Guide NIS2 · 9 min
RGPD vs NIS2 : recoupements, différences et quand un incident déclenche les deux
Le RGPD et NIS2 touchent tous deux la sécurité et sont assortis de lourdes amendes, d'où la confusion, mais ils protègent des choses différentes et relèvent d'autorités différentes. Le risque n'est pas de choisir le mauvais ; c'est de ne pas voir qu'un seul incident peut déclencher les deux, selon des délais distincts. Ce guide trace la frontière, montre les recoupements, explique l'articulation (coopération et absence de double amende) et donne une réponse nette aux équipes servant des clients relevant des deux.
Vérifiez votre domaine maintenant
Voyez ce qui est publiquement visible sur la sécurité de votre organisation, sans inscription.
Cet aperçu instantané vérifie :
- HTTPS accessible
- HSTS activé
- Redirection HTTP → HTTPS
- SPF configuré
- DMARC appliqué
- Messagerie (MX) configurée
Le rapport complet ajoute les rançongiciels, le dark web, les certificats, les données d'entreprise et plus de 100 autres contrôles.
Points clés
- Le RGPD protège les données personnelles et s'applique à presque toute organisation ; NIS2 protège la cyberrésilience et ne s'applique qu'aux entités essentielles et importantes désignées.
- Un incident peut exiger deux notifications : une notification de violation à votre autorité de protection des données sous 72 h (RGPD art. 33) et un rapport à votre CSIRT à 24 h/72 h/un mois (NIS2 art. 23).
- Ils sont conçus pour s'articuler : les autorités coopèrent (NIS2 art. 35) et on n'est pas sanctionné deux fois pour le même comportement, mais vous évaluez et notifiez quand même au titre de chacun, là où il s'applique.
Ce que chacun régit
Le RGPD et NIS2 sont deux textes de l'UE qui touchent la sécurité, et on les confond, mais ils protègent des choses différentes. Le RGPD protège les données personnelles ; NIS2 protège la continuité et la sécurité des services essentiels. Une organisation peut aisément relever des deux à la fois.
La distinction la plus nette : le RGPD demande « protégez-vous les données personnelles des personnes ? » et s'applique à presque toute organisation qui en traite. NIS2 demande « votre organisation est-elle résiliente sur le plan opérationnel et cyber ? » et ne s'applique qu'aux entités essentielles et importantes désignées dans des secteurs précis.
RGPD : données personnelles, presque tout le monde
Règlement (UE) 2016/679, applicable depuis 2018. Régit le traitement des données personnelles par les responsables et sous-traitants : base légale, droits des personnes et sécurité du traitement (art. 32). Appliqué par les autorités de protection des données.
NIS2 : cybersécurité, entités désignées
Directive (UE) 2022/2555, transposée en droit national (échéance 17 octobre 2024). Régit la gestion des risques cyber (art. 21) et la notification d'incidents (art. 23) pour les entités essentielles et importantes. Appliquée par les autorités nationales de cybersécurité et les CSIRT.
Le piège : un incident, deux notifications
Une seule violation peut déclencher les deux régimes : à des autorités différentes, selon des délais différents. Connaissez les deux :
Si un incident de sécurité concerne des données personnelles, notifiez votre autorité de protection des données sans retard injustifié et, si possible, dans les 72 heures suivant la prise de connaissance : sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes.
S'il s'agit d'un incident important, envoyez à votre CSIRT une alerte précoce à 24 heures, une notification à 72 heures et un rapport final sous un mois.
Une attaque par rançongiciel qui chiffre des données personnelles est, simultanément, un incident important au sens de NIS2 et une violation de données personnelles au sens du RGPD : deux dépôts, deux autorités, deux délais.
Où ils se recoupent
Mettez l'un en œuvre correctement et des pans de l'autre suivent. Tous deux exigent :
- Sécurité du traitement / mesures de gestion des risques : des contrôles techniques et organisationnels proportionnés.
- Notification d'incident ou de violation selon des délais définis, avec documentation de ce qui s'est passé et de la réponse.
