Conformité cybersécurité : NIS2, DORA, RGPD

2. NIS2, DORA, RGPD : les textes qui structurent le cadre

Trois textes structurent le cadre européen. Ils ne visent pas la même chose et ne concernent pas les mêmes entreprises. Voici l'essentiel de chacun, en quelques lignes.

• Le RGPD : protéger les données personnelles

Le Règlement général sur la protection des données s'applique dès que vous traitez des données personnelles : clients, salariés, prospects. Il impose de savoir quelles données vous détenez, de les protéger et de réagir en cas de fuite. En cas de violation de données, vous devez notifier la CNIL sous 72 heures. Les sanctions vont jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu (RGPD, article 83 ; source : CNIL, ).

• NIS2 : relever le niveau de cybersécurité

La directive NIS2 élargit la cybersécurité réglementée à 18 secteurs et à leurs sous-traitants, bien au-delà des seuls grands opérateurs. Elle place la gouvernance au centre : les dirigeants doivent approuver et suivre les mesures de sécurité, avec une responsabilité qui peut être engagée personnellement. Les sanctions atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles (directive NIS2). En France, la transposition passe par la loi Résilience, encore en cours d'examen parlementaire à l'été 2026. L'ANSSI invite les entreprises à ne pas attendre le vote pour se préparer, car la mise en conformité prend plusieurs mois.

• DORA : la résilience du secteur financier et de ses prestataires

Le règlement DORA vise le secteur financier (banques, assurances, sociétés de gestion) et ses prestataires informatiques critiques. Son objectif : garantir la résilience opérationnelle numérique, c'est-à-dire la capacité à continuer de fonctionner et à se rétablir malgré un incident. Il est applicable depuis le 17 janvier 2025 (Règlement UE 2022/2554). Même si vous n'êtes pas une entreprise financière, ce texte peut vous atteindre par ricochet si vous êtes prestataire d'un acteur régulé.

Et ISO 27001 dans tout ça ?

ISO 27001 n'est pas une obligation légale, mais une norme volontaire. Elle décrit une méthode pour organiser sa sécurité et documenter ses pratiques. Son intérêt : cette méthode facilite précisément la preuve exigée par le RGPD comme par NIS2. Beaucoup de PME s'en inspirent sans viser la certification complète.

3. Êtes-vous concerné ? La méthode pour vous situer

C'est la question qui compte vraiment. Bonne nouvelle : on peut y répondre avec trois critères, à condition de ne pas oublier un piège fréquent.

Les trois critères pour vous situer

Pour NIS2, votre situation dépend de trois éléments : votre secteur d'activité, votre taille (effectif et chiffre d'affaires) et la nature de votre activité. La directive distingue deux catégories, les entités essentielles et les entités importantes, selon le niveau de criticité du secteur et les seuils atteints. Vous pouvez d'ailleurs vérifier précisément si votre entreprise entre dans le périmètre de NIS2 avant d'engager quoi que ce soit.

DORA applique un principe de proportionnalité : les plus petites structures relèvent d'exigences allégées. Le RGPD, lui, ne se pose pas en ces termes : dès que vous traitez des données personnelles, vous êtes concerné, quelle que soit votre taille. Autrement dit, presque toutes les PME sont déjà dans son champ.

Le piège de l'effet cascade

Voici l'erreur la plus répandue. Une PME regarde les seuils, conclut qu'elle est hors périmètre, et referme le dossier. Elle oublie l'effet cascade : un client régulé doit sécuriser sa chaîne de sous-traitance et vous répercute ses obligations par contrat.

Prenons un cas concret. Un bureau d'études de 60 personnes se croit hors sujet. Son principal client, une banque soumise à DORA, lui adresse un questionnaire de sécurité détaillé et des clauses d'audit. Du jour au lendemain, la conformité entre par le contrat, pas par la loi. Sans réponse solide, c'est le renouvellement du marché qui est en jeu. Beaucoup de petites structures se mettent à niveau pour cette raison, avant même que la réglementation ne les vise directement.

4. Ce que la conformité exige, concrètement

Trois textes, mais des exigences qui se recoupent largement. Une fois traduites en actions, elles forment un socle commun, le même pour l'essentiel des PME.

Gouvernance et gestion des risques

La gouvernance vient en premier. Les dirigeants approuvent les mesures de sécurité, les suivent et débloquent les moyens. La cybersécurité cesse d'être un sujet purement technique pour devenir un sujet de direction. Cela s'appuie sur une gestion des risques : identifier ce qui peut faire mal, évaluer la probabilité et l'impact, décider quoi traiter en priorité. Pour poser ce cadre, il est utile de structurer votre démarche de gestion des risques informatiques et de formaliser vos règles dans une politique de sécurité informatique.

Les mesures techniques attendues

Sous les textes, on retrouve toujours les mêmes fondamentaux : l'authentification forte (une double vérification à la connexion, pour qu'un mot de passe volé ne suffise pas), le chiffrement (rendre les données illisibles sans la clé), la segmentation du réseau (cloisonner pour qu'un incident ne se propage pas partout) et la journalisation (garder une trace de ce qui se passe). S'ajoute un point que les PME sous-estiment : des sauvegardes testées et immuables. Testées, car une sauvegarde qu'on n'a jamais restaurée n'est qu'une promesse. Immuables, car un rançongiciel cherche d'abord à chiffrer les sauvegardes accessibles depuis le réseau.

