NIS2, RGPD, DORA, CRA, LPM… La réglementation cybersécurité en France ne manque ni de textes ni d’acronymes. Le plus difficile n’est pas toujours de comprendre chaque dispositif séparément, mais de savoir lesquels s’appliquent réellement à votre organisation et ce qu’ils vous imposent concrètement.
Ces obligations ne concernent plus uniquement les infrastructures critiques ou les grandes entreprises. Selon votre secteur d’activité, votre taille, les données que vous traitez ou les produits et services que vous proposez, vous pouvez relever d’une ou de plusieurs réglementations. Certaines exigences peuvent également vous concerner indirectement, à travers vos clients, vos partenaires ou vos donneurs d’ordre. Dans cet article, nous vous proposons de faire le tri parmi les principales réglementations cybersécurité applicables en France : qui est concerné, quelles sont les obligations à respecter et comment avancer lorsque plusieurs textes se cumulent.
🔍 Comprendre la réglementation cybersécurité en France
Loi, règlement, directive, norme : quelles différences ?
La loi
Une loi est proposée par le Gouvernement ou par des parlementaires, avant d’être examinée, puis votée par le Parlement. Elle fixe les règles applicables en France et peut définir des obligations de cybersécurité, des contrôles ou des sanctions. Une loi entre en vigueur après sa publication, bien que certaines dispositions nécessitent des décrets ou des arrêtés pour être appliquées. On peut prendre en exemple la Loi Informatique et Liberté, ou encore la Loi de programmation militaire (LPM).
Le règlement européen
Un règlement européen est proposé par la Commission européenne, puis adopté par le Parlement européen et le Conseil de l’Union européenne. Il établit des règles communes à l’ensemble des États membres. On pense notamment au RGPD, à DORA ou au Cyber Resilience Act (CRA). Le règlement est directement applicable : aucune loi française n’est nécessaire pour le transposer, même si des textes nationaux peuvent en préciser certaines modalités. Il appartient au droit de l’Union européenne, et prévaut donc sur les dispositions nationales.
La directive européenne
Une directive est également proposée par la Commission européenne, puis adoptée par le Parlement européen et le Conseil. Elle fixe non pas des règles mais des objectifs que chaque État membre doit intégrer dans son droit national, tout en lui laissant une marge de manœuvre sur les moyens employés. Tout comme le règlement, elle appartient au droit de l’Union européenne. mais contrairement à celui-ci, elle n’est pas directement applicable et doit être transposée. C’est par exemple le cas de NIS2.
La norme
Une norme est un cadre commun, des exigences ou des bonnes pratiques, élaborée par des organismes tels que l’AFNOR, le CEN ou l’ISO. En matière de sécurité de l’information, on peut par exemple nommer la bien connue famille des ISO/IEC 27000. Son application est généralement volontaire, mais dans certains cas, un texte réglementaire ou un contrat peuvent la rendre obligatoire.
Qui encadre la cybersécurité en France ?
En France, la cybersécurité n’est pas encadrée par une autorité unique. Il existe plusieurs organismes généraux qui assurent différentes missions au niveau national ou sectoriel. Votre entreprise peut donc dépendre de plusieurs interlocuteurs.
L’ANSSI, autorité nationale en matière de cybersécurité
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est l’acteur central de la cybersécurité en France. Elle gère notamment la publication des référentiels de sécurité et le contrôle de leur application. Elle intervient par exemple dans le cadre de la LPM et de NIS2. Le CERT-FR, centre de veille, d’alerte et de réponse aux attaques informatiques, lui est rattaché.
La CNIL pour la protection des données personnelles
La Commission nationale de l’informatique et des libertés (CNIL) veille au respect du RGPD et de la loi Informatique et Libertés. C’est à la CNIL qui vous pouvez/devez notifier une violations de données. Elle peut également contrôler les mesures de sécurité mises en place par une organisation, et sanctionner en cas de manquement.
