NIS2 vs RGPD : quelles différences ?

La directive NIS2 et le RGPD sont deux piliers majeurs du cadre réglementaire européen en matière de sécurité numérique et de protection des données. Pour de nombreuses entreprises, et particulièrement les PME, ces deux réglementations peuvent sembler se chevaucher, voire se confondre. Pourtant, bien qu'elles partagent des objectifs communs de sécurité, elles ont des périmètres, des exigences et des mécanismes de mise en œuvre distincts. Cet article propose une analyse comparative approfondie pour vous aider à comprendre les différences et les complémentarités entre NIS2 et le RGPD, et à gérer efficacement les deux réglementations.

1. Origines et objectifs : deux textes, deux visions

1.1. Le RGPD : protéger les données personnelles

Le Règlement Général sur la Protection des Données (RGPD), adopté en 2016 et applicable depuis le 25 mai 2018, est un règlement européen qui vise à protéger les données personnelles des citoyens de l'Union européenne. Son objectif principal est de garantir le droit fondamental à la vie privée et à la protection des données à caractère personnel, consacré par la Charte des droits fondamentaux de l'UE (article 8).

Le RGPD encadre la collecte, le traitement, le stockage et le partage des données personnelles. Il s'applique à toute organisation, quelle que soit sa taille ou son secteur d'activité, dès lors qu'elle traite des données personnelles de résidents européens. Le RGPD est centré sur l'individu et ses droits : droit d'accès, de rectification, d'effacement, de portabilité, d'opposition, etc.

1.2. NIS2 : sécuriser les réseaux et systèmes d'information

La directive NIS2, adoptée en 2022, est une directive européenne qui vise à renforcer la cybersécurité à travers l'Union européenne. Son objectif est d'assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information pour les entités opérant dans des secteurs critiques ou importants.

Contrairement au RGPD qui se concentre sur les données personnelles, NIS2 couvre la sécurité de l'ensemble des systèmes d'information, qu'ils traitent des données personnelles ou non. NIS2 vise à protéger les infrastructures numériques critiques contre les cyberattaques et à garantir la continuité des services essentiels pour l'économie et la société européennes.

En résumé : Le RGPD protège les données des personnes. NIS2 protège les systèmes et les réseaux. Les deux contribuent à la sécurité numérique, mais sous des angles différents.

2. Périmètre d'application : qui est concerné ?

2.1. Le périmètre du RGPD

Le RGPD a un périmètre d'application extrêmement large. Il s'applique à toute organisation, publique ou privée, quelle que soit sa taille, dès lors qu'elle traite des données personnelles de résidents de l'UE. Cela inclut les entreprises établies dans l'UE ainsi que les entreprises hors UE qui offrent des biens ou services aux résidents européens ou qui surveillent le comportement de personnes au sein de l'UE.

En pratique, quasiment toutes les entreprises sont concernées par le RGPD, car elles traitent inévitablement des données personnelles (données des employés, des clients, des prospects, etc.). Il n'y a pas de critère de taille ou de secteur d'activité pour l'applicabilité du RGPD : une micro-entreprise de 2 salariés est aussi concernée qu'une multinationale de 100 000 employés.

2.2. Le périmètre de NIS2

Le périmètre de NIS2 est plus ciblé. La directive s'applique aux entités opérant dans des secteurs spécifiques, classés en secteurs « hautement critiques » (énergie, transports, banque, santé, eau, infrastructure numérique, administration publique, espace) et secteurs « critiques » (services postaux, gestion des déchets, chimie, alimentaire, fabrication d'équipements, services numériques, recherche).

De plus, NIS2 utilise des critères de taille : en règle générale, seules les entreprises de taille moyenne et grande (plus de 50 salariés ou CA supérieur à 10 M€) des secteurs concernés sont couvertes, avec des exceptions pour certaines entités critiques qui sont couvertes quelle que soit leur taille.

3. Les exigences : convergences et divergences

3.1. Les mesures de sécurité

Les deux réglementations exigent la mise en place de mesures de sécurité appropriées, mais avec des approches différentes. Le RGPD, dans son article 32, impose des « mesures techniques et organisationnelles appropriées » pour assurer un niveau de sécurité adapté au risque lié au traitement des données personnelles. Les mesures citées incluent la pseudonymisation et le chiffrement des données, les moyens d'assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité de rétablir la disponibilité des données en cas d'incident et une procédure de test et d'évaluation de l'efficacité des mesures.

