Comprendre ce qui change dans votre environnement numérique.

NIS 2, c'est quoi exactement ?

NIS 2 — Network and Information Security, version 2 — est la révision d'une directive européenne de 2016 qui n'avait touché qu'un nombre limité d'acteurs critiques. Cette nouvelle version change de dimension : elle s'applique désormais à plus de 160 000 entités en Europe, réparties dans 18 secteurs d'activité.

Elle introduit des obligations concrètes en matière de gestion des risques cyber, de notification d'incidents et de gouvernance. En France, la transposition a été votée au Sénat en mars 2025. La loi définitive est attendue pour 2026, avec un délai de mise en conformité de 3 ans à partir de son entrée en vigueur.

Les professions réglementées sont-elles concernées ?

La réponse courte : indirectement, mais sérieusement. NIS 2 cible formellement les grandes entités essentielles, mais crée un effet domino important.

• Vos clients ou partenaires soumis à NIS 2 pourront vous imposer leurs standards par voie contractuelle.
• Votre responsabilité professionnelle est engagée en cas de violation de données.
• Le secteur de la santé est explicitement cité dans les 18 secteurs couverts.
• Les attaques ciblant les professions détentrices de données sensibles sont en forte augmentation.

Ce que NIS 2 exige concrètement

Les obligations s'articulent autour de quatre axes principaux :

• Gestion des risques : cartographier votre système d'information et documenter les mesures de sécurité mises en place.
• Sécurité des accès : double authentification sur tous les outils numériques professionnels.
• Sauvegarde et continuité : sauvegardes régulières, testées, stockées hors site selon la règle 3-2-1.
• Notification d'incidents : signalement à l'ANSSI dans les 24h en cas d'incident significatif. Les dirigeants peuvent être personnellement mis en cause.

Par où commencer ?

L'ANSSI recommande de ne pas attendre la publication des décrets pour agir. Les mesures prioritaires sont accessibles dès maintenant : cartographier votre système d'information, activer l'authentification à double facteur sur tous vos outils, et vous assurer que vos sauvegardes sont fiables et testées.

Choisir un prestataire informatique qui respecte lui-même des standards de sécurité solides est également une obligation implicite dans ce cadre. RESOLVO met en œuvre ces bonnes pratiques pour ses clients, dans le cadre d'une obligation de moyens.

Le RGPD, ce n'est pas qu'une case à cocher

Le RGPD s'applique à toute structure qui traite des données personnelles de résidents européens. Depuis 2018, la CNIL a prononcé plus de 80 sanctions en France, dont plusieurs contre des professionnels de santé et des cabinets d'avocats. En 2023, un médecin généraliste a reçu une mise en demeure publique et une amende de 15 000 € pour un simple disque dur non chiffré perdu lors d'un déménagement.

Pour les professions réglementées, les risques sont amplifiés : les données traitées relèvent de l'article 9 du RGPD (données sensibles), et les obligations sont donc renforcées. Une violation n'est pas seulement une infraction réglementaire — c'est une atteinte à la confiance que vos patients ou clients vous accordent.

Vos obligations concrètes

• Le registre des traitements (art. 30 RGPD) : documenter quelles données vous collectez, pour quelles finalités, pendant combien de temps, et qui y a accès.
• Les mesures techniques : chiffrement, contrôle des accès, sauvegardes sécurisées, mises à jour régulières.
• Les droits des personnes : répondre aux demandes d'accès, de rectification ou de suppression dans un délai d'un mois.
• La notification d'incidents : en cas de violation de données, signalement à la CNIL sous 72 heures. Cette obligation incombe au responsable de traitement — c'est-à-dire vous.

Les erreurs les plus fréquentes

• Pas de contrat de sous-traitance (DPA) signé avec le prestataire informatique — obligatoire selon l'article 28 du RGPD.
• Données stockées sur des services cloud grand public non conformes (Gmail personnel, Dropbox personnel).
• Pas de procédure documentée en cas de perte ou vol d'un appareil.
• Mots de passe partagés entre plusieurs collaborateurs — impossible de tracer les accès.
• Données conservées indéfiniment, sans politique de rétention définie.
• Politique de confidentialité copiée-collée depuis un modèle générique, ne reflétant pas vos outils réels.

La mise en conformité : un processus, pas un projet

La mise en conformité RGPD n'est pas un projet ponctuel qu'on clôture. C'est un processus continu qui évolue avec vos pratiques, vos outils, vos sous-traitants et les décisions de la CNIL. Un suivi régulier vaut mieux qu'un gros chantier tous les cinq ans.