Mon entreprise est-elle concernée par NIS2 ?

Vous êtes concerné si votre entreprise exerce dans l’un des secteurs couverts par la directive (énergie, transport, santé, eau, numérique, administration, industrie, etc.) et dépasse la taille d’une petite entreprise — en principe au moins 50 salariés ou plus de 10 millions d’euros de chiffre d’affaires. Certaines entités restent concernées quelle que soit leur taille en raison de leur rôle critique. En cas de doute, un état des lieux permet de trancher.

Quelle différence entre NIS2 et le RGPD ?

Le RGPD protège les données personnelles et s’applique à tout organisme qui en traite, quelle que soit sa taille ou son secteur. NIS2 vise la cybersécurité et la continuité de secteurs jugés essentiels ou importants, indépendamment de la présence de données personnelles. Une même entreprise peut être soumise aux deux : ils se complètent plus qu’ils ne se recoupent.

DORA concerne-t-il les PME ?

DORA vise le secteur financier (banques, assurances, entreprises d’investissement, etc.) et les prestataires informatiques critiques qui le servent, y compris certains fournisseurs cloud. Une PME est concernée si elle est un acteur financier ou un sous-traitant TIC critique de ce secteur. Une PME industrielle ou de services classique n’entre pas dans son périmètre.

La certification ISO 27001 est-elle obligatoire ?

Non, ISO 27001 est une démarche volontaire. Aucune loi n’oblige à être certifié. En revanche, la certification est de plus en plus demandée par des clients ou des donneurs d’ordre comme preuve de sérieux, et sa mise en œuvre recoupe largement les mesures exigées par NIS2 ou DORA.

Quelles sanctions en cas de non-conformité à NIS2 ?

La directive prévoit des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes, en plus de mesures correctrices imposées par l’autorité (en France, l’ANSSI). Le risque réel dépasse l’amende : c’est aussi l’exposition en cas d’incident non maîtrisé.

Par quoi commencer pour se mettre en conformité ?

Commencez par cartographier ce qui s’applique réellement à votre entreprise, puis réalisez un état des lieux de l’existant par rapport à ces exigences. Vous obtenez ainsi une liste d’écarts priorisés, et non une réécriture complète. La plupart des mesures (accès, journalisation, sauvegardes, gestion des incidents) servent tous les cadres à la fois.

NIS2, DORA, RGPD, ISO 27001 : quel cadre de conformité s’applique à votre entreprise ?

NIS2, DORA, RGPD et ISO 27001 ne s’adressent ni aux mêmes entreprises, ni pour les mêmes raisons : le RGPD protège les données personnelles, NIS2 impose la cybersécurité à des secteurs entiers, DORA vise la résilience du secteur financier, et ISO 27001 est une certification volontaire. Une même organisation peut être soumise à plusieurs d’entre eux en même temps. Cet article explique ce que recouvre chaque cadre, lequel s’applique à votre entreprise, et par où commencer — avec, au centre, un tableau comparatif que vous pouvez garder sous les yeux.

Chez NetMeSafe, société de cybersécurité installée à Dijon, nous accompagnons les PME et ETI de Bourgogne-Franche-Comté sur ces sujets. Le point de départ est toujours le même : savoir ce qui s’applique avant de dépenser un euro en mise en conformité.

RGPD, NIS2, DORA, ISO 27001 : de quoi parle-t-on ?

Ce sont quatre cadres de nature différente. Trois sont contraignants (RGPD, NIS2, DORA), le quatrième est volontaire (ISO 27001).

RGPD — Règlement général sur la protection des données
Règlement (UE) 2016/679, applicable depuis le 25 mai 2018. Il encadre le traitement des données personnelles et s’impose à tout organisme qui en traite. En France, l’autorité de contrôle est la CNIL.
NIS2 — sécurité des réseaux et des systèmes d’information
Directive (UE) 2022/2555, avec une échéance de transposition par les États membres fixée au 17 octobre 2024 ; la loi de transposition française a été adoptée en 2025. Elle impose des mesures de cybersécurité à des secteurs jugés essentiels ou importants. En France, l’autorité compétente est l’ANSSI.
DORA — résilience opérationnelle numérique
Règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025. Il vise le secteur financier et encadre aussi ses prestataires informatiques critiques, dont certains fournisseurs cloud.
ISO/CEI 27001 — management de la sécurité de l’information
Norme internationale (version 2022), volontaire. Elle repose sur un système de management de la sécurité de l’information (SMSI) et une analyse de risque, et donne lieu à une certification délivrée par un organisme accrédité.

Quel cadre s’applique à votre entreprise ?

Cela dépend de deux critères : la nature de vos données et votre secteur d’activité. Le RGPD concerne presque tout le monde ; NIS2 dépend du secteur et de la taille ; DORA est réservé à la finance ; ISO 27001 est un choix. Le tableau ci-dessous résume l’essentiel.

