NIS2 vs. RGPD pour les entreprises tech : différences clés et points de convergence

Le RGPD et la directive NIS2 comptent parmi les réglementations européennes les plus importantes affectant les entreprises technologiques — et elles sont fréquemment confondues, amalgamées ou traitées séparément alors qu'elles devraient être abordées ensemble. Comprendre la différence fondamentale entre ces deux textes, leurs divergences et leurs points de convergence est essentiel pour construire un programme de conformité efficace.

La différence fondamentale

Le RGPD (Règlement 2016/679) protège les données à caractère personnel — leur confidentialité, intégrité et disponibilité, ainsi que les droits des personnes concernées dont les données font l'objet d'un traitement. Toute organisation traitant des données personnelles de ressortissants de l'UE est soumise au RGPD.

La directive NIS2 (Directive 2022/2555, transposée en droit national au plus tard en octobre 2024) protège la sécurité opérationnelle des réseaux et des systèmes d'information — en veillant à ce que les services essentiels restent disponibles et résilients face aux cybermenaces. NIS2 s'applique uniquement aux entités relevant de secteurs spécifiques et dépassant certains seuils de taille.

Les objectifs sont distincts. Le RGPD est fondamentalement axé sur les droits individuels et la gouvernance des données. NIS2 est fondamentalement axé sur la résilience opérationnelle et la continuité sociétale. La même équipe sécurité gère généralement les deux obligations — ce qui justifie une approche unifiée.

Qui est concerné par les deux textes ?

Toute entreprise tech traitant des données personnelles de ressortissants de l'UE est soumise au RGPD. L'application de NIS2 dépend, quant à elle, du secteur d'activité et de la taille de l'entité.

Les entreprises tech les plus susceptibles d'être soumises aux deux textes :

• Les prestataires de services managés (MSP) et les prestataires de services de sécurité managés (MSSP) — explicitement listés à l'annexe II de NIS2 en tant qu'« entités importantes »
• Les fournisseurs de services cloud — listés à l'annexe II de NIS2
• Les exploitants de centres de données — listés à l'annexe II de NIS2
• Les fournisseurs de réseaux de diffusion de contenu — listés à l'annexe II de NIS2
• Les fournisseurs de services DNS, les registres de domaines de premier niveau (TLD), les services d'enregistrement de noms de domaine — listés à l'annexe II de NIS2
• Les places de marché en ligne, les moteurs de recherche en ligne, les plateformes de réseaux sociaux — listés à l'annexe II de NIS2

Les entités moyennes et grandes (≥ 50 salariés ou > 10 M€ de chiffre d'affaires) relevant de ces catégories sont couvertes. Les micro-entreprises et les petites entreprises sont généralement exclues, sauf si elles sont le seul fournisseur d'un service critique pour l'activité sociétale ou économique d'un État membre.

Comparatif : RGPD vs. directive NIS2

| Dimension | RGPD | Directive NIS2 | |-----------|------|----------------| | Objet de la protection | Données à caractère personnel | Réseaux et systèmes d'information | | Champ d'application | Toute organisation traitant des données personnelles de l'UE | Secteurs spécifiques, entités moyennes/grandes uniquement | | Base juridique | Règlement UE (directement applicable) | Directive UE (transposée en droit national) | | Autorité de contrôle | Autorité de protection des données (ex. : CNIL en France) | Autorité NIS nationale (ex. : ANSSI en France, BSI en Allemagne) | | Notification en cas de violation | 72 heures à l'autorité de contrôle | Alerte précoce sous 24 h ; notification sous 72 h au CSIRT national ; rapport final sous 1 mois | | Amende maximale | 20 M€ ou 4 % du chiffre d'affaires mondial annuel | 10 M€ ou 2 % (entités importantes) ; 7 M€ ou 1,4 % (entités essentielles) | | Mesures de sécurité | Art. 32 : fondé sur des principes (« mesures techniques et organisationnelles appropriées ») | Art. 21 : liste prescriptive de 10 catégories de mesures spécifiques |

Notification d'incidents : des obligations parallèles

Pour une entreprise tech à la fois responsable du traitement au sens du RGPD et entité couverte par NIS2, un incident de cybersécurité impliquant des données personnelles déclenche des obligations de notification parallèles :

