Obligations de cybersécurité : les mesures exigées par la loi
Pour une entreprise, une cyberattaque peut interrompre la production, exposer des données personnelles et engager sa responsabilité. La cybersécurité relève donc à la fois de la continuité d’activité, de la protection des données et du respect des obligations réglementaires.
Les exigences applicables varient selon le secteur, la taille de l’organisation et les informations qu’elle traite. Une PME qui gère des dossiers clients n’a pas nécessairement les mêmes règles qu’une banque ou qu’un hébergeur de données de santé, mais toutes doivent évaluer leurs risques.
Des obligations qui dépendent du secteur et des données
Le RGPD concerne toute organisation traitant des données personnelles, tandis que NIS2 cible des entités de secteurs essentiels ou importants selon des critères précis. DORA, applicable depuis janvier 2025, établit un cadre particulier pour la résilience numérique du secteur financier.
Selon la CNIL, l’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées aux risques, sans prescrire une solution identique à toutes les structures. Une entreprise doit pouvoir expliquer ses choix et démontrer que ses protections correspondent aux données et aux menaces auxquelles elle est exposée.
Pour clarifier son périmètre, une organisation peut commencer par vérifier ces points :
- Nature des données traitées, notamment personnelles ou sensibles
- Secteur d’activité et éventuelle appartenance au périmètre NIS2 ou DORA
- Rôle de l’entreprise comme responsable de traitement ou sous-traitant
- Présence d’exigences spécifiques, comme la certification HDS pour certains hébergeurs de données de santé
RGPD, NIS2 et DORA : distinguer les règles applicables
Une fois le périmètre établi, il devient plus facile de distinguer les textes qui protègent les personnes de ceux qui renforcent la résilience des secteurs critiques. Ils peuvent se compléter, mais ne couvrent pas les mêmes risques ni les mêmes organisations.
Protection des données et notification des violations
Selon la CNIL, une violation de données personnelles doit être notifiée à l’autorité dans les 72 heures après sa découverte lorsqu’elle présente un risque pour les personnes. Si le risque est élevé, celles-ci doivent aussi être informées sans retard indu.
Une boîte professionnelle compromise, un ordinateur perdu sans chiffrement ou un rançongiciel peuvent notamment révéler une violation. L’entreprise doit consigner les faits, évaluer les conséquences, protéger les systèmes concernés et décider rapidement des notifications nécessaires.
Les repères suivants aident à distinguer les principaux cadres :
| Cadre | Organisations concernées | Enjeu principal |
|---|---|---|
| RGPD | Organisations traitant des données personnelles | Sécurité et protection des personnes |
| NIS2 | Entités visées dans des secteurs essentiels ou importants | Résilience et gestion des risques cyber |
| DORA | Entités financières et certains prestataires concernés | Résilience opérationnelle numérique |
| HDS | Hébergeurs concernés par les données de santé | Sécurité de l’hébergement de données de santé |
Gouvernance et responsabilité des dirigeants
NIS2 renforce l’implication attendue des organes de direction des entités concernées, tandis que DORA formalise la gestion du risque informatique dans la finance. Selon l’ANSSI, les organisations peuvent s’appuyer sur ses guides et référentiels pour structurer leurs pratiques, sans confondre recommandations et obligations juridiques.
Le dirigeant doit obtenir une vision compréhensible des risques, des incidents et des mesures en retard. Un point régulier entre direction, DSI, RSSI, juridique et métiers permet de relier les décisions de sécurité aux conséquences concrètes pour l’activité.
Mesures techniques de cybersécurité à mettre en place
Les textes définissent des objectifs de sécurité, mais leur application repose sur des protections concrètes et entretenues. Pour une PME comme pour un grand groupe, les accès, les sauvegardes et la détection des incidents forment un socle opérationnel.
Contrôle des accès, chiffrement et sauvegardes
Le contrôle des accès consiste à limiter les droits de chaque compte aux besoins réels de son utilisateur. L’authentification multifacteur est particulièrement importante pour les comptes administrateurs, les accès à distance et les services exposés sur Internet.
Le chiffrement réduit les conséquences d’une perte de support ou d’une interception, à condition que les clés soient correctement protégées. Les sauvegardes doivent être séparées des systèmes courants et leur restauration testée : une copie inutilisable ne permet pas de reprendre l’activité.
