Conformité cyber : ce que le RGPD, NIS2 et DORA exigent vraiment d'une PME

Pourquoi la conformité n'est pas qu'une affaire de juristes

Pour beaucoup de dirigeants, « conformité » évoque un classeur rangé dans un placard et une mention légale en bas du site. C'est une lecture dangereuse, parce que les textes qui comptent pour une PME (le RGPD, et demain NIS2) ne demandent pas d'abord des documents : ils demandent de protéger réellement les données et les systèmes, puis de pouvoir le prouver.

Les chiffres de 2025 montrent que le sujet a quitté le terrain théorique :

Autrement dit : l'incident est probable, et le jour où il survient, la question posée par la CNIL, l'assureur ou un client ne sera pas « aviez-vous un classeur ? » mais « qu'aviez-vous mis en place, et depuis quand ? ». La conformité, c'est la capacité à répondre à cette question.

Elle a aussi un effet commercial immédiat. Les grands comptes, les établissements de santé et le secteur financier répercutent leurs propres obligations sur leurs fournisseurs : questionnaires de sécurité, clauses de notification d'incident, demandes d'audit. Pour une PME sous-traitante, la réglementation arrive souvent par le contrat avant d'arriver par la loi.

Se situer en sept questions

Répondez par oui ou par non. Un « à peu près » vaut non : ce qui ne peut pas être montré n'existe pas aux yeux d'un contrôleur.

1. Votre registre des traitements a-t-il été mis à jour depuis moins d'un an ?

Non : c'est l'obligation de base du RGPD, et le point de départ de tout le reste. Sans registre, vous ne savez ni quelles données vous détenez, ni où elles sont, ni qui y accède. Oui : vérifiez qu'il reflète la réalité (outils cloud, CRM, paie externalisée) et pas un modèle rempli une fois.

2. Savez-vous, par écrit, si vous devez désigner un DPO ?

Non : la désignation est obligatoire dans trois cas précis (voir plus bas). Si vous n'y êtes pas soumis, documentez ce raisonnement ; si vous l'êtes, un DPO interne ou externalisé doit être déclaré à la CNIL.

3. Existe-t-il une procédure écrite de notification des violations de données, avec le nom de la personne qui la déclenche ?

Non : le délai de 72 heures de l'article 33 du RGPD court à partir de la prise de connaissance de la violation. Sans procédure, ce délai est presque toujours dépassé, et le retard devient un manquement en soi.

4. Les durées de conservation sont-elles réellement appliquées (des données sont-elles effectivement supprimées) ?

Non : chaque donnée conservée sans raison est une donnée qui peut fuiter. C'est aussi l'un des manquements les plus simples à constater lors d'un contrôle.

5. Avez-vous la liste de vos sous-traitants qui manipulent des données personnelles, avec des clauses contractuelles adaptées ?

Non : hébergeur, éditeur SaaS, prestataire de paie, infogérant… vous restez responsable de ce qu'ils font de vos données. Beaucoup de violations passent par un sous-traitant.

6. Avez-vous fait le test d'éligibilité NIS2 de l'ANSSI ?

Non : le test « Suis-je concerné ? » de la plateforme MonEspaceNIS2 prend quelques minutes. Même si la directive n'est pas encore transposée en France, savoir si vous serez dans le périmètre change votre calendrier.

7. Si vous travaillez pour la finance, la santé ou traitez des paiements par carte, avez-vous identifié les exigences DORA, HDS ou PCI DSS qui vous concernent ?

Non : ces exigences s'appliquent directement à vous (HDS, PCI DSS) ou vous seront imposées par contrat par vos clients (DORA). Elles se découvrent mal au moment d'un appel d'offres.

Lecture : quatre « non » ou plus, commencez par les trois premières mesures ci-dessous avant toute autre dépense. Deux ou trois « non » : vous avez une base, il reste à la rendre démontrable. Aucun « non » : l'enjeu devient la preuve de l'efficacité (audit, revue annuelle).

Les mesures prioritaires, dans l'ordre

L'ordre compte : chaque étape s'appuie sur la précédente. Sauter directement à la certification ou au « pack conformité » revient à construire sans fondations.

1. Cartographier : registre et sous-traitants

Listez les traitements de données personnelles (clients, prospects, salariés, candidats, fournisseurs), leur finalité, les catégories de données, les destinataires, la durée de conservation et l'endroit où elles sont stockées. Ajoutez la liste des sous-traitants concernés. La CNIL propose un modèle de registre simplifié : utilisez-le comme trame, pas comme résultat.

2. Préparer la notification des violations

Une page suffit : qui qualifie l'incident, qui décide de notifier la CNIL, qui informe les personnes concernées si le risque est élevé, où l'on consigne chaque violation (même non notifiée, l'article 33 impose de la documenter). Ajoutez-y un rappel qui coûte cher à oublier : pour être indemnisée par son assurance au titre d'une cyberattaque, une entreprise doit déposer plainte dans les 72 heures suivant la connaissance de l'atteinte (article L. 12-10-1 du code des assurances).