- Responsabilité : la direction doit l'assumer, et les deux régimes prévoient des amendes administratives importantes.
- Registres et preuves. Vous devez pouvoir démontrer, et pas seulement affirmer, que les contrôles existent et fonctionnent.
- Assurance des tiers : RGPD via les contrats de sous-traitance (art. 28), NIS2 via la sécurité de la chaîne d'approvisionnement (art. 21(2)(d)).
Voyez votre score réel et celui de vos fournisseurs
7 jours gratuits · sans carte bancaire · annulez à tout moment
L'articulation clé : coopération et absence de double amende
NIS2 a été rédigé pour s'articuler avec le RGPD, non pour le dupliquer. En vertu de l'article 35 de NIS2, lorsqu'une autorité de cybersécurité apprend qu'un incident chez une entité peut comporter une violation de données personnelles notifiable au titre de l'art. 33 du RGPD, elle doit informer l'autorité de protection des données sans retard injustifié. Les deux autorités coopèrent et échangent des informations.
Élément clé : on n'est pas sanctionné deux fois pour le même comportement. Lorsqu'une autorité de protection des données inflige une amende RGPD pour une infraction, l'autorité NIS2 ne peut pas infliger en plus une amende NIS2 (art. 34) pour le même comportement. Mais c'est une protection contre la double peine pour un acte. Cela ne fusionne pas les deux obligations. Vous évaluez, documentez et notifiez toujours au titre de chaque régime, là où il s'applique.
Les obligations applicables dépendent des faits : des données personnelles étaient-elles concernées, et êtes-vous une entité essentielle ou importante ? Confirmez les détails auprès de votre autorité de protection des données, de votre autorité nationale de cybersécurité et d'un conseil qualifié.
Lequel s'applique à vous ?
La plupart des organisations relèvent de l'un ; beaucoup des deux :
Vous traitez des données personnelles mais n'êtes pas une entité essentielle/importante
Le RGPD s'applique ; NIS2 ne s'applique pas directement : la diligence d'un client NIS2 sur sa chaîne d'approvisionnement peut toutefois vous atteindre via vos contrats.
Vous êtes une entité essentielle/importante traitant peu de données personnelles
NIS2 s'applique pleinement ; le RGPD s'applique aux données personnelles que vous traitez (salariés, clients).
Vous relevez des deux (le cas courant)
Exploitez un seul processus de réponse aux incidents satisfaisant les deux délais : votre autorité de protection des données sous 72 h pour les violations de données, votre CSIRT sur la voie 24 h/72 h/un mois pour les incidents importants.
Vous êtes fournisseur ou sous-traitant
Attendez-vous à des clauses RGPD de sous-traitance (art. 28) et à un examen NIS2 de la chaîne d'approvisionnement (art. 21(2)(d)) de vos clients : questionnaires, demandes de preuves et monitoring continu.
Sources : Règlement (UE) 2016/679 (RGPD) et directive (UE) 2022/2555 (NIS2), en particulier l'art. 35 sur l'articulation avec le RGPD. Confirmez l'application des deux à votre situation auprès de votre autorité de protection des données et de votre autorité nationale de cybersécurité.
Comment norppa.io aide
Les deux régimes attendent désormais une assurance continue et étayée sur vos fournisseurs et sous-traitants : RGPD via la supervision des sous-traitants (art. 28), NIS2 via la sécurité de la chaîne d'approvisionnement (art. 21(2)(d)). norppa.io surveille chaque domaine fournisseur sur plus de cent points de contrôle chaque jour, chaque constat étant associé à l'article NIS2 concerné et exportable pour vos registres.
Les questionnaires d'auto-évaluation captent les contrôles contractuels et de processus qu'aucune autorité de protection des données ni aucun auditeur de cybersécurité ne voit de l'extérieur, et chaque réponse est confrontée au profil technique en direct. De sorte que, que la question vienne sous l'angle protection des données ou NIS2, vous présentez des preuves actuelles et corroborées plutôt que des affirmations.