Les autorités et acteurs sectoriels
Selon votre secteur, vous pouvez aussi être sous l’autorité d’autres acteurs. Dans la finance par exemple, l’Autorité de contrôle prudentiel et de résolution (ACPR) et l’Autorité des marchés financiers (AMF) supervisent l’application de DORA. L’ARCEP intervient dans le secteur des communications électroniques, et l’Agence du numérique en santé (ANS) pilote plusieurs dispositifs tels que la PGSSI-S et le CERT Santé.
🛡️NIS2, RGPD, DORA et CRA : les principales réglementations cyber
NIS2 : quelles entreprises sont concernées par quelles obligations ?
Suis-je concerné par NIS2 ?
Il y a des chances ! La directive NIS2 fait suite à la première directive NIS, dont elle a considérablement élargit le périmètre. Elle ne concerne plus seulement les opérateurs critiques, mais englobe plusieurs milliers d’organisations de 18 secteurs d’activités différents.
NIS2 vise deux types d’entités : les Entités Essentiels (EE) et les Entités Importantes (EI). Sont ainsi qualifiés les organisations qui exercent dans un secteur considéré comme critique, en fonction de leur taille et de leur chiffre d’affaires. Parmi ces secteurs, on peut notamment compter l’énergie, les transports, la banque, les infrastructures des marchés financiers, la santé, l’eau potable et les eaux usées, les infrastructures numériques, les services informatiques managés interentreprises, l’administration publique et l’espace.
D’autres secteurs y sont soumis quelle que soit leur taille. C’est le cas de certains fournisseurs de services DNS, de services de confiance ou de communications électroniques et les entreprises désignées comme critique par une autorité nationale.
💡 Si vous avez encore un doute, l’ANSSI a mis en place un simulateur permettant de savoir si vous êtes concernés ou non : https://messervices.cyber.gouv.fr/simulateur-nis2
A noter que, même si vous n’êtes ni une EE, ni une EI, vous pouvez malgré tout vous voir imposer certaines exigences par vos clients qui eux, le seraient. En effet, la sécurité des fournisseurs fait partie des risques que les EE et les EI doivent maitriser.
Quelles sont les principales obligations prévues par NIS2 ?
Les entités concernées par NIS2 ont plusieurs obligations :
- S’enregistrer auprès de l’ANSSI,
- Faire approuver et superviser leur politique de cybersécurité par leur direction,
- Mettre en place des mesures techniques, organisationnelles et opérationnelles adaptées pour atteindre les objectifs de sécurité,
- Alerter dans les 24h, notifier dans les 72h puis rendre un rapport dans le mois suivant tout incident important.
Sans rentrer dans le détail, les mesures à mettre en place doivent permettre d’assurer :
- L’analyse des risques et la formalisation des responsabilités,
- La prévention, détection et traitement des incidents,
- La continuité et la reprise d’activité,
- La sécurisation des accès, actifs et communications,
- La gestion des vulnérabilités et le maintien à jour des systèmes,
- L’encadrement des risques liés aux prestataires et à la chaîne d’approvisionnement
- La formation des équipes et dirigeants à la cybersécurité
- Le contrôle régulier de l’efficacité des mesures mises en place
💡 Bien qu’entrée en application fin 2024, la transposition française de NIS2 est toujours en cours d’examen au Parlement en août 2026. L’ANSSI a toutefois déjà mis à disposition de Référentiel Cyber France (ReCyF) comme document de travail pour se préparer.
📖 C’est notamment à partir de ce document que nous avons conçu notre notre outil destiné à vous aider à vous lancer concrètement dans le sujet : Tableau de suivi pour NIS2
Entité essentielle ou entité importante : quelle différence pour l’application ?
Les deux catégories doivent respecter le socle commun d’obligations, mais là où les EI sont soumis à 16 objectifs, les EE doivent en atteindre 20. Ces 4 objectifs supplémentaires concernent notamment l’audit, l’administration et la supervision des systèmes.