Cadre	Nature	Qui est concerné	Ce qu’il exige	Sanctions
RGPD	Obligatoire	Tout organisme traitant des données personnelles, quelle que soit sa taille	Base légale, information des personnes, sécurité des données, registre des traitements, notification des violations	Jusqu’à 20 M€ ou 4 % du CA mondial
NIS2	Obligatoire	Entités « essentielles » et « importantes » de ~18 secteurs (énergie, santé, transport, eau, numérique, administration…), en principe à partir de 50 salariés ou 10 M€ de CA	Analyse de risque, mesures techniques et organisationnelles, notification des incidents, responsabilité de la direction	Jusqu’à 10 M€ ou 2 % du CA (essentielles) ; 7 M€ ou 1,4 % (importantes)
DORA	Obligatoire	Secteur financier (banques, assurances, investissement…) et prestataires TIC critiques qui le servent	Gestion du risque TIC, notification des incidents, tests de résilience, encadrement du risque lié aux tiers	Mesures et sanctions fixées par les autorités financières compétentes
ISO 27001	Volontaire	Toute organisation qui souhaite prouver sa maîtrise de la sécurité de l’information	SMSI documenté, analyse de risque, mesures de sécurité, amélioration continue, audit de certification	Aucune sanction légale ; risque de perte ou non-obtention de la certification

À retenir : presque toutes les entreprises sont concernées par le RGPD. La vraie question est de savoir si vous entrez aussi dans le champ de NIS2 (par votre secteur et votre taille) ou de DORA (si vous êtes un acteur financier ou son sous-traitant TIC). ISO 27001, elle, se décide.

RGPD : la protection des données personnelles

Le RGPD s’impose à tout organisme qui traite des données personnelles, sans condition de taille ni de secteur. Concrètement, dès que vous détenez des noms, des coordonnées, des données de clients, de salariés ou de prospects, vous êtes concerné. Il exige de savoir pourquoi vous traitez chaque donnée (la base légale), d’informer les personnes, de tenir un registre des traitements, de sécuriser ces données et de notifier les violations à la CNIL dans les délais. Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

NIS2 : la cybersécurité imposée à des secteurs entiers

NIS2 rend la cybersécurité obligatoire pour des secteurs jugés essentiels au fonctionnement de la société et de l’économie. La directive distingue les « entités essentielles » (énergie, santé, transport, eau, infrastructures numériques…) des « entités importantes » (autres secteurs couverts), avec des obligations un peu plus strictes pour les premières. Elle vise en principe les moyennes et grandes entités des secteurs concernés — souvent à partir de 50 salariés ou 10 millions d’euros de chiffre d’affaires — mais certaines entités restent couvertes quelle que soit leur taille en raison de leur rôle critique.

Ce que NIS2 exige n’a rien d’exotique : une analyse de risque, des mesures techniques et organisationnelles proportionnées, la notification des incidents à l’autorité, et une responsabilisation de la direction. Un audit de sécurité permet de mesurer l’écart entre votre existant et ces exigences.

Savoir en 30 minutes ce qui s’applique à vous

Plutôt que de deviner, faisons le point ensemble : votre secteur, votre taille, vos données. Vous repartez avec la liste des cadres qui vous concernent et des premiers écarts à traiter, sans jargon.

Prendre rendez-vous

DORA : la résilience opérationnelle du secteur financier

DORA impose au secteur financier de prouver qu’il tient le choc face à un incident informatique. Applicable depuis le 17 janvier 2025, le règlement vise les banques, les assurances, les entreprises d’investissement et les autres acteurs financiers, mais aussi les prestataires informatiques critiques qui les servent, y compris certains fournisseurs cloud. Il repose sur quatre piliers : la gestion du risque lié aux technologies, la notification des incidents majeurs, des tests réguliers de résilience, et l’encadrement du risque lié aux prestataires tiers. Une PME n’est concernée que si elle est un acteur financier ou un sous-traitant TIC critique de ce secteur.

ISO 27001 : la certification volontaire qui prouve votre sérieux

ISO 27001 est le seul de ces quatre cadres que l’on choisit d’adopter. C’est une norme internationale qui décrit comment mettre en place un système de management de la sécurité de l’information : une analyse de risque, des mesures de sécurité proportionnées, une documentation, et une logique d’amélioration continue vérifiée par un audit de certification. Elle n’est imposée par aucune loi, mais elle est de plus en plus demandée par des clients et des donneurs d’ordre comme preuve de maturité. Bonne nouvelle : ce qu’elle demande recoupe très largement les exigences de NIS2 et de DORA.

Comment ces quatre cadres se recoupent-ils ?

Ils partagent un socle commun de bonnes pratiques. Traiter ce socle une fois, c’est avancer sur les quatre à la fois.

Gestion des accès
Savoir qui a accès à quoi, appliquer le moindre privilège et la double authentification. Exigé, sous une forme ou une autre, par tous.
Journalisation et traçabilité
Conserver la trace de qui a fait quoi et quand. Indispensable au RGPD comme à NIS2 et DORA en cas d’incident ou de contrôle.
Sauvegardes vérifiées
Des sauvegardes réellement testées, pas seulement planifiées. C’est la base de la résilience visée par DORA et NIS2.
Gestion des incidents
Détecter, qualifier, notifier et corriger. Les délais et destinataires diffèrent, mais la mécanique est commune.
Analyse de risque
Le point de départ imposé par NIS2, DORA et ISO 27001, et le fondement de la sécurité des données du RGPD.

Par où commencer ?

Commencez par cartographier ce qui s’applique réellement à votre entreprise, avant de lancer le moindre chantier. La démarche tient en trois temps : identifier les cadres qui vous concernent (selon vos données, votre secteur et votre taille), réaliser un état des lieux de l’existant par rapport à leurs exigences, puis prioriser les écarts en commençant par ceux qui réduisent le plus le risque. Vous évitez ainsi le double écueil de la conformité : ne rien faire par crainte de l’ampleur de la tâche, ou tout réécrire alors que 80 % des mesures se recoupent.

Faites le point sur votre conformité

NetMeSafe réalise l’état des lieux qui vous dit exactement où vous en êtes face au RGPD, à NIS2 et, le cas échéant, à DORA — et vous remet une feuille de route priorisée.