Conformité réglementaire en cybersécurité : quel texte s'applique
à vous

Le RGPD est applicable depuis le 25 mai 2018. Le règlement DORA depuis le 17 janvier 2025. Le Cyber Resilience Act déclenche ses premières obligations de signalement le 11 septembre 2026 et devient pleinement applicable le 11 décembre 2027. La directive NIS2, elle, aurait dû être transposée en droit français au plus tard le 17 octobre 2024, et ne l'est toujours pas. En moins de dix ans, la sécurité informatique est passée du rang de bonne pratique à celui d'empilement réglementaire, et l'empilement s'est fait sans que personne ne remette les textes dans un ordre lisible.

Le résultat se voit dans n'importe quel comité de direction d'ETI : on cite six acronymes, on n'en maîtrise aucun périmètre, et on finit par confondre une directive européenne avec un label commercial. Or ces textes ne se choisissent pas, ils se cumulent, et deux questions suffisent à les trier : ce que vous êtes, et ce que vous traitez. Toute la conformité réglementaire en cybersécurité tient dans le croisement de ces deux axes.

Deux axes, pas dix acronymes

Le premier axe est celui de votre nature d'organisation : votre secteur, votre taille, et votre position dans la chaîne de sous-traitance d'une entité elle-même régulée. C'est lui qui déclenche NIS2, DORA et le dispositif des activités d'importance vitale. Le second axe est celui de la nature des données ou des produits que vous manipulez : données personnelles, données de santé, produits vendus avec des composants logiciels. C'est lui qui déclenche le RGPD, la certification HDS et le Cyber Resilience Act.

Un éditeur SaaS de cinquante personnes qui vend un outil de gestion à des cliniques coche déjà trois cases sur les six : le RGPD parce qu'il traite des données personnelles, le HDS s'il héberge lui-même les données de santé de ses clients, et NIS2 par ricochet contractuel si l'un de ces clients est une entité régulée qui lui répercute ses exigences. Aucun de ces trois textes ne s'annule ; ils se superposent, avec trois autorités différentes en face.

RGPD : le seul texte que personne n'évite

Le règlement (UE) 2016/679 du 27 avril 2016, applicable depuis le 25 mai 2018, s'impose à toute organisation qui traite des données à caractère personnel. Il n'a ni seuil de taille, ni liste sectorielle : une association de trois bénévoles avec un fichier d'adhérents y est soumise au même titre qu'un groupe coté. C'est ce qui en fait le socle de toute discussion de conformité, et aussi ce qui explique qu'on l'oublie, à force d'évidence.

Sur le volet qui nous intéresse, le règlement demande des mesures techniques et organisationnelles appropriées au risque, et il pose un délai de notification que beaucoup de plans de crise ne tiendraient pas : en cas de violation de données, le responsable de traitement informe l'autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Les sanctions se lisent sur deux paliers à l'article 83 : 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations de sécurité, 20 M€ ou 4 % pour les manquements aux principes du traitement et aux droits des personnes, le montant le plus élevé étant retenu. L'autorité, en France, est la CNIL, désignée par l'article 8 de la loi du 6 janvier 1978.

NIS2 : par secteur, par taille, et toujours pas transposée

La directive (UE) 2022/2555 du 14 décembre 2022, publiée au Journal officiel de l'Union le 27 décembre 2022 et entrée en vigueur le 16 janvier 2023, élargit à dix-huit secteurs le périmètre de l'ancienne directive NIS. Deux critères se croisent : relever d'un secteur listé aux annexes I ou II, puis atteindre la taille d'une moyenne entreprise, soit au moins 50 salariés ou plus de 10 M€ de chiffre d'affaires ou de bilan. Le croisement range l'organisation en entité essentielle ou entité importante, ce qui change le mode de supervision et le plafond des sanctions. Les annexes, les dix mesures de l'article 21, les montants et le régime de notification sont détaillés dans notre guide de la directive NIS2.

Reste le point que la plupart des synthèses commerciales escamotent. La directive devait être transposée au plus tard le 17 octobre 2024, pour une application des dispositions nationales au 18. En France, le véhicule est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024 et adopté par le Sénat en première lecture le 12 mars 2025. Depuis, le texte est en attente à l'Assemblée nationale, où le dernier acte enregistré est le dépôt du texte de commission le 10 septembre 2025. Il n'a été ni adopté, ni promulgué.

L'ANSSI n'a pas attendu le législateur pour outiller les entités : elle a diffusé le 17 mars 2026 le Référentiel Cyber France (ReCyF), explicitement présenté comme un document de travail. Le document n'a donc rien de contraignant, mais il reste la meilleure approximation disponible de ce que le régulateur attendra. Autant traiter le retard français comme une fenêtre pour préparer sans être encore chronométré, puisque l'essentiel du travail utile, savoir ce qu'on expose et le corriger, n'a jamais eu besoin d'un décret pour commencer. Les PME qui se demandent si elles sont visées, directement ou par leur donneur d'ordre, trouveront la lecture des seuils dans notre article NIS2 et PME.