• RGPD Art. 33 : notification à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles (si elle est susceptible d'engendrer un risque pour les personnes physiques)
• NIS2 Art. 23 : alerte précoce au CSIRT national ou à l'autorité compétente dans les 24 heures ; notification de l'incident dans les 72 heures ; rapport final dans 1 mois

Si une attaque par rançongiciel compromet simultanément des systèmes et des données personnelles, les deux délais commencent à courir en parallèle. Les processus de réponse aux incidents doivent être conçus pour gérer simultanément ces deux flux de notification, avec des voies d'escalade appropriées vers l'autorité de protection des données et vers l'autorité NIS nationale.

Mesures de sécurité : NIS2 Art. 21 va plus loin que RGPD Art. 32

Le RGPD Art. 32 exige des « mesures techniques et organisationnelles appropriées » — une norme fondée sur des principes, calibrée au niveau de risque. NIS2 Art. 21 prescrit 10 catégories de mesures obligatoires :

1. Politiques d'analyse des risques et de sécurité des systèmes d'information
2. Gestion des incidents
3. Continuité des activités et gestion de crise
4. Sécurité de la chaîne d'approvisionnement (sécurité dans les relations avec les fournisseurs et prestataires de services)
5. Sécurité lors de l'acquisition, du développement et de la maintenance des réseaux et des systèmes d'information — y compris la gestion et la divulgation des vulnérabilités
6. Politiques et procédures pour évaluer l'efficacité des mesures de cybersécurité
7. Pratiques de base en matière de cyber-hygiène et formation à la cybersécurité
8. Politiques relatives à l'utilisation de la cryptographie et du chiffrement
9. Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs
10. Utilisation de l'authentification multifactorielle et des communications sécurisées

Un programme de sécurité qui satisfait pleinement NIS2 Art. 21 répond en grande partie aux exigences du RGPD Art. 32 pour les mêmes systèmes — les exigences NIS2 étant plus prescriptives et exigeantes. Toutefois, le RGPD Art. 32 couvre également la sécurité spécifique des données personnelles, notamment la pseudonymisation, les tests continus de confidentialité et les procédures de rétablissement de la disponibilité après un incident. Ces exigences ne sont pas entièrement couvertes par NIS2.

Opportunités de conformité combinée

Lorsque les deux textes s'appliquent, les éléments suivants peuvent être traités conjointement :

• Procédures de réponse aux incidents — un seul manuel opérationnel avec une annexe de notification RGPD (autorité de contrôle, 72 h) et une annexe de notification NIS2 (CSIRT, 24 h/72 h/1 mois)
• Documentation de sécurité — une bibliothèque unifiée de politiques de sécurité de l'information faisant référence à la fois aux exigences de l'Art. 32 RGPD et de l'Art. 21 NIS2
• Gestion des risques fournisseurs — le RGPD exige des contrats de traitement des données avec les sous-traitants (Art. 28) ; NIS2 exige des mesures de sécurité de la chaîne d'approvisionnement (Art. 21(3)(d)). Une évaluation unifiée de la sécurité des fournisseurs couvre les deux exigences
• Formation — formation à la cyber-hygiène (NIS2 Art. 21(2)(g)) combinée à la formation au RGPD pour le personnel
• Audit et révision — les révisions annuelles de l'efficacité de la sécurité satisfont l'exigence NIS2 de politiques et procédures d'évaluation de l'efficacité, et constituent des preuves de la révision continue requise par le RGPD Art. 32

