RGPD, NIS 2, DORA : pourquoi l'ANSSI refuse un guichet unique de notification pour les entreprises

Un formulaire unique pour déclarer un incident à la CNIL, à l'ANSSI et à l'ACPR ? Le directeur général de l'ANSSI, Vincent Strubel, vient de fermer la porte à cette simplification que réclament pourtant de nombreuses entreprises du secteur financier. En cause : des textes — RGPD, NIS 2, DORA — dont les logiques ne sont pas superposables sans risque.

Ce qui s'est passé

Le 8 juillet 2026, interpellé sur LinkedIn par le député Philippe Latombe sur l'opportunité d'un « formulaire commun ACPR/AMF + ANSSI + CNIL », Vincent Strubel a répondu se méfier des guichets ou formulaires uniques, qui « peuvent rapidement servir de cache-misère ». Sa position : si le droit européen crée des injonctions contradictoires entre régimes, il faut harmoniser le droit lui-même plutôt que masquer le problème derrière de la « tuyauterie administrative ».

Le DG de l'ANSSI distingue deux cas de figure. D'un côté, un formulaire commun DORA/NIS 2 est en préparation : les deux cadres sont jugés suffisamment compatibles pour ne pas nuire à la célérité nécessaire pour alerter les « cyberpompiers » en cas d'incident. De l'autre, l'articulation avec le RGPD reste plus délicate : délais de notification, analyse d'impact, cinématique de la procédure — les logiques diffèrent suffisamment pour qu'une « fusion brutale » des guichets place les entreprises « dans une situation impossible », contraintes de répondre à plusieurs injonctions contradictoires dans une seule et même notification.

Cet échange s'inscrit dans un contexte plus large : l'ANSSI, la Banque de France et l'ACPR viennent de signer un accord de coopération en matière de sécurité des systèmes d'information articulé autour de quatre axes, dont des « tests d'intrusion avancés ». Un signal fort par rapport à l'accord de 2018 entre les deux institutions, qui se limitait à un simple échange régulier d'informations. Cette montée en puissance fait écho aux annonces d'avril de Sébastien Lecornu, qui avait appelé l'ensemble des services de l'État à tester systématiquement leurs vulnérabilités après le piratage de l'ANTS.

Pourquoi c'est important pour les DPO et RSSI

Les organisations du secteur financier — banques, assurances, fintechs, mutuelles — sont aujourd'hui prises entre trois régimes qui se recouvrent partiellement sans se confondre : le RGPD protège les données personnelles, NIS 2 vise la cybersécurité des secteurs critiques, et DORA impose la résilience opérationnelle numérique au secteur financier. Chacun de ces textes a sa propre autorité de contrôle, ses propres délais et son propre formalisme de notification. La position de Vincent Strubel confirme ce que Leto documente depuis plusieurs mois : la tentation de « tout fusionner » dans un outil administratif unique est réelle, mais elle se heurte à des différences de fond que la seule ergonomie ne peut pas résorber.

Le rapport du Joint Committee des superviseurs européens (EBA, EIOPA, ESMA) publié en 2026 pointait déjà plus de 3 380 incidents ICT majeurs déclarés au titre de DORA sur un an, illustrant l'ampleur du sujet pour les organismes financiers. Sans référentiel unifié entre RGPD (article 32), NIS 2 et DORA, chaque déclaration d'incident impose de reconstituer un dossier différent pour chaque autorité, avec des délais qui ne coïncident pas toujours.

Ce que ça change concrètement

Pour les DPO et RSSI d'organisations soumises à plusieurs de ces régimes, trois actions concrètes découlent de cette clarification :

1. Ne pas attendre un guichet unique RGPD/NIS 2/DORA : il ne verra probablement pas le jour sous cette forme. Mieux vaut construire, en interne, un référentiel de gestion d'incident capable d'alimenter chaque déclaration séparément à partir d'une même chaîne de collecte de preuves.
2. Suivre de près le futur formulaire commun DORA/NIS 2, dont l'annonce est actée : il faudra l'intégrer dans les procédures internes dès sa publication.
3. Documenter la cinématique propre à chaque texte — 72 heures pour la notification RGPD à la CNIL (article 33), délais spécifiques sous NIS 2 et sous DORA — pour éviter qu'un incident cyber ne déclenche une course contre la montre mal préparée sur plusieurs fronts à la fois.

Cette clarification intervient alors que l'État lui-même muscle sa doctrine cyber, avec des tests d'intrusion généralisés, des budgets renforcés, et une pression accrue sur l'ensemble de l'écosystème public et privé pour prouver sa résilience plutôt que de simplement la déclarer.

Ce que Leto pense de cette décision

Le réflexe du guichet unique est compréhensible : personne n'aime remplir trois formulaires pour un seul incident. Mais Vincent Strubel a raison de rappeler une évidence trop souvent oubliée par les promoteurs de la simplification administrative : un outil ne corrige pas une divergence de droit. RGPD, NIS 2 et DORA protègent des intérêts différents — les personnes, les infrastructures critiques, la stabilité financière — et les fusionner artificiellement dans un seul formulaire reviendrait à faire porter aux entreprises le coût d'une incohérence qui devrait se régler au niveau législatif. Pour les DPO et RSSI, le message est clair : la simplification viendra texte par texte, pas par un raccourci administratif. Autant s'organiser dès maintenant avec un référentiel de conformité interne unifié, plutôt que d'attendre un guichet qui ne viendra pas.

Sources : Silicon.fr, « ANSSI et ACPR coopèrent sur la cyber offensive », 8 juillet 2026 ; cyber.gouv.fr, accord de coopération ANSSI/ACPR/Banque de France