DORA : la finance, et surtout ses prestataires informatiques

Le règlement (UE) 2022/2554, dit DORA, est applicable depuis le 17 janvier 2025. Étant un règlement, il n'attend aucune loi de transposition : il produit ses effets directement, ce qui explique l'écart de rythme saisissant avec NIS2. Son article 2 énumère une vingtaine de catégories d'entités financières, des établissements de crédit aux sociétés de gestion en passant par les prestataires de services sur crypto-actifs.

Ce que les éditeurs et infogéreurs ratent régulièrement, c'est le point u) de cette même liste : les prestataires tiers de services TIC entrent dans le champ du règlement sans être des entités financières. Autrement dit, une société de développement qui héberge la brique de scoring d'un assureur subit DORA par contrat, via les clauses obligatoires que son client doit lui imposer. Les plus structurants d'entre eux peuvent même être désignés prestataires tiers critiques par les autorités européennes de surveillance au titre de l'article 31, ce qui les place sous une supervision directe, avec un superviseur principal désigné. Le régime complet et ses cinq piliers sont détaillés dans notre guide du règlement DORA.

Côté test, DORA est le seul de ces textes à chiffrer une fréquence. L'article 24 impose un programme de tests de résilience opérationnelle numérique portant au moins une fois par an sur les systèmes soutenant des fonctions critiques ou importantes, les microentreprises exceptées. L'article 26 y ajoute un test avancé fondé sur la menace, le TLPT, à mener au moins tous les trois ans. Une nuance vaut d'être répétée, parce qu'elle est massivement déformée : le TLPT ne concerne que les entités identifiées par l'autorité compétente, pas l'ensemble du secteur financier. Le déroulé de cet exercice est décrit dans DORA et ses tests d'intrusion TLPT. En France, les autorités compétentes sont l'ACPR et l'AMF selon le statut de l'entité.

Cyber Resilience Act : ce que vous vendez, pas ce que vous exploitez

Le règlement (UE) 2024/2847 du 23 octobre 2024 change d'objet par rapport aux précédents. Il ne régule pas la sécurité de votre système d'information, mais celle des produits comportant des éléments numériques que vous mettez sur le marché européen : un logiciel, un objet connecté, et jusqu'aux solutions de traitement de données à distance associées. Un éditeur qui vend une application est donc concerné en tant que fabricant, quand bien même il ne relèverait ni de NIS2, ni de DORA. La conformité s'y matérialise par un marquage CE, sous la surveillance d'autorités de surveillance du marché.

Le calendrier de l'article 71 est en trois temps, et c'est la deuxième date qui mord :

• 11 juin 2026 : entrée en application des articles 35 à 51, qui organisent les autorités notifiantes et les organismes d'évaluation de la conformité. C'est de la plomberie institutionnelle, sans effet direct pour un fabricant.
• 11 septembre 2026 : entrée en application de l'article 14, le signalement des vulnérabilités activement exploitées et des incidents graves, avec une alerte précoce sous 24 heures et une notification sous 72 heures au CSIRT coordinateur et à l'ENISA. Il s'applique à tous les produits dans le champ, y compris ceux déjà sur le marché.
• 11 décembre 2027 : application pleine, exigences essentielles de cybersécurité comprises. Les produits mis sur le marché avant cette date n'y basculent qu'en cas de modification substantielle.

La conséquence opérationnelle est brutale pour un éditeur : à partir de l'automne 2026, il faut être capable de savoir en 24 heures quelles versions de son produit embarquent le composant vulnérable et où elles sont déployées. On détaille les obligations, les catégories de produits importants et les sanctions dans notre guide du Cyber Resilience Act. En France, la surveillance du marché revient à l'ANFR, l'ANSSI est autorité notifiante, et le CERT-FR est le CSIRT destinataire des signalements.

HDS : dès qu'on héberge de la donnée de santé pour un tiers

L'article L. 1111-8 du code de la santé publique soumet à un certificat de conformité toute personne qui héberge des données de santé à caractère personnel pour le compte de tiers. Ces quatre derniers mots font tout le périmètre : un établissement de santé qui héberge son propre système d'information n'est pas soumis à certification, un éditeur SaaS qui héberge les dossiers de ses clients l'est. L'article R. 1111-9 découpe l'activité en six périmètres, des sites physiques à la sauvegarde, regroupés en deux certificats : hébergeur d'infrastructure physique et hébergeur infogéreur.