Les exigences et les contrôles sont également renforcés pour les entités essentielles. Les entités importantes, elles, sont principalement contrôlées lorsqu’un manquement ou un incident laisse à penser qu’une ou plusieurs obligations ne sont pas respectées.
RGPD : quelles obligations de sécurité pour les données personnelles ?
Suis-je concerné par le RGPD ?
Allons au plus simple, la réponse est OUI !
Contrairement à NIS2, le RGPD n’a ni condition de taille, ni condition de secteur d’activité : toute structure qui traite des données personnelles est concernée. Et par données personnelles, on entend toute information qui permet d’identifier une personne physique, de façon directe ou indirecte (par exemple un nom, un email, une photo, une adresse IP, etc…). En bref, la moindre liste de contact client ou base de prospection vous soumet au RGPD. Partez donc du principe que vous êtes concernés.
Quelles sont les principales obligations prévues par le RGPD ?
Le RGPD impose la mise en place de mesures techniques et organisationnelles pour :
- limiter l’accès aux données aux seules personnes autorisées,
- sécuriser l’authentification et gérer les habilitations,
- chiffrer / pseudomiser les données lorsque c’est pertinent,
- maintenir les systèmes à jour et corriger les vulnérabilités,
- réaliser des sauvegardes et anticiper la restauration,
- journaliser les accès, détecter les incidents,
- sensibiliser les collaborateurs,
- tester régulièrement ces mesures,
- notifier la CNIL sous 72h en cas de violation de données (divulgation, modification, perte, destruction, indisponibilité) qui présente un risque, ainsi que les personnes concernées si le risque est élevé.
💡 La CNIL met à disposition un guide de la sécurité des données personnelles sur lequel vous pouvez vous appuyer pour vous mettre en conformité.
DORA : quelles exigences pour le secteur financier ?
Suis-je concerné par DORA ?
Contrairement à ce qu’on peut croire, le règlement DORA (Digital Operational Resiliance Act) ne concerne pas uniquement les banques. Assurances, établissements de paiement, sociétés d’investissement, gestionnaires d’actifs, infrastructures de marché, prestataires de services sur cryptoactifs ou encore plateformes de financement participatif peuvent également entrer dans son champ d’application.
DORA apporte également une place importante aux prestataires Cloud, éditeurs, infogérant et fournisseurs de services informatiques (révision des contrats, évaluation des risques avant externalisation, droits d’audit, stratégie de sortie, etc.). Si les prestataires informatiques ne deviennent pas directement soumis à DORA, leurs clients financiers leur demanderont de démontrer d’un certain niveau de sécurité et d’accepter des engagements contractuels plus précis.
Quelles sont les principales obligations prévues par DORA ?
DORA impose principalement :
- la mise en place d’un cadre documenté de gestion des risques informatiques,
- l’identification des systèmes, actifs, fonctions critiques et dépendances nécessaires à l’activité,
- le déploiement de mesures de protections, de détection, de sauvegarde, de continuité et de reprise d’activité,
- l’enregistrement, la classification, et le traitement des incidents liés aux TIC,
- le test régulier de la résilience (test d’intrusion, exercices de continuité),
- l’encadrement des risques associés aux prestataires informatiques,
- la déclaration des incidents informatiques au plus tard 24h après leur détection (4h pour les incidents majeurs), un rapport intermédiaire sous 72h et un rapport final sous 1 mois.
💡 Les textes règlementaires sont à retrouver sur le site de la Banque de France
Cyber Resilience Act : quelles obligations pour les produits numériques ?
Suis-je concerné par le CRA ?
