Introduction
Cet aperçu pratique vise à aider les organisations à s'orienter entre le GDPR, NIS2, l'AI Act, DORA et le Cyber Resilience Act. L'objectif est comparatif et opérationnel : fournir des indications concrètes et une checklist initiale pour évaluer la pertinence des obligations.
Comment aborder les textes lors d'une première évaluation
- Identifier l'activité principale (fournisseur de services numériques, opérateur de services essentiels, fournisseur critique, développeur d'IA, institution financière, fabricant de matériel/logiciel).
- Cartographier les données et les systèmes : quel type de données est traité (personnelles ou non), où sont-elles stockées et quels services en dépendent.
- Vérifier les rôles et responsabilités (responsable du traitement, sous-traitant, fournisseur tiers, fournisseur cloud).
- Évaluer les impacts : risques pour les droits des personnes, continuité opérationnelle et résilience numérique.
Synthèse des règles principales
-
GDPR (protection des données)
- Objectif : protéger les droits et libertés des personnes physiques en matière de traitement des données personnelles.
- Acteurs concernés : toute organisation traitant des données personnelles de personnes dans l'UE ou offrant des services à celles-ci.
- Obligations pratiques : bases légales des traitements, droits des personnes, registres des traitements si requis, DPIA pour les traitements à risque élevé, mesures techniques et organisationnelles.
-
NIS2 (sécurité des réseaux et systèmes d'information)
- Objectif : renforcer la cybersécurité des services essentiels et numériques.
- Acteurs concernés : opérateurs de services essentiels et fournisseurs de services numériques dans des secteurs comme l'énergie, les transports, la santé, les infrastructures numériques.
- Obligations pratiques : gestion des risques, notification des incidents, gouvernance de la sécurité, exigences de résilience.
-
AI Act (régulation de l'intelligence artificielle)
- Objectif : encadrer les systèmes d'IA selon un principe de gestion du risque proportionné.
- Acteurs concernés : fournisseurs, utilisateurs, développeurs et intégrateurs de systèmes d'IA.
- Obligations pratiques : classification par niveau de risque, documentation technique, évaluations de conformité, mesures de transparence et d'atténuation pour les systèmes à risque élevé.
-
DORA (résilience opérationnelle numérique pour la finance)
- Objectif : garantir que les entités financières assurent leur résilience numérique et gèrent les risques ICT, y compris les tiers critiques.
- Acteurs concernés : institutions financières et fournisseurs ICT critiques pour le secteur.
- Obligations pratiques : gestion des risques ICT, tests de résilience, gestion des tiers et notification des incidents.
-
Cyber Resilience Act (sécurité des produits à composante numérique)
- Objectif : améliorer la sécurité des produits disposant d'éléments numériques commercialisés.
- Acteurs concernés : fabricants, importateurs et distributeurs de matériel et logiciels avec composants numériques.
- Obligations pratiques : sécurité by design, gestion des vulnérabilités, documentation technique et exigences de conformité.
Interactions entre les règles
- Complémentarité : elles partagent des principes communs (gestion du risque, responsabilisation, transparence). Le GDPR protège les droits individuels, NIS2 et DORA visent la résilience, l'AI Act gère les risques liés à l'IA et le Cyber Resilience Act cible la sécurité produit.
- Priorités opérationnelles : commencer par la cartographie des données et services, l'évaluation des risques et la documentation des acteurs impliqués.
- Gestion des fournisseurs : la due diligence et des contrats clairs sont indispensables car nombre d'obligations dépendent des tiers.
Checklist opérationnelle initiale (pour IT, conformité et gouvernance)
-
Cartographie initiale
- Inventaire des services numériques et des processus critiques.
- Typologie des données traitées (personnelles, sensibles, opérationnelles).
- Liste des fournisseurs ICT et tiers.
-
Évaluation des rôles
- Définir qui est responsable du traitement, sous-traitant, fournisseur critique.
- Identifier la présence et la fonction des systèmes d'IA.
-
Analyse des risques
- Evaluer le risque pour les droits des personnes (DPIA si nécessaire).
- Evaluer les risques opérationnels et de continuité (tests de résilience, plans d'incident).
-
Gouvernance et responsabilités
- Attribuer des rôles : responsable sécurité, DPO si requis, équipe de réponse aux incidents.
- Définir des politiques internes pour la gestion des incidents, la divulgation des vulnérabilités et la gestion des fournisseurs.
-
Mesures techniques et organisationnelles
- Contrôles d'accès, chiffrement des données sensibles, journalisation et surveillance.
- Procédures de mise à jour et de gestion des correctifs pour produits numériques et modèles d'IA.
-
Documentation et preuves
- Registres des traitements, évaluations d'impact, rapports de tests et contrats avec fournisseurs.
Exemples pratiques rapides
-
Une PME éditrice di un SaaS : vérifier le GDPR pour les données utilisateurs, évaluer si NIS2 s'applique au service, appliquer le Cyber Resilience Act aux composants logiciels et l'AI Act si des fonctions décisionnelles automatisées sont présentes.
-
Un établissement financier : considérer DORA pour la résilience opérationnelle, NIS2 pour les systèmes critiques, le GDPR pour les clients et l'AI Act pour les modèles de scoring.
Recommandations finales
- Commencer par la cartographie : sans inventaire il est impossible d'évaluer les obligations.
- Adopter une approche basée sur le risque et documenter les choix.
- Impliquer legal, conformité et IT dès le départ et mettre à jour les contrats fournisseurs.
- Privilégier la formation continue du personnel sur sécurité et confidentialité.
Ce guide est introductif : pour des situations complexes ou des mesures de conformité détaillées, consulter des spécialistes juridiques et techniques.
