et une vigilance accrue sur les accès accordés à des tiers. Une organisation conforme ne peut plus ignorer le niveau de sécurité de son écosystème, car sa propre résilience en dépend directement. Cet aspect rejoint les exigences du RGPD sur les sous-traitants, qui doivent eux aussi présenter des garanties suffisantes.

Le RGPD repose sur plusieurs grands principes : licéité et transparence du traitement, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, et surtout intégrité et confidentialité. Ce dernier principe impose au responsable de traitement et à ses sous-traitants de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Concrètement, cela recouvre le chiffrement, la pseudonymisation, le contrôle des accès, la capacité à restaurer les données après un incident et l'évaluation régulière de l'efficacité de ces mesures. La sécurité n'est donc pas un à-côté du RGPD, c'est l'une de ses obligations centrales.

La CNIL, autorité française de contrôle, veille au respect de ces obligations et dispose de pouvoirs de sanction importants, pouvant aller jusqu'à des amendes calculées en pourcentage du chiffre d'affaires mondial. Elle publie également de nombreuses recommandations pratiques, notamment son guide de la sécurité des données personnelles, qui constitue une référence précieuse pour les organisations. En tant que prestataire en cybersécurité, nous nous appuyons sur ces recommandations pour aligner vos mesures techniques sur les attentes de l'autorité, tout en veillant à leur cohérence avec NIS2 et l'ISO 27001. L'objectif est d'éviter les silos documentaires et de produire un dispositif unique et défendable.

La notification de violation à la CNIL sous 72 heures

L'une des obligations les plus connues du RGPD concerne la violation de données à caractère personnel. Dès qu'un responsable de traitement a connaissance d'une violation susceptible d'engendrer un risque pour les droits et libertés des personnes, il doit la notifier à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Si la notification intervient plus tard, elle doit être accompagnée des motifs du retard. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent également en être informées. Ce délai de 72 heures est très court et suppose une organisation prête à réagir.

Respecter ce délai exige des procédures claires, une chaîne de décision identifiée et la capacité technique de qualifier rapidement l'incident : quelles données, combien de personnes, quelles conséquences possibles. Trop d'organisations découvrent au moment de la crise qu'elles ne savent ni détecter la fuite, ni en mesurer l'ampleur, ni qui doit notifier. La préparation est décisive. Lorsqu'un incident survient, notre équipe de réponse à incident intervient pour contenir l'attaque, collecter les preuves, qualifier la violation et vous assister dans la rédaction de la notification, afin que le délai réglementaire soit tenu sans précipitation ni erreur.

Le registre des traitements, socle documentaire

Le registre des activités de traitement est un document obligatoire pour la plupart des organisations. Il recense l'ensemble des traitements de données personnelles, leurs finalités, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité associées. Bien tenu, ce registre n'est pas une simple formalité : c'est une cartographie précieuse qui alimente directement l'analyse de risques et la politique de sécurité. Il permet de savoir où sont les données sensibles, qui y accède et comment elles sont protégées, autant d'informations indispensables pour prioriser les efforts de sécurisation.

Le RGPD introduit par ailleurs deux outils de pilotage étroitement liés à la sécurité. L'analyse d'impact relative à la protection des données, ou AIPD, est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes : elle décrit le traitement, en évalue la nécessité et analyse les risques ainsi que les mesures prévues pour les réduire. Le délégué à la protection des données, ou DPO, lorsqu'il est désigné, pilote la conformité au quotidien et sert de point de contact avec la CNIL. Ces deux dispositifs dialoguent directement avec l'analyse de risques de cybersécurité : une AIPD rigoureuse s'appuie sur la même compréhension des menaces et des vulnérabilités que celle conduite pour NIS2 ou l'ISO 27001, ce qui plaide une fois de plus pour une approche mutualisée et cohérente.

La norme ISO 27001 décrit les exigences pour établir, mettre en oeuvre, maintenir et améliorer en continu un système de management de la sécurité de l'information, le SMSI. Publiée par l'Organisation internationale de normalisation, elle repose sur une approche par les risques et sur le principe de l'amélioration continue, souvent résumé par le cycle PDCA (Plan, Do, Check, Act). Sa version révisée, parue en 2022, a actualisé la liste des mesures de sécurité figurant dans son annexe A, désormais organisée autour de grandes thématiques : mesures organisationnelles, relatives aux personnes, physiques et technologiques. Cette norme s'accompagne de l'ISO 27002, qui en détaille les bonnes pratiques de mise en oeuvre.

L'intérêt de l'ISO 27001 dépasse la seule conformité. Elle structure durablement la gouvernance de la sécurité, clarifie les rôles et les responsabilités, et produit une documentation exploitable pour répondre à NIS2 comme au RGPD. Pour une organisation qui travaille avec des grands comptes ou qui répond à des appels d'offres, la certification constitue un argument commercial solide, preuve tangible d'un engagement sérieux. En tant qu'expert en cybersécurité, nous accompagnons la construction du SMSI sans nous substituer à l'organisme certificateur : la certification, elle, est délivrée par un organisme de certification accrédité et indépendant, à l'issue d'un audit en deux étapes.