Dans la pratique, les mesures prioritaires comprennent :
- Comptes individuels, droits limités et authentification multifacteur
- Chiffrement des postes, des sauvegardes et des échanges sensibles
- Copies de secours isolées et essais réguliers de restauration
- Journalisation des accès et alertes sur les comportements anormaux
Détection des incidents et plan de réponse
La journalisation aide à repérer les connexions inhabituelles et à reconstituer le déroulement d’une attaque. Selon l’ANSSI, des mesures d’hygiène informatique adaptées constituent un socle utile, mais elles doivent être accompagnées de procédures connues et régulièrement vérifiées.
Un plan de réponse précise qui alerter, quels systèmes isoler et comment préserver les éléments utiles à l’enquête. Pour une entreprise fictive de distribution, par exemple, une procédure testée peut aider les équipes à suspendre rapidement un compte compromis sans bloquer tous les magasins.
Un pilotage régulier peut s’appuyer sur les indicateurs suivants :
| Domaine | Contrôle à effectuer | Résultat recherché |
|---|---|---|
| Accès | Revue des comptes et privilèges | Réduction des accès inutiles |
| Sauvegardes | Test de restauration documenté | Reprise vérifiable des données |
| Incidents | Exercice de réponse à une attaque | Rôles et décisions clarifiés |
| Fournisseurs | Évaluation des prestataires critiques | Risques de dépendance mieux maîtrisés |
Fournisseurs, cloud et secteurs sensibles : maîtriser les dépendances
Les protections internes ne suffisent pas lorsque l’activité dépend d’un hébergeur, d’un logiciel en ligne ou d’un prestataire disposant d’accès privilégiés. Les exigences de gestion des risques conduisent donc à examiner aussi la chaîne d’approvisionnement numérique.
Encadrer les prestataires et les services cloud
Une entreprise doit savoir quelles données un fournisseur traite, où elles sont hébergées et comment un incident lui sera signalé. Les contrats peuvent préciser les obligations de sécurité, l’auditabilité, la réversibilité et les délais de notification, en cohérence avec les responsabilités définies par le RGPD.
Le choix d’un cloud doit également tenir compte de la sensibilité des informations et des contraintes juridiques. Pour les systèmes critiques ou les données sensibles, les qualifications et référentiels de l’ANSSI, dont SecNumCloud, peuvent servir de critères d’évaluation lorsque le besoin correspond à leur périmètre.
Avant de retenir un prestataire, l’organisation peut examiner :
- Accès accordés aux équipes externes et modalités de révocation
- Localisation, sauvegarde et conditions de restitution des données
- Procédure de signalement et de traitement des incidents
- Mesures de continuité et preuves de sécurité disponibles
Hébergement de santé et activités critiques
Les données de santé et les informations classifiées exigent des protections renforcées, définies par des cadres spécifiques. Une organisation concernée doit vérifier ses obligations précises, notamment avant de confier l’hébergement ou l’administration de ses systèmes à un tiers.
La conformité ne se résume pas à choisir un fournisseur certifié : les accès, les usages et les responsabilités doivent rester maîtrisés au quotidien. La sensibilisation des employés complète ces contrôles, car une alerte rapidement signalée peut limiter les effets d’un courriel frauduleux ou d’un compte compromis.
Piloter les obligations réglementaires dans la durée
La conformité évolue avec les activités, les systèmes et les prestataires ; elle ne se règle donc pas par un audit ponctuel. Une cartographie actualisée aide à prioriser les mesures, à attribuer les responsabilités et à démontrer les décisions prises.
Documenter les risques et tester les procédures
Un registre des traitements, une analyse des risques et des procédures d’incident donnent aux équipes des repères utilisables. La méthode EBIOS Risk Manager de l’ANSSI peut notamment aider à relier les scénarios de menace aux conséquences métier et aux actions de réduction du risque.
Les exercices révèlent souvent des failles moins visibles qu’une vulnérabilité technique : coordonnées d’urgence obsolètes, sauvegarde jamais restaurée ou décision d’isolement qui n’a pas de responsable désigné. Il est utile de consigner les écarts, leur priorité, leur responsable et leur date de traitement.
Former les équipes et suivre les progrès
La sensibilisation des employés doit être adaptée aux fonctions exercées, des équipes administratives aux administrateurs informatiques. Des rappels pratiques sur le hameçonnage, le partage de fichiers et le signalement rapide rendent les procédures plus faciles à appliquer sous pression.
Une revue périodique réunissant direction, informatique, juridique, achats et métiers permet de vérifier les avancées et de réviser les priorités. Pour une structure aux moyens limités, le meilleur point de départ reste souvent la protection des comptes, la restauration des sauvegardes et un plan de réponse que chacun connaît.