Le scénario classique : une entreprise pense être couverte, ses sauvegardes tournent chaque nuit. Le jour de l'incident, la restauration échoue, ou prend cinq jours au lieu de trois heures. La sauvegarde existait, personne ne l'avait jamais testée.

Savoir prouver, pas seulement faire

Reste la partie que les textes ajoutent à la sécurité classique : la preuve. Vous devez pouvoir documenter et notifier. Côté notification, les délais diffèrent selon le texte : 72 heures à la CNIL pour une violation de données (RGPD), un premier signalement sous 24 heures puis un rapport sous 72 heures pour NIS2, une notification rapide aux autorités financières pour DORA.

Voici, en pratique, ce qu'un contrôle vous demanderait de montrer :

• une revue des accès à jour, qui a accès à quoi
• la date et la durée de votre dernier test de restauration
• une procédure de notification d'incident écrite
• la liste des prestataires disposant d'accès à privilèges.

Si vous pouvez sortir ces quatre éléments sans transpirer, vous êtes en bien meilleure posture que la moyenne.

5. Par où commencer : le plan pour une PME

La pire approche consiste à ouvrir tous les chantiers en même temps. Voici une séquence réaliste, tenable avec des ressources limitées.

Étapes 1 à 3 : cadrer

• 1, vous situer : déterminer votre périmètre et les textes qui s'appliquent réellement à vous. 
• 2, mesurer l'écart : réaliser un audit d'écart pour mesurer où vous en êtes par rapport aux exigences . C'est le point de départ de toute mise en conformité sérieuse : sans état des lieux, on avance à l'aveugle. 
• 3, prioriser : classer les actions par le risque, pas par la longueur de la liste. On traite d'abord ce qui protège le plus, pas ce qui coche le plus de cases. Cette logique aide aussi à cadrer la dépense, plutôt que de tout financer d'un coup. Pour vous repérer, voici de quoi savoir quel budget cybersécurité prévoir pour une PME. 

Étapes 4 à 5 : agir et documenter

• 4, traiter les fondamentaux : les accès (revue et double authentification), les sauvegardes testées, une procédure d'incident écrite. Ce trio couvre déjà une grande partie du risque réel. 
• 5, documenter au fur et à mesure : chaque action réalisée devient une preuve. On ne reconstitue pas un an de pratiques la veille d'un contrôle. Documenter en continu, c'est se donner la capacité de prouver le jour venu.

6. Rester conforme dans la durée

La conformité n'est pas un projet qu'on termine, c'est un état à maintenir. Les accès changent, les équipes bougent, la réglementation évolue. Une revue régulière (accès, sauvegardes, procédures) vaut mieux qu'un grand chantier tous les trois ans suivi d'un long silence. Quand un texte bouge, comme la transposition de NIS2, on ajuste plutôt que de tout recommencer.

Chez OTO Technology, ces questions font partie du quotidien. Notre organisation est elle-même certifiée ISO 27001 : nous appliquons à nos propres processus la méthode de preuve que le RGPD comme NIS2 attendent de vous (registres tenus, accès revus, incidents tracés). 

De plus, nos équipes sont certifiées ITIL 4, ce qui structure la gestion du support et le traitement des incidents, du premier signalement au rapport. Sur le terrain, cela se traduit par un audit d'écart au démarrage, puis une infogérance qui tient la preuve au jour le jour : supervision continue avec Zabbix, sauvegardes testées et immuables avec Acronis Cyber Protect ou Veeam, double authentification via Cisco Duo ou Microsoft Entra ID, plan de reprise éprouvé et détection assurée par un SOC. L'objectif n'est pas de produire un classeur, mais de vous mettre en capacité de démontrer, à tout moment, que la porte était bien fermée.

7. FAQ

Quelle est la différence entre conformité et sécurité en cybersécurité ?

La sécurité, ce sont les mesures qui protègent. La conformité, c'est la capacité à démontrer qu'on respecte les règles applicables. On peut être bien sécurisé sans être en mesure de le prouver.

Mon entreprise est-elle concernée par NIS2 ?

Cela dépend de votre secteur, de votre taille et de votre activité. Même hors périmètre direct, un client régulé peut vous imposer des exigences par contrat, via l'effet cascade.

Quelles sanctions en cas de non-conformité ?

RGPD : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial. NIS2 : jusqu'à 10 M€ ou 2 % du CA pour les entités essentielles. S'y ajoutent le risque d'exclusion d'appels d'offres et l'atteinte à la réputation.

Sous quel délai notifier un incident ?

RGPD : 72 heures à la CNIL en cas de violation de données personnelles. NIS2 : premier signalement sous 24 heures, puis rapport sous 72 heures. Les délais se cumulent quand un même incident relève de plusieurs textes.

Par où commencer quand on est une PME ?

Vous situer, réaliser un audit d'écart, prioriser par le risque, traiter d'abord les fondamentaux (accès, sauvegardes testées, procédure d'incident), puis documenter au fil de l'eau.