L'ANSSI, Agence nationale de la sécurité des systèmes d'information, est l'autorité française de référence en matière de cybersécurité. Elle publie des guides, des recommandations et des référentiels largement reconnus, comme le guide d'hygiène informatique, les recommandations sur l'authentification ou encore le référentiel relatif aux prestataires de services de confiance. Ses publications constituent une base solide pour toute démarche de mise en conformité, car elles traduisent les exigences réglementaires en mesures concrètes et hiérarchisées. S'appuyer sur les guides de l'ANSSI, c'est parler le même langage que l'autorité de contrôle, ce qui facilite grandement les échanges en cas d'audit.

La méthode EBIOS Risk Manager, développée par l'ANSSI, est devenue la référence française pour conduire une analyse de risques en cybersécurité. Elle adopte une approche par scénarios, centrée sur les événements redoutés et les chemins d'attaque, ce qui la rend particulièrement pertinente face aux menaces actuelles. Elle se déroule en cinq ateliers successifs qui mènent du cadrage jusqu'au plan de traitement des risques. Cette méthode est parfaitement compatible avec l'analyse de risques exigée par l'ISO 27001 et par NIS2, et elle s'articule aussi avec des cadres internationaux comme le NIST Cybersecurity Framework. Une analyse de risques rigoureuse constitue le point de départ incontournable de tout plan de conformité crédible.

La PSSI, colonne vertébrale de la gouvernance

La politique de sécurité des systèmes d'information, ou PSSI, est le document de référence qui formalise les règles, les responsabilités et les objectifs de sécurité de l'organisation. Elle traduit la stratégie de la direction en orientations concrètes et sert de cadre à toutes les procédures opérationnelles : gestion des accès, des sauvegardes, des postes de travail, des accès distants ou encore des prestataires. Une PSSI bien rédigée aligne les pratiques de l'ensemble des collaborateurs et fournit une référence commune, indispensable pour répondre aux exigences de NIS2 et pour constituer le socle documentaire d'un SMSI ISO 27001. Elle doit être vivante, validée au plus haut niveau et révisée régulièrement.

Au-delà des documents, la conformité repose sur des personnes compétentes et vigilantes. Les meilleures politiques ne valent rien si les collaborateurs ne les connaissent pas ou ne les appliquent pas. C'est pourquoi la dimension humaine doit être intégrée dès le départ, par des actions régulières de formation et de sensibilisation à la cybersécurité. Une équipe informée reconnaît les tentatives de phishing, signale les comportements suspects et devient une ligne de défense active, ce qui contribue directement au respect des obligations de NIS2 en matière d'hygiène et de formation.

Face à l'ampleur des obligations, beaucoup d'organisations se sentent paralysées et ne savent pas par où commencer. Notre approche consiste à transformer cette complexité en une feuille de route claire, découpée en jalons atteignables. Le principe directeur est celui de la proportionnalité : les mesures doivent être adaptées à la taille de l'organisation, à la sensibilité de ses données et à son niveau de risque réel. Inutile de viser d'emblée la perfection, il s'agit d'abord de couvrir les risques majeurs, puis de monter en maturité de façon continue. Cette démarche itérative est d'ailleurs exactement ce qu'attendent les autorités : une amélioration documentée et sincère.

Le point de départ de toute feuille de route est un état des lieux honnête de l'existant, confronté aux exigences applicables. Cet écart entre la situation réelle et la cible réglementaire constitue la matière première du plan d'action. Pour objectiver cet écart et identifier les failles techniques, il est souvent judicieux de compléter l'analyse documentaire par un audit et test d'intrusion, qui révèle concrètement les vulnérabilités exploitables. La conformité sur le papier et la sécurité réelle doivent converger, sans quoi la démarche resterait purement formelle et ne protégerait pas l'organisation.

Tout au long de ce parcours, la documentation joue un rôle décisif. En cas de contrôle, c'est la capacité à démontrer ce qui a été fait, décidé et vérifié qui distingue une organisation conforme d'une organisation exposée. Registre des traitements, analyse de risques, PSSI, déclaration d'applicabilité, comptes rendus d'audit et plans d'action constituent ensemble le dossier de preuves. Une société de cybersécurité structure cette documentation pour qu'elle soit lisible, cohérente et mutualisée entre NIS2, RGPD et ISO 27001, évitant ainsi la redondance et les contradictions qui affaiblissent un dossier face à un auditeur.

La réussite d'un tel plan tient enfin à sa gouvernance. Il faut un pilote clairement désigné, un sponsor au sein de la direction et des points d'étape réguliers pour arbitrer les priorités et débloquer les ressources. La cybersécurité ne doit pas rester confinée au service informatique : elle concerne les métiers, les ressources humaines, les achats et la direction générale. Des indicateurs simples et partagés, comme le taux de couverture des mesures prioritaires ou le délai de traitement des incidents, permettent de suivre la progression sans se noyer dans la technique. Cette gouvernance transverse est précisément ce que NIS2 attend des organes de direction, et ce qui transforme une liste d'actions en une dynamique durable d'amélioration de la sécurité.