Conformité réglementaire en cybersécurité : quel texte s'applique, et ce que la CNIL
sanctionne vraiment

Le RGPD est applicable depuis le 25 mai 2018. Le règlement DORA depuis le 17 janvier 2025. Le Cyber Resilience Act déclenche ses premières obligations de signalement le 11 septembre 2026 et devient pleinement applicable le 11 décembre 2027. La directive NIS2, elle, aurait dû être transposée en droit français au plus tard le 17 octobre 2024, et ne l'est toujours pas. En moins de dix ans, la sécurité informatique est passée du rang de bonne pratique à celui d'empilement réglementaire, et l'empilement s'est fait sans que personne ne remette les textes dans un ordre lisible.

Le résultat se voit dans n'importe quel comité de direction d'ETI : on cite six acronymes, on n'en maîtrise aucun périmètre, et on finit par confondre une directive européenne avec un label commercial. Or ces textes ne se choisissent pas, ils se cumulent, et deux questions suffisent à les trier : ce que vous êtes, et ce que vous traitez. Toute la conformité réglementaire en cybersécurité tient dans le croisement de ces deux axes.

Reste à savoir ce qu'une autorité reproche réellement une fois qu'elle contrôle. Pour le RGPD, le seul de ces textes dont l'autorité publie ses délibérations de sanction en données ouvertes, on a relu les 87 délibérations publiées par la CNIL depuis mai 2018. La sécurité y apparaît dans plus d'une décision sur trois, mais ne pèse que 6,7 % des amendes, et ce qui est reproché a nettement changé depuis 2024. Le RGPD étant le texte que personne n'évite, c'est par lui qu'on commence.

Deux axes pour trier les textes

Le premier axe est celui de votre nature d'organisation : votre secteur, votre taille, et votre position dans la chaîne de sous-traitance d'une entité elle-même régulée. C'est lui qui déclenche NIS2, DORA et le dispositif des activités d'importance vitale. Le second axe est celui de la nature des données ou des produits que vous manipulez : données personnelles, données de santé, produits vendus avec des composants logiciels. C'est lui qui déclenche le RGPD, la certification HDS et le Cyber Resilience Act.

Un éditeur SaaS de cinquante personnes qui vend un outil de gestion à des cliniques coche déjà trois cases sur les six : le RGPD parce qu'il traite des données personnelles, le HDS s'il héberge lui-même les données de santé de ses clients, et NIS2 par ricochet contractuel si l'un de ces clients est une entité régulée qui lui répercute ses exigences. Aucun de ces trois textes ne s'annule ; ils se superposent, avec trois autorités différentes en face.

RGPD : le seul texte que personne n'évite

Le règlement (UE) 2016/679 du 27 avril 2016, applicable depuis le 25 mai 2018, s'impose à toute organisation qui traite des données à caractère personnel. Il n'a ni seuil de taille, ni liste sectorielle : une association de trois bénévoles avec un fichier d'adhérents y est soumise au même titre qu'un groupe coté. C'est ce qui en fait le socle de toute discussion de conformité, et aussi ce qui explique qu'on l'oublie, à force d'évidence.

Sur le volet qui nous intéresse, le règlement demande des mesures techniques et organisationnelles appropriées au risque, et il pose un délai de notification que beaucoup de plans de crise ne tiendraient pas : en cas de violation de données, le responsable de traitement informe l'autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Les sanctions se lisent sur deux paliers à l'article 83 : 10 M€ ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations de sécurité, 20 M€ ou 4 % pour les manquements aux principes du traitement et aux droits des personnes, le montant le plus élevé étant retenu. L'autorité, en France, est la CNIL, désignée par l'article 8 de la loi du 6 janvier 1978.

Ce que la CNIL sanctionne vraiment : 35,6 % des décisions, 6,7 % des amendes

Des six textes, le RGPD est le seul dont on peut lire les décisions de sanction dans le texte : les délibérations de la formation restreinte de la CNIL sont publiées en texte intégral, en données ouvertes, à l'exception des sanctions en procédure simplifiée (on y revient plus bas) et de celles qui ne sont pas rendues publiques. On a donc lu celles qui le sont. Depuis le 25 mai 2018, 87 délibérations publiées prononcent une mesure (amende, avertissement, injonction), et 31 retiennent un manquement à l'article 32, l'obligation de sécurité. Un peu plus d'une sur trois. Le chiffre qui surprend est l'autre : en montant, ces décisions ne pèsent presque rien.