3. Mettre en place les mesures de sécurité de base

L'article 32 du RGPD n'impose pas une liste de produits : il impose un niveau de sécurité adapté au risque. Deux référentiels publics donnent le contenu concret :

Priorités habituelles : authentification multifacteur sur la messagerie et les accès distants, gestion des droits, sauvegardes testées, chiffrement des postes nomades et des échanges sensibles, mises à jour.

4. Appliquer les durées de conservation

Fixez une durée par traitement, puis programmez la suppression ou l'archivage : une purge annuelle datée vaut mieux qu'une politique parfaite jamais exécutée.

5. Trancher la question du DPO

Si la désignation est obligatoire, choisissez entre un profil interne formé et un DPO externalisé, et déclarez-le à la CNIL. Si elle ne l'est pas, nommez tout de même un référent : le sujet doit appartenir à quelqu'un.

6. Réaliser les analyses d'impact nécessaires

Une analyse d'impact (AIPD) est requise pour les traitements susceptibles d'engendrer un risque élevé : vidéosurveillance, données de santé, profilage, surveillance des salariés. Elle se fait avant la mise en œuvre, pas après la plainte.

7. Se positionner sur NIS2, DORA, HDS et PCI DSS

Faites le test MonEspaceNIS2, recensez vos clients soumis à DORA et les exigences qu'ils vous transmettent, vérifiez si vous hébergez des données de santé ou traitez des données de carte bancaire. Pour anticiper NIS2, l'ANSSI publie depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées : c'est aujourd'hui la meilleure feuille de route disponible.

8. Inscrire une revue annuelle à l'ordre du jour de la direction

Registre, violations de l'année, sous-traitants, plan d'action : une réunion par an, avec un compte rendu. C'est ce qui transforme des efforts ponctuels en conformité démontrable, et c'est exactement ce que NIS2 exigera des organes de direction.

Les erreurs fréquentes

Ce que ça coûte

Les fourchettes ci-dessous proviennent du catalogue de prestations Lyyp. Elles donnent un ordre de grandeur ; le prix réel dépend du périmètre (nombre de sites, de traitements, d'applications) et doit figurer dans un devis détaillé.

Faire le point

Se mettre en conformité

Répondre à un référentiel sectoriel

Pour une PME sans obligation sectorielle, le parcours réaliste est un état des lieux, puis une mise en conformité RGPD ciblée : quelques milliers d'euros, pas des dizaines.

Ce que les textes imposent réellement

RGPD : toutes les entreprises

Pour aller plus loin sur l'articulation entre ces obligations et la sécurité technique, lisez notre article sur les liens entre RGPD et cybersécurité ou la fiche RGPD du lexique.

NIS2 : pas encore applicable en France

La directive (UE) 2022/2555 devait être transposée au plus tard le 17 octobre 2024. Au 13 septembre 2026, elle ne l'est pas en France : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat le 12 mars 2025, puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, mais n'a pas encore été examiné en séance publique. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, l'Irlande, l'Espagne et les Pays-Bas pour défaut de transposition.

Conséquence : aucune obligation NIS2 n'est aujourd'hui exigible, et aucune sanction NIS2 ne peut être prononcée en France. Ce que la directive prévoit, et que la loi précisera :

Le détail (secteurs, seuils, effet sur les sous-traitants) est traité dans notre article NIS2 : votre PME est-elle concernée ? et dans la fiche NIS2.

DORA : secteur financier, applicable

Le règlement (UE) 2022/2554 s'applique depuis le 17 janvier 2025, directement, sans transposition. Il vise les entités financières (banques, assurances, établissements de paiement, sociétés de gestion…). Une PME est concernée indirectement si elle leur fournit des services informatiques : ses clients doivent tenir un registre de leurs contrats de services TIC et encadrer ces contrats (article 28), et ils vous transmettront leurs exigences de continuité, de notification et d'audit.

HDS : si vous hébergez des données de santé

L'article L. 1111-8 du code de la santé publique impose à tout hébergeur de données de santé à caractère personnel sur support numérique, pour le compte de tiers, d'être certifié par un organisme accrédité. Un éditeur de logiciel médical qui héberge les données de ses clients est concerné.

PCI DSS : si vous traitez des données de carte bancaire

PCI DSS n'est pas une loi mais une norme contractuelle imposée par les réseaux de cartes, via votre banque ou votre prestataire de paiement. La version 3.2.1 a été retirée le 31 mars 2024 ; les 51 exigences « à date différée » de la version 4.x sont obligatoires depuis le 31 mars 2025. Confier le paiement à un prestataire certifié réduit fortement votre périmètre.

Passer à l'action

Commencez par mesurer. Le diagnostic Lyyp ciblé sur la conformité pose 8 questions (DPO, registre, politique de gestion des données, durées de conservation, analyses d'impact, positionnement NIS2, notification d'incident, cryptographie). Il est gratuit, et vous repartez avec un score et vos failles prioritaires sur ce domaine. Si vous ne savez pas par quel domaine commencer, voyez par où commencer.

Ensuite, faites chiffrer les chantiers identifiés : consultez les prestataires en conformité RGPD référencés sur Lyyp, et comparez au moins deux devis sur un périmètre écrit.

Sources