La directive NIS 2 et le RGPD sont deux régimes européens souvent cités ensemble, et pour cause : un incident de cybersécurité touchant des données personnelles peut déclencher les deux en même temps. Pourtant, ils ne protègent pas la même chose, ne relèvent pas de la même autorité et n'imposent pas les mêmes délais. Pour un DPO, comprendre où les deux textes se recouvrent et où ils divergent est devenu une compétence opérationnelle. Ce guide détaille l'articulation entre NIS 2 (directive (UE) 2022/2555) et le RGPD, du champ d'application à la gouvernance, en passant par la double notification d'incident.
Précision de périmètre : NIS 2 est un texte de cybersécurité, pas une réglementation de protection des données personnelles. Pour une vue d'ensemble de la directive (obligations, sanctions, calendrier de transposition), consultez le guide pilier Directive NIS 2 : le guide complet.
NIS 2 et RGPD : deux régimes distincts mais convergents
NIS 2 et le RGPD poursuivent des objectifs différents, mais ils se rejoignent sur un point central : la sécurité des systèmes qui traitent l'information. Pour bien les articuler, il faut d'abord cerner ce que chacun protège.
Ce que protège chaque texte
Le RGPD protège les données à caractère personnel : il encadre la manière dont une organisation collecte, traite et conserve les informations relatives à des personnes physiques identifiées ou identifiables. NIS 2 protège les réseaux et les systèmes d'information eux-mêmes, qu'ils contiennent ou non des données personnelles. Les deux périmètres se distinguent ainsi :
- le RGPD s'applique à tout responsable de traitement ou sous-traitant, quel que soit son secteur, dès qu'il traite des données personnelles ;
- NIS 2 ne vise que les entités des 18 secteurs critiques et importants qui dépassent les seuils de taille (en principe 50 salariés ou 10 millions d'euros de chiffre d'affaires) ;
- l'autorité compétente diffère : la CNIL pour le RGPD, l'ANSSI pour NIS 2 en France ;
- la finalité diffère : protéger la vie privée des personnes d'un côté, garantir la résilience des infrastructures de l'autre.
Une organisation peut donc relever des deux régimes, de l'un seulement, ou d'aucun. Un hôpital ou une banque cumulent en général RGPD et NIS 2 ; un cabinet de conseil hors secteur listé reste soumis au seul RGPD.
La zone de recouvrement : la sécurité des systèmes
Le point de contact opérationnel entre les deux textes est la sécurité technique. L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour garantir la sécurité des traitements : chiffrement, contrôle d'accès, capacité à restaurer la disponibilité des données, tests réguliers. L'article 21 de NIS 2 impose dix catégories de mesures de gestion des risques cyber qui recouvrent largement ces exigences, en les détaillant davantage : analyse des risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, cyberhygiène, cryptographie, authentification multifacteurs.
En pratique, une mesure mise en place pour satisfaire l'article 32 RGPD contribue presque toujours à la conformité NIS 2, et inversement. C'est cette zone de recouvrement qui fonde les synergies décrites plus bas : le travail de sécurisation n'est pas à faire deux fois, il est à documenter sous deux angles.
Double notification d'incident : des délais à ne pas confondre
C'est l'écueil le plus concret pour un DPO. Un même incident, par exemple une attaque par rançongiciel chiffrant une base de données clients, peut déclencher simultanément l'obligation de notification du RGPD et celle de NIS 2. Les deux régimes ont des délais, des destinataires et des seuils différents.
Côté RGPD, en cas de violation de données personnelles :
- notification à la CNIL dans les 72 heures après en avoir pris connaissance, lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33) ;
- information des personnes concernées dans les meilleurs délais lorsque le risque est élevé (article 34) ;
- documentation de toute violation dans un registre interne, même non notifiée.
Côté NIS 2, en cas d'incident significatif (article 23) :
- alerte précoce à l'autorité nationale (l'ANSSI en France) sous 24 heures ;
- notification complète avec évaluation initiale de la gravité sous 72 heures ;
- rapport final détaillé sous 1 mois, précisant la cause et les mesures correctives.
Les deux déclencheurs ne se confondent pas. Le RGPD se déclenche dès qu'il y a violation de données personnelles, quel que soit le secteur. NIS 2 se déclenche dès qu'un incident perturbe gravement un service, même sans aucune donnée personnelle en jeu. Lorsqu'un incident coche les deux cases, l'organisation doit mener les deux notifications en parallèle, avec un point de vigilance : le délai NIS 2 de 24 heures est plus court que celui du RGPD. La pratique recommandée est de construire une procédure unique de gestion d'incident qui embarque les deux circuits dès la détection. Pour structurer la réaction RGPD, voir le guide violation de données : comment et pourquoi réagir.