Les 79 amendes chiffrées de la période totalisent 1,17 milliard d'euros tels que prononcés, 1,15 milliard une fois la plus forte réduite par le Conseil d'État. Sur cette base, 83,5 % du total vient de décisions qui visent les traceurs (article 82 de la loi Informatique et Libertés) ou la prospection commerciale (article L. 34-5 du code des postes et des communications électroniques), dont 8 des 10 plus grosses amendes. La sécurité en porte 6,7 %. Et l'amende médiane d'une décision qui retient l'article 32, 400 000 €, est inférieure à celle des autres sanctions.

Deux lectures en sortent. D'abord, la CNIL n'attend pas la fuite : 16 des 31 sanctions pour défaut de sécurité font suite à un contrôle ou à une plainte, sans violation à l'origine. Ensuite, l'incident aggrave sans tout décider : 500 000 € de médiane avec violation, 340 000 € sans. La fourchette est large, de 3 000 € à 32 M€ tels que prononcés : 5 décisions sous les 100 000 €, 18 entre 100 000 € et un million, 8 à partir d'un million.

Ce qui est reproché a changé depuis 2024

On a codé à la main, dans chacune des 31 décisions, les griefs techniques que la formation restreinte retient. Le mot de passe domine toute la période, avec 22 décisions sur 31 : composition trop faible, stockage en clair ou en MD5, mot de passe commun à tous. Mais le centre de gravité se déplace vers la détection et vers l'accès distant.

La journalisation ou la détection insuffisante passe de 4 décisions sur 23 à 6 sur 8. Et aucune délibération publiée avant 2026 ne reprochait une authentification trop faible sur l'accès distant : les quatre qui le font datent toutes de 2026, deux nomment explicitement l'absence d'authentification multifacteur, les deux autres retiennent une connexion VPN insuffisamment sécurisée dont le détail est occulté (ces deux-là visent le même incident). C'est cohérent avec les consignes d'avril 2025 sur les grandes bases de données, qui demandaient MFA et journalisation et annonçaient des contrôles renforcés sur la MFA dès 2026. Le détail des griefs, et ce qu'ils disent des fuites, est développé dans notre article sur la fuite de données et ce que la CNIL sanctionne après.

La procédure simplifiée, la sanction que personne ne lit

Les délibérations publiées ne sont plus la majorité. Depuis 2022, la CNIL peut sanctionner en procédure simplifiée, sans délibération publiée, avec une amende plafonnée par la loi à 20 000 €. Selon sa propre table des sanctions, environ 7 sur 10 sont passées par là de 2022 à 2025 (164 sur 234), et 160 sur 212 de 2023 à 2025 selon ses bilans annuels, soit trois sur quatre. L'amende médiane y est de 9 000 €. 36 de ces sanctions simplifiées comptent un défaut de sécurité parmi leurs thèmes, contre 21 en procédure ordinaire sur la même période. Pour une PME, c'est la sanction réaliste : rapide, modeste, et invisible pour qui ne lit que les grosses décisions.

La mesure

Source principale : le fonds CNIL de la DILA, celui qui alimente Légifrance, reconstitué au 6 octobre 2026 (archive globale et 135 mises à jour quotidiennes). Périmètre : les délibérations numérotées SAN de la formation restreinte rendues depuis le 25 mai 2018, hors liquidations d'astreinte et non-lieu, soit 87 décisions. Une décision compte pour l'article 32 si son dispositif le retient ; un grief que le rapporteur soulève et que la formation écarte ne compte pas. Les montants ont été recoupés avec la table de la CNIL, ou relus dans le dispositif quand elle ne les chiffre pas, et une contre-expertise indépendante a recodé 16 des 31 décisions sans voir le premier codage (125 cases concordantes sur 128).