Contrairement à NIS2 ou DORA, le CRA ne règlemente pas la sécurité d’une organisation, mais celle des produits comportant des éléments numériques qu’elle met sur le marché. Sont ainsi concernés les fabriquant de produits comportant logiciels, applications, systèmes d’exploitation, objets connectés, routeurs, pare-feu, composants matériels ou logiciels, et certains services de traitement à distance indispensables à leur fonctionnement. Certains produits déjà couverts par une règlementation sectorielle (par exemple les dispositifs médicaux ou les systèmes automobiles) en sont toutefois exclus.
Les importateurs et distributeurs ont également des obligations de vérification et ne pourront pas commercialiser un produit qu’ils savent non conforme. Une entreprise qui distribue un produit sous sa propre marque ou le modifie substantiellement peut d’ailleurs être considérée comme son fabricant, et être ainsi soumise au CRA.
Quelles sont les principales obligations prévues par le CRA ?
Le CRA impose principalement aux fabricants de :
- réaliser une analyse des risques cyber du produit,
- intégrer la sécurité dès la conception et par défaut (security by design),
- identifier, document et corriger les vulnérabilités du produit, y compris si elles viennent d’un composant tiers,
- fournir les mises à jour de sécurité nécessaire pendant une période de support adaptée (généralement au moins 5 ans),
- préparer la documentation technique et les instruction permettant une installation et une utilisation sécurisée,
- évaluer la conformité du produit, établir une déclaration européenne de conformité et apposer le marquage CE.
Le CRA est entré en vigueur le 10 décembre 2024, mais ses principales obligations s’appliqueront à partir du 11 décembre 2027. Toutefois, à partir du 11 septembre 2026, les fabricants auront pour obligation de signaler les vulnérabilités activement exploitées et les incidents grave affectant la sécurité de leurs produits. Une alerte sous 24h, suivie d’une notification complète sous 72h et d’un rapport final au plus tard 14 jours après devront être déclarés sur la Plateforme de déclaration unique (SRP) de l’ENISA.
💡 Retrouvez le cadre règlementaire du CRA sur le site de l’ANSSI.
🥖 Les réglementations et exigences cyber spécifiques à la France
LPM et OIV : la protection des activités d’importance vitale
Les Opérateurs d’Importance Vitale (OIV) sont des organisations dont l’interruption pourrait avoir de grave conséquences sur la sécurité, l’économie ou la survie de la Nation. C’est l’Etat qui détermine quelles organisations sont des OIV, et les place sous la responsabilité d’un ministère. Le dispositif de sécurité des activités d’importance vitale regroupe aujourd’hui plus de 300 opérateurs dans douze secteurs tels que la l’énergie, les transports, la santé, l’eau, les communications, la finance ou encore l’alimentation.
La protection des OIV ne se limite pas à la cybersécurité, mais couvre également la sécurité physique et organisationnelle de leurs activités. En 2013, la Loi de Programmation Militaire est venue compléter ce dispositif en imposant des mesures spécifiques pour les SI les plus critiques (appelés Systèmes d’Information d’Importance Vitale ou SIIV).
Les OIV doivent notamment :
- identifier et déclarer leurs SIIV à l’ANSSI,
- appliquer les règles de sécurité définies pour leur secteur,
- organiser la gouvernance de la sécurité et réaliser des analyses de risques,
- sécuriser les accès, l’administration, les interconnexions et les opérations de maintenance,
- mettre en place des capacités de journalisation, de supervision et de détection des incidents,
- prévoir des dispositifs de continuité et reprise d’activité,
- signaler sans délai à l’ANSSI les incidents affectant le fonctionnement ou la sécurité de leurs SIIV,
- se soumettre aux contrôles imposés.
En cas de crise majeure, le Premier ministre peut même demander à l’opérateur de mettre en œuvre des mesures de sécurité particulières. Un OIV peut parallèlement être soumis à aux règlements et directives que nous avons vu précédemment.
RGS, HDS et autres exigences sectorielles
A côté des grandes règlementations nationales et européennes, il existe des obligations propres à certains secteurs, certaines activités ou certains types de données. C’est notamment le cas pour les administrations et les acteurs de la santé.