Gouvernance : DPO, RSSI et responsabilité des dirigeants
L'articulation entre les deux textes pose une question d'organisation interne : qui pilote quoi ? La réponse conditionne la qualité de la conformité et l'exposition juridique de l'entreprise.
DPO et RSSI : qui porte quoi
Le DPO est le pivot du RGPD : il conseille, contrôle et fait le lien avec la CNIL (article 39). La conformité NIS 2 relève principalement du RSSI et de la direction générale, car elle porte sur la sécurité des systèmes, pas sur la protection des données. NIS 2 n'impose d'ailleurs aucun délégué dédié équivalent au DPO.
Pour autant, le DPO a un rôle naturel de coordination. Il connaît déjà la cartographie des traitements, les sous-traitants et les procédures de notification. Sur le terrain, c'est souvent lui qui repère le recouvrement entre les deux régimes et qui pousse à mutualiser les démarches. La bonne configuration consiste à clarifier par écrit la répartition : le RSSI pilote la mise en conformité technique NIS 2, le DPO garde la main sur les traitements de données personnelles, et les deux se coordonnent sur la gestion des incidents et la sécurité des sous-traitants.
La responsabilité personnelle des dirigeants : la nouveauté NIS 2
C'est une rupture importante par rapport au RGPD. NIS 2 engage la responsabilité personnelle des organes de direction (article 20) : ils doivent approuver les mesures de gestion des risques, superviser leur mise en oeuvre et suivre une formation à la cybersécurité. En cas de manquement grave, leur responsabilité peut être recherchée directement, et l'autorité peut suspendre temporairement leurs fonctions de direction dans les cas les plus sérieux.
Le RGPD, lui, fait peser les sanctions sur l'organisation en tant que responsable de traitement, sans viser nommément les dirigeants dans le texte. Cette différence change la conversation interne : avec NIS 2, la conformité cyber devient un sujet de comité de direction, pas seulement un sujet technique. Pour le DPO, c'est un levier : le sponsoring de la direction, souvent difficile à obtenir sur le RGPD seul, est désormais une obligation légale côté NIS 2.
Quatre synergies opérationnelles entre RGPD et NIS 2
Pour une organisation déjà avancée sur le RGPD, NIS 2 n'est pas un chantier entièrement neuf. Quatre briques RGPD existantes se réutilisent directement.
Registre des traitements et cartographie du système d'information
Le registre des traitements RGPD recense les données, leurs finalités et leurs flux. NIS 2 exige une cartographie des actifs critiques du système d'information. Les deux exercices partagent une grande partie de leur matière première : un registre tenu à jour est un point de départ solide pour identifier les systèmes à sécuriser en priorité.
AIPD et analyse des risques
L'analyse d'impact relative à la protection des données (AIPD), imposée par l'article 35 du RGPD pour les traitements à risque élevé, repose sur une méthode d'évaluation des risques très proche de celle attendue par l'article 21 de NIS 2. La logique d'identification des menaces, d'évaluation de la gravité et de définition des mesures de réduction est commune. Une organisation rompue aux AIPD dispose déjà du réflexe méthodologique attendu par NIS 2.
Gestion des sous-traitants et sécurité de la chaîne d'approvisionnement
L'article 28 du RGPD encadre les relations avec les sous-traitants qui traitent des données personnelles : contrat, garanties, instructions documentées. NIS 2 impose de sécuriser la chaîne d'approvisionnement et d'évaluer la sécurité des fournisseurs et prestataires. Le périmètre des prestataires se recoupe largement, et les démarches d'évaluation peuvent être mutualisées. Les outils déjà en place pour l'audit des sous-traitants RGPD et le suivi des sous-traitants B2B constituent une base réutilisable pour le volet supply chain de NIS 2.
Documentation et preuve de conformité
Le RGPD repose sur le principe de responsabilité (accountability) : il faut pouvoir démontrer sa conformité. NIS 2 attend la même chose de la part des entités, avec des autorités qui peuvent demander des preuves lors d'un audit. La culture de la traçabilité acquise avec le RGPD - décisions documentées, mesures justifiées, registre tenu à jour - se transpose directement.
Le DPO doit-il piloter la conformité NIS 2 ?
Non, pas seul. La mise en conformité NIS 2 est avant tout l'affaire du RSSI et de la direction générale, et elle sort du périmètre de conformité couvert par Leto, centré sur le RGPD et l'AI Act. Le DPO, lui, reste le bon coordinateur de l'articulation entre les deux régimes : il sait où les traitements de données croisent les systèmes critiques, et il porte déjà la procédure de notification d'incident.