NIS2 : par secteur, par taille, et toujours pas transposée

La directive (UE) 2022/2555 du 14 décembre 2022, publiée au Journal officiel de l'Union le 27 décembre 2022 et entrée en vigueur le 16 janvier 2023, élargit à dix-huit secteurs le périmètre de l'ancienne directive NIS. Deux critères se croisent : relever d'un secteur listé aux annexes I ou II, puis atteindre la taille d'une moyenne entreprise, soit au moins 50 salariés ou plus de 10 M€ de chiffre d'affaires ou de bilan. Le croisement range l'organisation en entité essentielle ou entité importante, ce qui change le mode de supervision et le plafond des sanctions. Les annexes, les dix mesures de l'article 21, les montants et le régime de notification sont détaillés dans notre guide de la directive NIS2.

Reste le point que la plupart des synthèses commerciales escamotent. La directive devait être transposée au plus tard le 17 octobre 2024, pour une application des dispositions nationales au 18. En France, le véhicule est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé au Sénat le 15 octobre 2024 et adopté par le Sénat en première lecture le 12 mars 2025. Depuis, le texte est en attente à l'Assemblée nationale, où le dernier acte enregistré est le dépôt du texte de commission le 10 septembre 2025. Il n'a été ni adopté, ni promulgué.

L'ANSSI n'a pas attendu le législateur pour outiller les entités : elle a diffusé le 17 mars 2026 le Référentiel Cyber France (ReCyF), explicitement présenté comme un document de travail. Le document n'a donc rien de contraignant, mais il reste la meilleure approximation disponible de ce que le régulateur attendra. Autant traiter le retard français comme une fenêtre pour préparer sans être encore chronométré, puisque l'essentiel du travail utile, savoir ce qu'on expose et le corriger, n'a jamais eu besoin d'un décret pour commencer. Les PME qui se demandent si elles sont visées, directement ou par leur donneur d'ordre, trouveront la lecture des seuils dans notre article NIS2 et PME.

DORA : la finance, et surtout ses prestataires informatiques

Le règlement (UE) 2022/2554, dit DORA, est applicable depuis le 17 janvier 2025. Étant un règlement, il n'attend aucune loi de transposition : il produit ses effets directement, ce qui explique l'écart de rythme avec NIS2. Son article 2 énumère une vingtaine de catégories d'entités financières, des établissements de crédit aux sociétés de gestion en passant par les prestataires de services sur crypto-actifs.

Ce que les éditeurs et infogéreurs ratent régulièrement, c'est le point u) de cette même liste : les prestataires tiers de services TIC entrent dans le champ du règlement sans être des entités financières. Autrement dit, une société de développement qui héberge la brique de scoring d'un assureur subit DORA par contrat, via les clauses obligatoires que son client doit lui imposer. Les plus structurants d'entre eux peuvent même être désignés prestataires tiers critiques par les autorités européennes de surveillance au titre de l'article 31, ce qui les place sous une supervision directe, avec un superviseur principal désigné. Le régime complet et ses cinq piliers sont détaillés dans notre guide du règlement DORA.

Côté test, DORA est le seul de ces textes à chiffrer une fréquence. L'article 24 impose un programme de tests de résilience opérationnelle numérique portant au moins une fois par an sur les systèmes soutenant des fonctions critiques ou importantes, les microentreprises exceptées. L'article 26 y ajoute un test avancé fondé sur la menace, le TLPT, à mener au moins tous les trois ans. Une nuance vaut d'être répétée, parce qu'elle est massivement déformée : le TLPT ne concerne que les entités identifiées par l'autorité compétente, pas l'ensemble du secteur financier. Le déroulé de cet exercice est décrit dans DORA et ses tests d'intrusion TLPT. En France, les autorités compétentes sont l'ACPR et l'AMF selon le statut de l'entité.

Cyber Resilience Act : ce que vous vendez, pas ce que vous exploitez

Le règlement (UE) 2024/2847 du 23 octobre 2024 change d'objet par rapport aux précédents. Il ne régule pas la sécurité de votre système d'information, mais celle des produits comportant des éléments numériques que vous mettez sur le marché européen : un logiciel, un objet connecté, et jusqu'aux solutions de traitement de données à distance associées. Un éditeur qui vend une application est donc concerné en tant que fabricant, quand bien même il ne relèverait ni de NIS2, ni de DORA. La conformité s'y matérialise par un marquage CE, sous la surveillance d'autorités de surveillance du marché.