Le référentiel a changé de version, et cette bascule a un effet daté qu'il faut avoir en tête lors d'un achat. Le référentiel HDS v2 a été approuvé par arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024 et applicable aux demandes de certificat depuis le 16 novembre 2024. La période de transition des hébergeurs encore certifiés en v1.1 s'est close le 16 mai 2026 : depuis cette date, un certificat HDS valide atteste exclusivement de la conformité v2, laquelle ajoute une exigence de stockage dans l'Espace économique européen et une obligation d'informer le client des accès distants depuis un pays tiers. Le certificat est délivré par un organisme accrédité, pour trois ans, avec audit de surveillance annuel. Héberger sans certificat expose à trois ans d'emprisonnement et 45 000 € d'amende (article L. 1115-1).

LPM et SAIV : le régime dont on ignore jusqu'à la liste

C'est le plus ancien des régimes cités ici, et le plus discret. Le dispositif de sécurité des activités d'importance vitale repose sur l'article L. 1332-1 du code de la défense et le décret du 23 février 2006 : il vise les opérateurs d'importance vitale, publics ou privés, dont l'indisponibilité menacerait le potentiel économique, la sécurité ou la capacité de survie de la nation. Le SGDSN annonce publiquement plus de 300 opérateurs répartis sur douze secteurs et près de 1 500 points d'importance vitale, mais la liste nominative n'est pas publique : elle est couverte par le secret de la défense nationale. On ne devient pas OIV en le découvrant sur un site, on l'apprend en étant désigné.

Le volet cyber vient de la loi de programmation militaire de 2013 (loi n° 2013-1168 du 18 décembre 2013), dont l'article 22 a créé les articles L. 1332-6-1 et suivants. Le Premier ministre y fixe les règles de sécurité applicables aux systèmes d'information d'importance vitale, peut imposer des dispositifs de détection qualifiés, et les contrôles sont menés par l'ANSSI, des services de l'État ou des prestataires qualifiés, aux frais de l'opérateur. Le manquement est puni de 150 000 € d'amende. La loi de programmation militaire 2024-2030 a étendu la logique au-delà des OIV : son article 66 crée une obligation, pour tout éditeur de logiciel, d'informer l'ANSSI des vulnérabilités significatives et des incidents affectant ses produits, puis d'en informer les utilisateurs, faute de quoi l'agence peut rendre la vulnérabilité publique elle-même.

Un dernier texte français mérite sa place ici, parce qu'il ne relève ni du périmètre ni du secteur mais du portefeuille : la loi LOPMI du 24 janvier 2023 subordonne l'indemnisation d'un sinistre cyber par une assurance au dépôt de plainte dans les 72 heures suivant la connaissance de l'atteinte, pour les personnes morales et les professionnels. La règle est détaillée, avec ses pièges de décompte, dans notre article sur la loi LOPMI et la règle des 72 heures.

Ce qui n'est pas une réglementation : ISO 27001, SecNumCloud, PASSI

La moitié des confusions observées dans les appels d'offres vient de là. Une réglementation s'impose parce qu'on entre dans son périmètre, et une autorité sanctionne son non-respect. Un référentiel se choisit, et un organisme en reconnaît le respect. Les trois noms qui reviennent le plus souvent dans la colonne "obligations" d'un tableau de conformité relèvent, en règle générale, de la colonne d'à côté.

ISO/IEC 27001

Norme internationale, version 2022 en vigueur, la transition depuis l'édition 2013 s'étant achevée le 31 octobre 2025. Elle certifie un système de management de la sécurité de l'information sur un périmètre déclaré par l'organisme lui-même, ce qui est la limite la plus mal comprise du certificat : deux entreprises certifiées peuvent avoir des couvertures sans commune mesure. L'ISO ne certifie personne ; le certificat est délivré par un organisme de certification tiers. Aucun texte français n'impose ISO 27001 de façon générale.

SecNumCloud

Qualification délivrée par l'ANSSI au titre de l'article 14 du décret n° 2015-350 du 27 mars 2015, sur la base d'un référentiel en version 3.2, que l'arrêté du 12 août 2026 a formellement approuvé. Pour une entreprise privée, c'est un critère d'achat, rendu contraignant pour les données d'une sensibilité particulière traitées par l'État et ses opérateurs, par le décret n° 2026-272 du 14 avril 2026 pris en application de la loi SREN. Ce que la qualification couvre exactement, et ce qu'elle ne couvre pas, fait l'objet de notre article sur la qualification SecNumCloud.

PASSI

Qualification ANSSI des prestataires d'audit de la sécurité des systèmes d'information, référentiel en version 2.2 depuis le 1er août 2024, avec deux niveaux, substantiel et élevé, et cinq activités dont le test d'intrusion. Elle devient obligatoire quand un texte l'impose, typiquement pour les contrôles des systèmes d'information d'importance vitale ou dans certains marchés publics. Hors de ces cas, elle reste un signal de sérieux, et l'essentiel des PME, éditeurs et sites marchands n'y est soumis par aucun texte.