Sur le volet RGPD, qui reste pleinement dans le champ de la conformité, Leto centralise le registre des traitements, les AIPD, la gestion des demandes d'exercice de droits, le suivi des sous-traitants et la traçabilité des violations de données. Pour structurer cette conformité RGPD et fiabiliser votre réaction en cas d'incident, demandez une démonstration de Leto.
Sur le volet NIS 2 et cybersécurité, qui relève de la sensibilisation et non de la conformité couverte par Leto, l'enjeu humain reste central : la cyberhygiène et les réflexes des équipes conditionnent une grande partie du risque. Leto propose à ce titre un module de sensibilisation aux enjeux de protection des données et de cybersécurité.
Comment préparer votre organisation aux deux régimes
Pour un DPO qui veut anticiper l'articulation RGPD - NIS 2 sans dédoubler le travail, quelques étapes structurent la démarche :
- vérifier l'assujettissement NIS 2 de l'organisation (secteur et seuils de taille) et identifier l'interlocuteur ANSSI ;
- relier le registre des traitements RGPD à la cartographie des systèmes critiques pour repérer les zones de recouvrement ;
- construire une procédure unique de gestion d'incident qui embarque les deux circuits de notification (CNIL 72 heures et ANSSI 24 heures) ;
- clarifier par écrit la répartition des rôles entre DPO, RSSI et direction générale ;
- mutualiser l'évaluation des sous-traitants entre l'article 28 RGPD et l'exigence supply chain de NIS 2 ;
- inscrire la formation des dirigeants à la cybersécurité, désormais obligatoire sous NIS 2, à l'agenda du comité de direction.
Questions fréquemment posées
NIS 2 et RGPD, est-ce la même chose ?
Non. Le RGPD protège les données à caractère personnel et relève de la CNIL ; NIS 2 protège les réseaux et systèmes d'information des secteurs critiques et relève de l'ANSSI en France. Ils peuvent s'appliquer simultanément à une même organisation, notamment lorsqu'un incident de cybersécurité touche des données personnelles, mais ils ont des champs d'application, des autorités et des délais distincts.
Un incident doit-il être notifié à la fois à la CNIL et à l'ANSSI ?
Cela dépend de l'incident. Une violation de données personnelles se notifie à la CNIL sous 72 heures (article 33 du RGPD). Un incident significatif au sens de NIS 2 se notifie à l'ANSSI sous 24 heures (alerte précoce), puis 72 heures et 1 mois. Lorsqu'un même incident coche les deux cases, par exemple un rançongiciel chiffrant des données clients, les deux notifications doivent être menées en parallèle, en tenant compte du délai NIS 2 plus court.
Le DPO est-il responsable de la conformité NIS 2 ?
Non. La conformité NIS 2 relève principalement du RSSI et de la direction générale, car elle porte sur la sécurité des systèmes d'information. Le DPO n'en est pas responsable, mais il joue un rôle naturel de coordination : il connaît la cartographie des traitements, les sous-traitants et les procédures de notification, ce qui en fait l'interlocuteur idéal pour articuler les deux régimes.
Quelles obligations RGPD aident à se préparer à NIS 2 ?
Plusieurs briques RGPD se réutilisent : le registre des traitements alimente la cartographie des systèmes critiques, la méthode des AIPD (article 35) prépare l'analyse des risques de l'article 21 NIS 2, et l'encadrement des sous-traitants (article 28) recoupe l'exigence de sécurité de la chaîne d'approvisionnement. La culture de documentation et de preuve issue du principe de responsabilité du RGPD se transpose également.
NIS 2 crée-t-elle une responsabilité personnelle des dirigeants comme le RGPD ?
NIS 2 va plus loin que le RGPD sur ce point. Son article 20 engage la responsabilité personnelle des organes de direction, qui doivent approuver les mesures de gestion des risques, en superviser la mise en oeuvre et suivre une formation à la cybersécurité. Le RGPD, lui, fait peser les sanctions sur l'organisation en tant que responsable de traitement, sans viser nommément les dirigeants dans le texte.
Faut-il un délégué NIS 2 distinct du DPO ?
NIS 2 n'impose pas de délégué dédié équivalent au DPO du RGPD. Elle engage en revanche la responsabilité des dirigeants et attend une organisation claire de la gestion des risques cyber. Dans la pratique, beaucoup d'organisations confient le pilotage technique au RSSI et la coordination transverse au DPO, sans créer de nouvelle fonction réglementaire.