Le calendrier de l'article 71 est en trois temps, et c'est la deuxième date qui mord :

• 11 juin 2026 : entrée en application des articles 35 à 51, qui organisent les autorités notifiantes et les organismes d'évaluation de la conformité. C'est de la plomberie institutionnelle, sans effet direct pour un fabricant.
• 11 septembre 2026 : entrée en application de l'article 14, le signalement des vulnérabilités activement exploitées et des incidents graves, avec une alerte précoce sous 24 heures et une notification sous 72 heures au CSIRT coordinateur et à l'ENISA. Il s'applique à tous les produits dans le champ, y compris ceux déjà sur le marché.
• 11 décembre 2027 : application pleine, exigences essentielles de cybersécurité comprises. Les produits mis sur le marché avant cette date n'y basculent qu'en cas de modification substantielle.

La conséquence opérationnelle est brutale pour un éditeur : à partir de l'automne 2026, il faut être capable de savoir en 24 heures quelles versions de son produit embarquent le composant vulnérable et où elles sont déployées. On détaille les obligations, les catégories de produits importants et les sanctions dans notre guide du Cyber Resilience Act. En France, la surveillance du marché revient à l'ANFR, l'ANSSI est autorité notifiante, et le CERT-FR est le CSIRT destinataire des signalements.

HDS : dès qu'on héberge de la donnée de santé pour un tiers

L'article L. 1111-8 du code de la santé publique soumet à un certificat de conformité toute personne qui héberge des données de santé à caractère personnel pour le compte de tiers. Ces quatre derniers mots font tout le périmètre : un établissement de santé qui héberge son propre système d'information n'est pas soumis à certification, un éditeur SaaS qui héberge les dossiers de ses clients l'est. L'article R. 1111-9 découpe l'activité en six périmètres, des sites physiques à la sauvegarde, regroupés en deux certificats : hébergeur d'infrastructure physique et hébergeur infogéreur.

Le référentiel a changé de version, et cette bascule a un effet daté qu'il faut avoir en tête lors d'un achat. Le référentiel HDS v2 a été approuvé par arrêté du 26 avril 2024, publié au Journal officiel le 16 mai 2024 et applicable aux demandes de certificat depuis le 16 novembre 2024. La période de transition des hébergeurs encore certifiés en v1.1 s'est close le 16 mai 2026 : depuis cette date, un certificat HDS valide atteste exclusivement de la conformité v2, laquelle ajoute une exigence de stockage dans l'Espace économique européen et une obligation d'informer le client des accès distants depuis un pays tiers. Le certificat est délivré par un organisme accrédité, pour trois ans, avec audit de surveillance annuel. Héberger sans certificat expose à trois ans d'emprisonnement et 45 000 € d'amende (article L. 1115-1). Les six activités couvertes et ce que le certificat de votre hébergeur ne couvre pas font l'objet de notre article sur la certification HDS des hébergeurs de données de santé.

LPM et SAIV : le régime dont on ignore jusqu'à la liste

C'est le plus ancien des régimes cités ici, et le plus discret. Le dispositif de sécurité des activités d'importance vitale repose sur l'article L. 1332-1 du code de la défense et le décret du 23 février 2006 : il vise les opérateurs d'importance vitale, publics ou privés, dont l'indisponibilité menacerait le potentiel économique, la sécurité ou la capacité de survie de la nation. Le SGDSN annonce publiquement plus de 300 opérateurs répartis sur douze secteurs et près de 1 500 points d'importance vitale, mais la liste nominative n'est pas publique : elle est couverte par le secret de la défense nationale. Un opérateur apprend qu'il est OIV par sa désignation.

