NIS2 ou GDPR
NIS2 vs GDPR : l'une protège la résilience des services, l'autre protège les données personnelles. De nombreuses entreprises doivent respecter les deux.
NIS2 vs GDPR est une question de ce que chaque loi protège. Le GDPR protège les données personnelles des individus et s'applique à presque toute organisation qui les traite. NIS2 protège la sécurité et la continuité des systèmes de réseau et d'information et s'applique aux organisations des secteurs listés au-dessus d'un seuil de taille.
Ils se recoupent, mais l'un ne remplace pas l'autre. Une entreprise d'un secteur concerné peut être soumise aux deux règles à la fois, et un seul incident, comme une violation impliquant des données personnelles, peut déclencher des notifications au titre de chacune. Cette page est une information générale, pas un conseil juridique.
Côte à côte
| Compétence | NIS2 | GDPR |
|---|---|---|
| Nom complet | Directive (UE) 2022/2555 sur des mesures pour un niveau élevé commun de cybersécurité | Règlement (UE) 2016/679, le Règlement général sur la protection des données |
| Ce qu'il protège | Sécurité et continuité des réseaux et systèmes d'information et de leurs services | Données personnelles et droits des personnes |
| Forme juridique | Directive, chaque État membre adopte sa propre loi nationale | Règlement, applicable directement dans tous les États membres |
| Qui est couvert | Entités essentielles et importantes dans les secteurs listés, généralement de taille moyenne et grande | Toute organisation qui traite des données personnelles de personnes dans l'UE, quelle que soit sa taille |
| Missions principales | Mesures de gestion des risques, sécurité de la chaîne d'approvisionnement, responsabilité de la direction | Base légale, minimisation des données, sécurité, droits des personnes |
| Déclaration des incidents | Alerte précoce dans les 24 heures, notification dans les 72 heures, rapport final dans le mois | Notifier l'autorité de protection des données dans les 72 heures suivant une violation de données personnelles |
| Qui est informé | Autorité nationale de cybersécurité ou CSIRT | Autorité de protection des données, et les personnes concernées lorsque le risque est élevé |
| Amendes maximales | Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les entités importantes | Jusqu'à 20 millions EUR ou 4 % du chiffre d'affaires mondial |
| Responsabilité de la gestion | Explicite, la direction doit approuver et superviser les mesures | L'organisation est responsable, pas de clause de gestion spécifique |
Les points forts de chacun
NIS2
- Élève le niveau de sécurité de base dans des secteurs entiers
- Place la responsabilité de la sécurité sur la direction
- Couvre le risque de la chaîne d'approvisionnement
- Définit des étapes de signalement claires et rapides
- Le périmètre et les détails diffèrent entre les États membres
- S'applique uniquement à certains secteurs et tailles
- Nécessite que les mesures de sécurité soient planifiées et documentées
GDPR
- Donne aux personnes des droits forts et clairs
- S'applique de la même façon dans toute l'UE
- Bien établi, avec des années d'expérience
- Couvre les organisations de toute taille
- Se concentre sur les données personnelles, pas tous les systèmes
- Les règles de sécurité sont larges plutôt que précises
- Lourdes obligations de documentation et de consentement
Se pencher sur NIS2 quand
- Vous exercez dans un secteur listé par la directive, comme l'énergie, le transport, la santé, les infrastructures numériques ou la fabrication de biens essentiels
- Vous êtes une entreprise moyenne ou grande, ou vous en fournissez une
- Une panne de votre service affecterait des clients ou le public
- Un client demande une preuve de sécurité de la chaîne d'approvisionnement
- Votre conseil doit montrer qu'il supervise le risque cyber
Se pencher sur le GDPR quand
- Vous collectez ou stockez des données clients, employés ou utilisateurs
- Vous exploitez un site, une boutique ou une app avec des comptes ou du tracking
- Vous utilisez des sous-traitants ou des services cloud pour des données personnelles
- Des personnes demandent à voir, corriger ou supprimer leurs données
- Vous êtes une petite entreprise hors des secteurs NIS2
Questions fréquentes
Quelle est la principale différence entre NIS2 et GDPR ?
Le GDPR protège les données personnelles. NIS2 protège la sécurité et la continuité des systèmes et des services.
NIS2 remplace-t-il le GDPR ?
Non. Les deux s'appliquent côte à côte, et un seul incident peut nécessiter des signalements à deux autorités différentes.
Les petites entreprises doivent-elles suivre NIS2 vs GDPR ?
Le GDPR s'applique à presque toute organisation qui traite des données personnelles. NIS2 couvre principalement les entités de taille moyenne et grande dans les secteurs listés, même si certaines plus petites sont incluses, alors vérifiez votre droit national.
Quand NIS2 a-t-elle commencé à s'appliquer ?
La directive est entrée en vigueur en janvier 2023, et les États membres devaient la transposer en droit national avant le 17 octobre 2024. L'avancement et les détails varient selon le pays.
Vous ne savez pas comment cela s'applique à vous ?
Un ingénieur senior analyse votre site, votre présence en ligne et la façon dont les demandes vous parviennent, puis note les trois points prioritaires à corriger. Vous conservez ce document quoi qu'il arrive.