Le tableau, et la colonne qu'il faut lire en dernier

Voici les six régimes côte à côte, plus la règle assurantielle de la LOPMI qui s'y greffe. Il vaut pour trier, pas pour trancher : chaque ligne résume en une phrase des dizaines d'articles, et le passage d'une case cochée à une obligation opposable demande une qualification juridique de votre situation.

Lisez maintenant la troisième colonne de haut en bas, et une régularité saute aux yeux. Aucun de ces textes ne se contente d'exiger une mesure : tous exigent aussi la capacité de démontrer quelque chose. Le RGPD appelle ça la responsabilité du responsable de traitement, NIS2 le formule à l'article 21.2 (f) comme l'évaluation de l'efficacité des mesures, DORA en fait un programme de tests chiffré, le CRA une obligation de détecter et signaler ce qui est exploité, le HDS un audit de surveillance annuel. Les libellés diffèrent, l'attente est la même.

Ce que tous ces textes demandent, et que presque personne ne fournit

C'est là que les dossiers de conformité se ressemblent tous, et échouent au même endroit. La partie documentaire se produit sans difficulté majeure : une politique de sécurité se rédige, un registre se tient, un plan de continuité s'écrit, un contrat de sous-traitance se fait relire. La partie qui coince est celle qui ne peut pas s'écrire, seulement se mesurer : avoir essayé de casser sa propre défense, et savoir ce qui s'est passé.

Cette chaîne a une condition d'entrée qu'on saute presque toujours : on ne teste que ce qu'on a inventorié. Un périmètre de test calé sur un tableur d'actifs vieux de deux ans produit une preuve pour les systèmes que vous connaissiez déjà, et aucune pour le domaine arrivé avec le rachat d'une filiale ou pour la console d'administration qu'un prestataire a exposée pour se simplifier la vie, c'est-à-dire précisément ce qui sert d'entrée. Une analyse de risque structurée, conduite par exemple avec la méthode EBIOS Risk Manager, sert à décider quoi tester en priorité ; elle ne dit pas si ça tient.

C'est le périmètre exact sur lequel own2pwn intervient, et il vaut mieux le dire clairement : nous ne faisons pas de conseil en conformité, nous ne rédigeons pas votre gouvernance et nous ne délivrons aucune attestation. Ce que nous produisons, c'est la pièce technique du dossier, celle qui établit que les mesures déployées résistent. Le déroulé, la matrice de couverture de l'article 21.2 et les livrables sont décrits dans notre article sur l' audit NIS2 et sa preuve d'efficacité, et le cadrage de la prestation elle-même sur la page audit NIS2, volet technique. Ce que cette pièce ne fera jamais, c'est vous rendre "conforme" : elle vous rend démontrable sur son périmètre, ce qui n'est pas la même promesse et vaut nettement mieux qu'une garantie que personne ne peut tenir.

Questions fréquentes sur la conformité réglementaire en cybersécurité

À retenir

• Deux axes suffisent à trier : ce que vous êtes (secteur, taille, position de sous-traitant) déclenche NIS2, DORA et le dispositif SAIV ; ce que vous traitez ou vendez déclenche le RGPD, le HDS et le Cyber Resilience Act.
• Ces textes se cumulent, ils ne se choisissent pas. Un éditeur SaaS de taille moyenne relève couramment de trois régimes, avec trois autorités distinctes en face.
• NIS2 n'est pas encore transposée en France. Le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025 et attend l'Assemblée nationale ; aucun décret n'existe, et l'enregistrement ouvert par l'ANSSI reste volontaire.
• Il n'existe aucune certification NIS2. ISO 27001, SecNumCloud et PASSI sont des référentiels volontaires, obligatoires seulement quand un texte les impose dans un contexte précis.
• Le CRA mord dès le 11 septembre 2026 avec le signalement des vulnérabilités activement exploitées, bien avant l'application pleine du 11 décembre 2027.
• Tous ces textes demandent une démonstration, pas seulement un déploiement. C'est la pièce qui manque dans la quasi-totalité des dossiers, parce que c'est la seule qui ne se rédige pas.

Si votre tableau de conformité est complet côté documentaire et vide côté preuve, attaquez-le par le bout qui bouge le plus vite : ce qui est exposé sur internet, donc ce qu'un attaquant atteint en premier. Un test d'intrusion web en conditions réelles transforme des mesures déclarées en constats datés, et une cartographie continue de votre surface d'attaque externe évite de tester un périmètre qui n'est plus le vôtre. La page contact sert exactement à ça.