<p>Entre le RGPD, désormais bien installé, et la directive NIS2 qui élargit les obligations de cybersécurité, les entreprises doivent structurer leur...
Deux textes structurent aujourd'hui les obligations numériques des entreprises françaises : le RGPD, en vigueur depuis 2018 et désormais bien installé, et la directive NIS2, qui élargit considérablement le nombre d'organisations soumises à des exigences de cybersécurité. Beaucoup de dirigeants de PME se demandent lequel les concerne. La réponse est rarement binaire, et l'écart entre les deux mérite d'être compris avant de se lancer dans une démarche coûteuse.
Le RGPD s'applique dès qu'une entreprise traite des données personnelles, ce qui inclut ses propres salariés. Aucune taille minimale n'exonère. Les obligations qui reviennent le plus souvent dans nos audits sont au nombre de quatre.
Le registre des traitements, d'abord : un document qui recense ce que l'entreprise collecte, pourquoi, où c'est stocké et combien de temps. Il est demandé en premier en cas de contrôle, et son absence est le manquement le plus fréquent. L'information des personnes, ensuite, sur le site et dans les contrats de travail. La durée de conservation, souvent le point le plus mal traité : garder les candidatures ou les données clients indéfiniment est une infraction, pas une prudence. Enfin, l'encadrement des sous-traitants, par un contrat qui précise leurs obligations — hébergeur, prestataire de paie, outil de messagerie.
S'y ajoute une obligation de sécurité, formulée en termes de moyens proportionnés : chiffrement des postes portables, gestion des accès, sauvegardes. Et l'obligation de notifier une violation de données à la CNIL dans les soixante-douze heures, ce qui suppose d'avoir prévu qui décide et comment, avant d'en avoir besoin.
Une cinquième obligation est régulièrement ignorée : la gestion des demandes des personnes. Un salarié, un candidat ou un client peut demander l’accès à ses données, leur rectification ou leur effacement, et l’entreprise dispose d’un mois pour répondre. Sans procédure, ces demandes arrivent par des canaux dispersés et se perdent, ce qui transforme un droit banal en litige. Désigner une adresse dédiée et un responsable suffit à traiter le sujet.
Qui est réellement concerné par NIS2
NIS2 vise les entités jugées essentielles ou importantes dans une série de secteurs — énergie, transports, santé, eau, infrastructures numériques, administration publique, fabrication de certains produits, gestion des déchets, entre autres — au-delà de seuils de taille, généralement à partir de cinquante salariés ou dix millions d'euros de chiffre d'affaires. La plupart des PME françaises ne sont pas directement concernées.
Elles peuvent l'être indirectement, et c'est le point qui les rattrape en pratique : les entités soumises doivent sécuriser leur chaîne d'approvisionnement. Une PME qui fournit un service à un hôpital, une collectivité ou un opérateur d'énergie se voit donc demander des garanties par son client, sous forme de questionnaires, de clauses contractuelles et parfois d'audits. L'exigence arrive alors par le contrat, non par le régulateur.
Il faut ajouter que NIS2 raisonne en obligations de gouvernance, pas seulement techniques. Les dirigeants sont explicitement responsables de la supervision des mesures, avec une formation attendue de leur part. C’est un changement de nature : la cybersécurité cesse d’être un sujet délégué au prestataire pour devenir un point d’ordre du jour de direction, au même titre que la sécurité au travail.
Un point pratique aide à savoir si l’on est concerné indirectement : relire les clauses de sécurité de ses contrats en cours. Les marchés publics et les contrats-cadres de grands comptes intègrent désormais des exigences de notification d’incident, parfois sous vingt-quatre heures, et des obligations de preuve. Ces clauses s’appliquent déjà, indépendamment du statut réglementaire de l’entreprise, et leur non-respect se règle sur le terrain commercial plutôt que devant un régulateur.
Par où commencer sans se disperser
Les deux textes convergent sur un socle commun, et c'est par là qu'il faut commencer. Savoir où sont ses données et qui y accède. Sauvegarder et tester la restauration. Activer l'authentification forte. Tenir les systèmes à jour. Savoir qui fait quoi en cas d'incident, et l'avoir écrit sur une page plutôt que dans un classeur de cent pages que personne n'ouvrira.
Une remarque de méthode : la conformité documentaire sans mesures techniques ne protège de rien, et les mesures techniques sans documentation ne se prouvent pas lors d'un contrôle ou d'un appel d'offres. Les deux se construisent ensemble, progressivement, en commençant par les traitements et les systèmes les plus sensibles.
Chez TICLIC, nous accompagnons les PME d'Île-de-France sur ce socle, en distinguant clairement ce qui est obligatoire, ce qui est demandé par leurs donneurs d'ordre, et ce qui relève du confort. Un diagnostic gratuit permet de situer votre entreprise et d'établir un plan réaliste. Cet article présente une information générale et ne constitue pas un conseil juridique.
Une dernière recommandation de méthode : commencez par documenter ce qui existe déjà. La plupart des entreprises ont plus de mesures en place qu’elles ne croient — sauvegardes, antivirus, authentification forte partielle — mais rien n’est écrit. Formaliser l’existant en trois pages fait apparaître les vrais manques et évite d’acheter des solutions redondantes.
Enfin, les deux textes se rejoignent sur un point qui rassure : ils demandent des mesures proportionnées à la taille et au risque, pas un dispositif de grand groupe. Une PME qui sait où sont ses données, qui sauvegarde et teste ses restaurations, qui a activé l’authentification forte et qui documente ces choix en quelques pages répond déjà à l’essentiel de ce qu’on lui demandera.