Le RGS pour sécuriser les administrations
Le Référentiel Général de Sécurité encadre la sécurité des SI utilisés par les autorités administratives dans leurs échanges entre elles et avec les usagers. Pour chaque service concerné, l’administration doit analyser les risques, prévoir les mesures de protection nécessaires et faire valider le niveau de sécurité retenu. Les prestataires privés peuvent eux aussi être concernés par le RGS s’ils fournissent des produits ou des services de confiance aux administrations (par exemple : signature électronique, identification, horodatage, etc.).
La HDS pour la santé
La certification Hébergeur de données de Santé (HDS) doit être obtenue par tout organisme qui héberge des données de santé personnelle : hébergeur cloud, éditeur SaaS, infogéreur, prestataire chargé de l’administration ou de la sauvegarde d’un système, etc. Le référentiel HDS contient des exigences en matière de gestion des risques, de contrôle des accès, de traçabilité, de continuité d’activité et d’encadrement des sous-traitants. Il impose surtout que l’hébergement physique des données soit réalisé au sein de l’Union européenne.
Normes et référentiels cyber : quel rôle dans la conformité ?
Contrairement à ce que nous avons vu jusqu’ici, les normes cyber ne sont pas une obligation. Leur adoption et leur certification relève d’une démarche volontaire, bien qu’elles puissent être exigées par un client, un contrat ou un appel d’offre. Elle forme une sorte de « tampon qualité » qui atteste qu’un organisme indépendant à vérifié le respect des exigences de la norme. Attention, elles ne garantissent pas ni l’absence de faille, ni le respect des règlementations précédentes pour autant !
ISO 27001 et ISO 22301 : quelles différences ?
ISO/IEC 27001 est probablement la plus connue. Elle définit les exigences permettant de mettre en place un système de management de la sécurité de l’information, ou SMSI. L’objectif est de préserver la confidentialité, l’intégrité et la disponibilité des informations. La norme ne se limite donc pas aux solutions techniques : elle couvre également l’organisation, les procédures et les personnes.
ISO 22301 structure la continuité d’activité. Une organisation certifiée a mis en place des mesures pour se préparer aux interruptions, pas uniquement informatiques. Elle encadre notamment l’identification des activités prioritaires, l’analyse de leurs dépendances, la définition des objectifs de reprise, la préparation des plans de continuité et la réalisation régulière d’exercices.
Normes, certifications et qualifications : que prouvent-elles réellement ?
Les norme définissent des exigences ou des recommandations. Une organisation peut choisir de l’appliquer sans être auditée (car il faut noter que ces audits sont payants, et demandent beaucoup de temps). Elle peut alors se déclarer « conforme à ISO 27001 » par exemple, mais cela n’apporte pas la même garantie qu’une certification.
Une certification atteste qu’un organisme indépendant à vérifié le respect du référentiel de la norme. Attention, ce n’est pas toujours toute l’organisation qui est certifiée ! Une certification s’applique toujours à un périmètre précis, et peut couvrir tout l’organisme, ou seulement un système, un produit ou un service.
Les qualifications quant-à-elles attestent qu’un produit ou un service respecte les exigences de sécurité de l’ANSSI. On peut citer SecNumCloud pour les fournisseurs Cloud, PASSI qui concerne les entreprises réalisant des audits de sécurité ou encore PRIS, destinée aux entreprises intervenant lors d’incidents cyber.
Certification et qualification sont donc des garantie de qualité, mais elles ne signifient pas « sécurité garantie ». Pensez donc toujours à vérifier le périmètre couvert, la version évaluée et la date de validité !
📑 Quelle réglementation cyber s’applique à votre organisation ?