NIS2, dans son article 21, impose des mesures de gestion des risques de cybersécurité plus détaillées et structurées, couvrant une dizaine de domaines spécifiques : politique de sécurité, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, sécurité dans le développement des systèmes, évaluation de l'efficacité des mesures, cyber-hygiène et formation, cryptographie, contrôle d'accès et authentification multifacteur.

La convergence est notable : de nombreuses mesures de sécurité sont communes aux deux réglementations. Une entreprise qui met en place un programme de cybersécurité robuste répondra en grande partie aux exigences des deux textes.

3.2. La notification des incidents

La notification des incidents est une exigence commune aux deux réglementations, mais les modalités diffèrent significativement. Le RGPD impose la notification des violations de données personnelles à la CNIL dans les 72 heures. Les personnes concernées doivent être informées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés. Seuls les incidents impliquant des données personnelles sont concernés.

NIS2 impose un processus de notification en trois temps : alerte précoce dans les 24 heures, notification détaillée dans les 72 heures et rapport final dans un mois. La notification est faite au CSIRT national (CERT-FR en France) ou à l'ANSSI. Tous les incidents de cybersécurité significatifs sont concernés, qu'ils impliquent ou non des données personnelles.

Pour les entreprises soumises aux deux réglementations, un même incident peut donc nécessiter une double notification : à la CNIL au titre du RGPD (si des données personnelles sont impliquées) et à l'ANSSI au titre de NIS2 (si l'incident est significatif en termes de cybersécurité). Il est essentiel de mettre en place des procédures qui couvrent ces deux obligations simultanément.

3.3. La gouvernance et la responsabilité

Le RGPD met l'accent sur la désignation d'un Délégué à la Protection des Données (DPO), obligatoire pour certaines catégories d'organisations. Le DPO est un expert indépendant chargé de conseiller l'organisation et de veiller au respect du RGPD. Le RGPD ne prévoit pas de responsabilité personnelle directe des dirigeants, bien que des sanctions pénales existent dans certaines législations nationales.

NIS2 va plus loin en matière de responsabilité des dirigeants. La directive prévoit explicitement que les organes de direction doivent approuver les mesures de cybersécurité, superviser leur mise en œuvre et peuvent être tenus personnellement responsables en cas de manquement. Les dirigeants sont également tenus de suivre des formations en cybersécurité. Cette responsabilisation directe des dirigeants est l'une des innovations majeures de NIS2 par rapport au RGPD.

3.4. La chaîne d'approvisionnement

Le RGPD encadre la relation avec les sous-traitants au sens du traitement des données personnelles. L'article 28 impose des obligations contractuelles spécifiques et le responsable de traitement doit s'assurer que ses sous-traitants présentent des garanties suffisantes. Cependant, l'obligation se limite aux traitements de données personnelles.

NIS2 étend cette logique à l'ensemble de la chaîne d'approvisionnement en matière de cybersécurité. Les entités couvertes doivent évaluer et gérer les risques liés à tous leurs fournisseurs et prestataires, y compris ceux qui ne traitent pas de données personnelles. Cette approche reflète la réalité des cyberattaques modernes, qui exploitent souvent les maillons faibles de la chaîne d'approvisionnement pour atteindre leurs cibles principales.

4. Les sanctions : deux régimes distincts

4.1. Les sanctions RGPD

Le RGPD prévoit un régime de sanctions à deux niveaux. Pour les infractions les moins graves (manquements aux obligations du responsable de traitement ou du sous-traitant), les amendes peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour les infractions les plus graves (violation des principes fondamentaux, des droits des personnes ou des règles de transfert), les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

4.2. Les sanctions NIS2

NIS2 distingue les sanctions selon la catégorie d'entité. Les entités essentielles s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % du CA mondial. Les entités importantes s'exposent à des amendes pouvant atteindre 7 millions d'euros ou 1,4 % du CA mondial. NIS2 prévoit également des mesures de supervision plus intrusives que le RGPD, incluant des audits, des contrôles sur site et la possibilité de suspendre des certifications.

4.3. Le cumul des sanctions

Un point crucial pour les entreprises soumises aux deux réglementations : les sanctions RGPD et NIS2 ne sont pas mutuellement exclusives. Un même incident de cybersécurité impliquant des données personnelles pourrait théoriquement entraîner des sanctions au titre des deux réglementations. Toutefois, NIS2 prévoit un mécanisme de coordination : en cas de violation de données personnelles, si l'autorité NIS2 (ANSSI) impose une sanction, la CNIL doit en être informée et la sanction globale ne devrait pas être disproportionnée.