Le volet cyber vient de la loi de programmation militaire de 2013 (loi n° 2013-1168 du 18 décembre 2013), dont l'article 22 a créé les articles L. 1332-6-1 et suivants. Le Premier ministre y fixe les règles de sécurité applicables aux systèmes d'information d'importance vitale, peut imposer des dispositifs de détection qualifiés, et les contrôles sont menés par l'ANSSI, des services de l'État ou des prestataires qualifiés, aux frais de l'opérateur. Le manquement est puni de 150 000 € d'amende. La loi de programmation militaire 2024-2030 a étendu la logique au-delà des OIV : son article 66 crée une obligation, pour tout éditeur de logiciel, d'informer l'ANSSI des vulnérabilités significatives et des incidents affectant ses produits, puis d'en informer les utilisateurs, faute de quoi l'agence peut rendre la vulnérabilité publique elle-même.

Un dernier texte français mérite sa place ici, parce qu'il ne relève ni du périmètre ni du secteur mais du portefeuille : la loi LOPMI du 24 janvier 2023 subordonne l'indemnisation d'un sinistre cyber par une assurance au dépôt de plainte dans les 72 heures suivant la connaissance de l'atteinte, pour les personnes morales et les professionnels. La règle est détaillée, avec ses pièges de décompte, dans notre article sur la loi LOPMI et la règle des 72 heures. Un autre texte français, lui, ne vise ni le portefeuille ni le secteur mais l'information du consommateur : le Cyberscore impose aux très grandes plateformes numériques grand public d'afficher une note de cybersécurité, sur le modèle du Nutri-Score.

Ce qui n'est pas une réglementation : ISO 27001, SecNumCloud, PASSI

La moitié des confusions observées dans les appels d'offres vient de là. Une réglementation s'impose parce qu'on entre dans son périmètre, et une autorité sanctionne son non-respect. Un référentiel se choisit, et un organisme en reconnaît le respect. Les trois noms qui reviennent le plus souvent dans la colonne "obligations" d'un tableau de conformité relèvent, en règle générale, de la colonne d'à côté.

ISO/IEC 27001

Norme internationale, version 2022 en vigueur, la transition depuis l'édition 2013 s'étant achevée le 31 octobre 2025. Elle certifie un système de management de la sécurité de l'information sur un périmètre déclaré par l'organisme lui-même, ce qui est la limite la plus mal comprise du certificat : deux entreprises certifiées peuvent avoir des couvertures sans commune mesure. L'ISO ne certifie personne ; le certificat est délivré par un organisme de certification tiers. Aucun texte français n'impose ISO 27001 de façon générale. Ce que la certification ISO 27001 exige, coûte et prouve réellement fait l'objet d'un article dédié.

SecNumCloud

Qualification délivrée par l'ANSSI au titre de l'article 14 du décret n° 2015-350 du 27 mars 2015, sur la base d'un référentiel en version 3.2, que l'arrêté du 12 août 2026 a formellement approuvé. Pour une entreprise privée, c'est un critère d'achat, rendu contraignant pour les données d'une sensibilité particulière traitées par l'État et ses opérateurs, par le décret n° 2026-272 du 14 avril 2026 pris en application de la loi SREN. Ce que la qualification couvre, et ce qu'elle ne couvre pas, fait l'objet de notre article sur la qualification SecNumCloud.

PASSI

Qualification ANSSI des prestataires d'audit de la sécurité des systèmes d'information, référentiel en version 2.2 depuis le 1er août 2024, avec deux niveaux, substantiel et élevé, et cinq activités dont le test d'intrusion. Elle devient obligatoire quand un texte l'impose, typiquement pour les contrôles des systèmes d'information d'importance vitale ou dans certains marchés publics. Hors de ces cas, elle reste un signal de sérieux, et l'essentiel des PME, éditeurs et sites marchands n'y est soumis par aucun texte.

Le tableau, et la colonne qu'il faut lire en dernier

Voici les six régimes côte à côte, plus la règle assurantielle de la LOPMI qui s'y greffe. Il vaut pour trier, pas pour trancher : chaque ligne résume en une phrase des dizaines d'articles, et le passage d'une case cochée à une obligation opposable demande une qualification juridique de votre situation.