Pour identifier les règlementations qui s’applique à votre entreprise, vous devez définir votre périmètre réglementaire. Les principaux éléments à prendre en compte sont :
- le secteur d’activité,
- la taille (effectif, chiffre d’affaire et bilan),
- les produits et services que vous proposez (service essentiel, service numérique, fabrication de produit connecté, hébergement de données, etc.),
- les données que vous traitez (personnelles ou sensibles),
- votre statut et vos clients (prestataires pour clients soumis à des exigences particulières).
Schéma décisionnels des règlementations applicables
Voici 3 arbres de décisions à suivre pour déterminer quelles sont les règlementations qui peuvent s’appliquer à votre organisation. Cliquez sur les images pour afficher le schéma en grand format.
Que faire lorsque plusieurs réglementations se cumulent ?
Il est tout à fait possible que votre entreprise relève de plusieurs réglementations. Par défaut, lorsque 2 exigences se superposent, vous devrez atteindre le niveau exigé par la plus stricte des deux. Mais si différentes régulations vous imposent de déclarer un incident à différentes autorités, vous devrez réaliser l’ensemble de ces notifications dans les temps indiqués.
Créer un dispositif de conformité séparé pour chaque réglementation auxquelles vous êtes soumis n’est probablement pas pertinent, car de nombreuses exigences se recoupent : analyse des risques, gestion des accès, traitement des incidents, continuité d’activité, sensibilisation des équipes, etc. Il vaut mieux construire un socle de sécurité commun, puis établir un tableau de correspondance avec, pour chaque texte :
- le périmètre concerné,
- les exigences déjà couvertes par ce socle,
- les obligations qui restent spécifiques,
- les responsables et les preuves à conserver,
- les autorités à prévenir et les délais applicables.
📋 Comment mettre en œuvre une démarche de conformité cyber ?
Une mise en conformité peut sembler un chantier insurmontable. D’autant plus qu’elle ne consiste pas à cocher une série d’exigences puis tout ranger au placard. Il s’agit d’une démarche continue qui évolue en fonction des risques, des activités et du SI de l’entreprise, mais qui doit aussi suivre les évolutions des règlementations elles-mêmes.
1/ Cartographier votre périmètre
La première étape est de recenser vos activités, vos services numériques, vos données, vos produits, vos systèmes critiques et vos principaux prestataires. Cette cartographie permet de déterminer précisément quelles sont les règlementations auxquelles vous êtes soumis, et surtout, sur quel périmètre pour chacune d’entre elles.
2/ Evaluer les écarts
Dressez ensuite une liste des exigences de la ou des règlementations qui vous concernent. Pour chacune de ces exigence, vous devez identifier les mesures que vous avez déjà mis en place, mais surtout quel est l’écart entre ces mesures et l’exigence.
3/ Construire un plan d’action priorisé
Une fois que vous avez une vue d’ensemble sur les écarts à combler, définissez l’action à mener, le responsable, l’échéance et les preuves attendues. Mais vous ne pouvez pas tout lancer en même temps ! Une évaluation des risques est une bonne façon de prioriser : la méthode EBIOS Risk Manager publiée par l’ANSSI est un excellent guide pour mener une analyse efficace.
4/ Documenter les mesures mises en œuvre
Il ne suffit pas d’être en conformité, car une mesure appliquée mais jamais documentée sera beaucoup plus difficile à défendre lors d’un contrôle. Conservez les analyses de risques, politiques de sécurité, comptes rendus d’audit, résultats de tests, contrats, journaux d’événements, preuves de sensibilisation et décisions prises par la direction. L’idéal est de tenir un tableau de suivi qui relie chaque exigence aux preuves de conformité.
5/ Contrôler et améliorer
« On a atteint les objectifs, on peut ranger tout ça dans un classeur et passer au projet suivant ». Que nenni ! Votre démarche doit être régulièrement contrôlée, réévaluée après un incident, révisée après une évolution importante du SI, et actualisée en fonction des évolution des règlementations en vigueur.