5. Comment gérer les deux réglementations simultanément ?

5.1. L'approche intégrée

Pour les entreprises soumises aux deux réglementations, la meilleure approche est de les traiter de manière intégrée plutôt que cloisonnée. Les synergies sont nombreuses : un système de management de la sécurité de l'information (SMSI) bien conçu peut répondre simultanément aux exigences des deux textes. La norme ISO 27001, par exemple, fournit un cadre qui couvre une grande partie des exigences communes.

Concrètement, l'approche intégrée consiste à unifier la gouvernance en désignant un responsable unique pour la conformité cyber (qui peut être le DPO avec un mandat élargi ou un RSSI travaillant en étroite collaboration avec le DPO), mutualiser l'analyse de risques en réalisant une analyse de risques unique couvrant à la fois les risques pour les données personnelles (RGPD) et les risques pour les systèmes d'information (NIS2), harmoniser les politiques et procédures en créant un corpus documentaire unique qui répond aux exigences des deux réglementations, unifier le processus de gestion des incidents en mettant en place un processus de gestion et de notification des incidents qui couvre à la fois les obligations RGPD et NIS2, et mutualiser les audits et évaluations en réalisant des audits combinés qui évaluent la conformité aux deux réglementations.

5.2. Les priorités pour les PME

Pour les PME confrontées aux deux réglementations, la priorisation est essentielle. Voici les étapes recommandées par ordre de priorité. Premièrement, cartographier vos obligations en identifiant précisément à quelles exigences NIS2 et RGPD vous êtes soumis. Deuxièmement, mettre en place les fondamentaux de sécurité qui répondent aux exigences communes : contrôle d'accès, chiffrement, sauvegardes, sensibilisation. Troisièmement, structurer la gestion des incidents avec un processus unifié couvrant les deux notifications. Quatrièmement, formaliser la documentation en rédigeant les politiques et procédures requises. Cinquièmement, adresser les exigences spécifiques propres à chaque réglementation (DPO, registre des traitements pour le RGPD ; sécurité de la chaîne d'approvisionnement, formation des dirigeants pour NIS2).

5.3. Les outils et référentiels communs

Plusieurs référentiels et standards peuvent servir de base commune pour la conformité RGPD et NIS2. L'ISO 27001/27002 fournit un cadre complet pour la sécurité de l'information. L'ISO 27701 est une extension de l'ISO 27001 spécifiquement dédiée à la protection des données personnelles. Le framework NIST CSF offre un cadre de cybersécurité largement reconnu. Le guide d'hygiène informatique de l'ANSSI définit les mesures de sécurité fondamentales. Le référentiel de la CNIL pour la sécurité des données personnelles fournit des recommandations pratiques adaptées.

En utilisant ces référentiels comme base, les PME peuvent construire un programme de conformité qui répond simultanément aux deux réglementations tout en optimisant leurs ressources.

6. Perspectives : vers une convergence réglementaire ?

La multiplication des réglementations européennes en matière de numérique (RGPD, NIS2, DORA, Cyber Resilience Act, AI Act) pose la question de leur cohérence et de leur convergence à terme. On observe déjà des signaux en faveur d'une meilleure articulation : le mécanisme de coordination des sanctions entre NIS2 et RGPD, la volonté de créer des cadres d'évaluation communs, les références croisées entre les textes et le développement de standards harmonisés.

Pour les entreprises, cette évolution vers plus de cohérence est une bonne nouvelle. Elle devrait à terme faciliter la mise en conformité et réduire la charge administrative liée à la gestion de multiples réglementations.

7. L'accompagnement CyberConform

Chez CyberConform, nous proposons un accompagnement intégré NIS2-RGPD spécialement conçu pour les PME. Notre approche permet de traiter les deux réglementations de manière coordonnée, en capitalisant sur les synergies et en évitant les doublons. Nos experts maîtrisent les exigences de chaque texte et vous aident à construire un programme de conformité efficace, proportionné et durable.

Que vous soyez en début de démarche ou que vous cherchiez à optimiser votre programme de conformité existant, nos consultants vous accompagnent avec pragmatisme et expertise. Contactez-nous pour un diagnostic gratuit de votre situation au regard de NIS2 et du RGPD.