Lue de haut en bas, la troisième colonne montre une régularité. Aucun de ces textes ne se contente d'exiger une mesure : tous exigent aussi la capacité de démontrer quelque chose. Le RGPD appelle ça la responsabilité du responsable de traitement, NIS2 le formule à l'article 21.2 (f) comme l'évaluation de l'efficacité des mesures, DORA en fait un programme de tests chiffré, le CRA une obligation de détecter et signaler ce qui est exploité, le HDS un audit de surveillance annuel.

Ce que tous ces textes demandent, et que presque personne ne fournit

C'est là que les dossiers de conformité se ressemblent tous, et échouent au même endroit. La partie documentaire se produit sans difficulté majeure : une politique de sécurité se rédige, un registre se tient, un plan de continuité s'écrit, un contrat de sous-traitance se fait relire. La partie qui coince est celle qui ne peut pas s'écrire, seulement se mesurer : avoir essayé de casser sa propre défense, et savoir ce qui s'est passé.

Cette chaîne a une condition d'entrée qu'on saute presque toujours : on ne teste que ce qu'on a inventorié. Un périmètre de test calé sur un tableur d'actifs vieux de deux ans produit une preuve pour les systèmes que vous connaissiez déjà, et aucune pour le domaine arrivé avec le rachat d'une filiale ou pour la console d'administration qu'un prestataire a exposée pour se simplifier la vie, c'est-à-dire ce qui sert d'entrée. Une analyse de risque structurée, conduite par exemple avec la méthode EBIOS Risk Manager, sert à décider quoi tester en priorité ; elle ne dit pas si ça tient.

C'est le périmètre exact sur lequel own2pwn intervient : nous ne faisons pas de conseil en conformité, nous ne rédigeons pas votre gouvernance et nous ne délivrons aucune attestation. Ce que nous produisons, c'est la pièce technique du dossier, celle qui établit que les mesures déployées résistent. Le déroulé, la matrice de couverture de l'article 21.2 et les livrables sont décrits dans notre article sur l' audit NIS2 et sa preuve d'efficacité, et le cadrage de la prestation elle-même sur la page audit NIS2, volet technique. Ce que cette pièce ne fera jamais, c'est vous rendre "conforme" : elle vous rend démontrable sur son périmètre, ce qui n'est pas la même promesse.

À retenir

• Deux axes suffisent à trier : ce que vous êtes (secteur, taille, position de sous-traitant) déclenche NIS2, DORA et le dispositif SAIV ; ce que vous traitez ou vendez déclenche le RGPD, le HDS et le Cyber Resilience Act.
• Ces textes se cumulent, ils ne se choisissent pas. Un éditeur SaaS de taille moyenne relève couramment de trois régimes, avec trois autorités distinctes en face.
• La CNIL sanctionne la sécurité souvent, et modestement. 31 des 87 sanctions publiées depuis le RGPD retiennent l'article 32, pour 6,7 % des montants ; 16 ne suivent aucune fuite, et journalisation comme accès distant mal authentifié montent depuis 2024.
• NIS2 n'est pas encore transposée en France. Le projet de loi Résilience a été adopté par le Sénat le 12 mars 2025 et attend l'Assemblée nationale ; aucun décret n'existe, et l'enregistrement ouvert par l'ANSSI reste volontaire.
• Il n'existe aucune certification NIS2. ISO 27001, SecNumCloud et PASSI sont des référentiels volontaires, obligatoires seulement quand un texte les impose dans un contexte précis.
• Le CRA mord dès le 11 septembre 2026 avec le signalement des vulnérabilités activement exploitées, bien avant l'application pleine du 11 décembre 2027.
• Tous ces textes demandent une démonstration, pas seulement un déploiement. C'est la pièce qui manque dans la quasi-totalité des dossiers, parce que c'est la seule qui ne se rédige pas.

Si votre tableau de conformité est complet côté documentaire et vide côté preuve, attaquez-le par le bout qui bouge le plus vite : ce qui est exposé sur internet, donc ce qu'un attaquant atteint en premier. Un test d'intrusion web en conditions réelles transforme des mesures déclarées en constats datés, et une cartographie continue de votre surface d'attaque externe évite de tester un périmètre qui n'est plus le vôtre. La page contact sert à ça.

Questions fréquentes sur la conformité réglementaire en cybersécurité