Tableau pratique : ce qui s'applique et ce qu'il faut prioriser

| Type d'entreprise | RGPD | NIS2 | Actions prioritaires | |-------------------|------|------|----------------------| | Startup SaaS, < 50 salariés, pas de données sensibles | Oui | Probablement pas encore | RGPD : registre des traitements, bases légales, politique de confidentialité, revue de sécurité Art. 32 | | Fournisseur d'infrastructure cloud, 100 salariés | Oui | Oui (Annexe II) | Les deux : mettre en œuvre les mesures Art. 21 ; construire un processus de notification double ; inscription auprès de l'autorité de contrôle et du CSIRT | | Prestataire de services de paiement, > 250 salariés | Oui | Possible (secteur financier — vérifier le chevauchement NIS2/DORA) | RGPD + évaluation de l'applicabilité de DORA ; si DORA s'applique, il constitue la lex specialis pour les risques TIC | | Éditeur de logiciels pour le secteur de la santé, 75 salariés | Oui | Oui (si secteur de la santé, entité essentielle) | Les deux : prioriser la sécurité de la chaîne d'approvisionnement Art. 21 ; AIPD RGPD pour les données de santé ; responsabilité de l'organe de direction selon NIS2 |

---

Dernière mise à jour : avril 2026.

Foire aux questions

Un seul incident peut-il déclencher des obligations de notification au titre de NIS2 et du RGPD ?

Oui, et c'est fréquent pour les entreprises tech. Une attaque par rançongiciel qui chiffre des systèmes et exfiltre des données personnelles déclenche l'article 23 de NIS2 (alerte précoce au CSIRT national dans les 24 heures, notification de l'incident dans les 72 heures) et l'article 33 du RGPD (notification à l'autorité de contrôle dans les 72 heures si la violation fait peser un risque sur les personnes). Les deux délais commencent à courir au moment de la prise de connaissance. Les notifications sont adressées à des autorités différentes — le CSIRT national ou l'autorité NIS compétente pour NIS2, et l'autorité nationale de protection des données pour le RGPD — et doivent être préparées en parallèle avec des exigences de contenu distinctes.

La documentation de sécurité NIS2 est-elle suffisante pour satisfaire l'article 32 du RGPD ?

Un programme de sécurité qui met pleinement en œuvre les dix catégories de mesures de l'article 21 de NIS2 répondra en grande partie aux exigences de l'article 32 du RGPD pour les mêmes systèmes, NIS2 étant plus prescriptif et exigeant. Toutefois, l'article 32 du RGPD vise spécifiquement la protection des données personnelles — il requiert la pseudonymisation le cas échéant, des tests continus de la confidentialité, de l'intégrité et de la disponibilité des systèmes de traitement, ainsi que des procédures de rétablissement de l'accès aux données personnelles après un incident. Ces exigences spécifiques aux données personnelles ne sont pas entièrement couvertes par NIS2 et doivent être traitées séparément dans votre documentation de sécurité RGPD.

NIS2 et le RGPD ont-ils les mêmes seuils de sanctions ?

Non. Les amendes RGPD peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel pour les infractions les plus graves, selon le montant le plus élevé. Les amendes NIS2 sont inférieures : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités importantes, et jusqu'à 7 millions d'euros ou 1,4 % pour les entités essentielles. Les approches de mise en œuvre diffèrent également : les amendes RGPD sont prononcées par les autorités de protection des données sur la base d'enquêtes relatives à des manquements, tandis que les sanctions NIS2 sont émises par les autorités NIS nationales et peuvent inclure des injonctions à mettre en œuvre des mesures de sécurité spécifiques, des interdictions temporaires d'exercer des fonctions de direction et la divulgation publique des manquements.

Sources

• Directive (UE) 2022/2555 — Directive NIS2 — Texte intégral de NIS2, incluant l'article 21 (mesures de sécurité), l'article 23 (notification des incidents) et l'annexe II (catégories d'entités couvertes).
• Règlement (UE) 2016/679 — Règlement général sur la protection des données (RGPD) — Texte intégral du RGPD, incluant l'article 32 (sécurité du traitement) et l'article 33 (notification d'une violation à l'autorité de contrôle).
• ENISA — Guide de mise en œuvre de NIS2 pour les opérateurs — Orientations de l'ENISA sur la transposition des obligations NIS2 et la mise en œuvre des catégories de mesures de sécurité de l'article 21.
• Commission européenne — Aperçu de la directive NIS2 et suivi de la transposition nationale — Vue d'ensemble de la Commission sur le champ d'application de NIS2, l'état de la transposition nationale et les principales obligations pour les entités couvertes.

Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique. Consultez un conseiller juridique qualifié avant de prendre des décisions en matière de conformité.