NIS2 et RGPD : les différences, les recoupements et comment gérer un même incident au titre des deux textes

NIS2 et le RGPD protègent des choses différentes. Le RGPD protège les données à caractère personnel et les personnes qu’elles concernent ; NIS2 protège les réseaux et systèmes d’information qui font fonctionner les services essentiels et importants. Les hôpitaux, les ministères et les fournisseurs de cloud relèvent généralement des deux. Une seule attaque par rançongiciel peut alors entraîner une alerte précoce NIS2 dans les 24 heures et une notification RGPD dans les 72 heures, adressées à deux autorités différentes.

Ce guide couvre les différences, le champ d’application de chaque texte, les obligations de sécurité, la notification, les amendes, un exemple détaillé, une procédure commune et une liste de contrôle.

	RGPD, règlement (UE) 2016/679	NIS2, directive (UE) 2022/2555
Protège	Les données à caractère personnel et les droits des personnes	Les réseaux et systèmes d’information et les services qu’ils font fonctionner
Forme juridique	Règlement, d’application directe	Directive, appliquée par le droit national, qui peut ajouter des précisions
Qui est concerné	Responsables du traitement et sous-traitants de données à caractère personnel (art. 2 et 3)	Entités des annexes I et II de taille moyenne ou plus, certaines quelle que soit leur taille (art. 2)
Obligation de sécurité	Art. 32 : sécurité adaptée au risque pour les personnes	Art. 21 : mesures adaptées au risque pour les systèmes, dix mesures minimales
Ce qui est notifié	Violation de données à caractère personnel (art. 4, point 12))	Incident important (art. 23, par. 3)
Délai	Dans les meilleurs délais, si possible dans les 72 heures (art. 33)	Alerte précoce 24 heures, notification 72 heures, rapport final un mois plus tard (art. 23, par. 4)
Qui d’autre est informé	Les personnes concernées, en cas de risque élevé (art. 34)	Les destinataires des services, lorsque c’est approprié (art. 23, par. 1)
Autorité	Autorité de contrôle chargée de la protection des données	CSIRT ou autorité compétente NIS2
Amendes maximales	10 millions d’euros ou 2 %, ou 20 millions d’euros ou 4 % (art. 83)	Au moins 10 millions d’euros ou 2 % pour les entités essentielles, 7 millions d’euros ou 1,4 % pour les entités importantes (art. 34)

Quelle est la différence entre NIS2 et le RGPD ?

La principale différence tient au risque pris en compte. L’article 32 du RGPD impose une sécurité adaptée au risque « pour les droits et libertés des personnes physiques ». L’article 21 de NIS2 exige des mesures contre les risques qui menacent les systèmes que les entités utilisent « dans le cadre de leurs activités ou de la fourniture de leurs services ». Une analyse RGPD se demande ce qu’il advient des personnes si leurs données sont perdues ou exposées. Une analyse NIS2 se demande ce qu’il advient du service, et de tous ceux qui en dépendent, si les systèmes tombent en panne. Une interruption de service sans aucune donnée à caractère personnel en jeu concerne NIS2, pas le RGPD.

NIS2 s’applique « sans préjudice du » RGPD (art. 2, par. 12) : elle n’allège aucune obligation du RGPD. Les données à caractère personnel traitées au titre de NIS2 le sont conformément au RGPD (art. 2, par. 14).

Une remarque sur les numéros, car ils sont souvent confondus : l’article 21 du RGPD est le droit d’opposition. L’article du RGPD consacré à la sécurité est l’article 32. Dans NIS2, c’est l’article 21.

Qui relève de NIS2, du RGPD ou des deux ?

Le RGPD s’applique aux responsables du traitement et aux sous-traitants établis dans l’UE, ainsi qu’à ceux établis hors de l’UE qui proposent des biens ou des services à des personnes dans l’UE ou y suivent leur comportement (art. 3). Presque toutes les organisations sont concernées, ne serait-ce que pour les dossiers de leur personnel.

NIS2 s’applique aux entités d’un type figurant à l’annexe I ou II qui sont des moyennes entreprises ou plus grandes au sens de la définition européenne des PME (art. 2, par. 1). Certaines sont couvertes quelle que soit leur taille, comme les prestataires de services de confiance et l’administration publique relevant du gouvernement central (art. 2, par. 2). Le vérificateur de périmètre NIS2 donne une première réponse.

L’administration publique et la santé relèvent-elles des deux ?

Généralement, oui. Toutes deux traitent des données à caractère personnel, et toutes deux sont des secteurs de l’annexe I de NIS2.

• Administration publique. Le RGPD s’applique, et une autorité publique doit désigner un délégué à la protection des données (DPO) (art. 37, par. 1, point a)). NIS2 couvre l’administration publique relevant du gouvernement central quelle que soit sa taille, et celle du niveau régional après une évaluation fondée sur les risques (art. 2, par. 2, point f)). Les États membres peuvent y ajouter l’administration publique au niveau local (art. 2, par. 5) ; la sécurité nationale, la sécurité publique, la défense et l’application de la loi sont exclues (art. 2, par. 7). Dans les deux textes, chaque État membre décide si des amendes peuvent être infligées aux organismes publics (art. 83, par. 7, du RGPD ; art. 34, par. 7, de NIS2).
• Santé. Les données de santé relèvent des catégories particulières (art. 9 du RGPD), et leur traitement à grande échelle en tant qu’activité de base impose la désignation d’un délégué à la protection des données (art. 37, par. 1, point c)). Les prestataires de soins de santé sont un type d’entité de l’annexe I : un hôpital de taille moyenne ou plus relève donc de NIS2, et un grand hôpital est une entité essentielle (art. 3, par. 1, point a)). Le détail sectoriel figure dans NIS2 pour les hôpitaux et la pharmacie.

Et les fournisseurs de cloud ?

Les fournisseurs de services d’informatique en nuage sont, en tant que tels, un type d’entité de l’annexe I de NIS2, et généralement des sous-traitants au sens du RGPD. L’article 28 du RGPD impose au sous-traitant de prendre les mesures de l’article 32, d’aider au respect des articles 32 à 36, de permettre des audits et de ne recruter un autre sous-traitant qu’avec l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. L’article 21, paragraphe 2, point d), et paragraphe 3, de NIS2 impose à un client relevant du champ d’application de gérer la sécurité avec ses fournisseurs directs. En pratique, une seule annexe sécurité couvre les deux.

Article 32 du RGPD et article 21 de NIS2 : quelles différences ?

L’article 32 du RGPD cite quatre mesures, « selon les besoins » : la pseudonymisation et le chiffrement ; la confidentialité, l’intégrité, la disponibilité et la résilience ; le rétablissement dans des délais appropriés après un incident ; et des tests réguliers. L’article 21, paragraphe 2, de NIS2 énumère dix mesures minimales, de l’analyse des risques à l’authentification à plusieurs facteurs lorsque c’est approprié. La plupart des mesures servent les deux textes.

Deux points diffèrent. Le périmètre : NIS2 couvre tous les systèmes utilisés pour faire fonctionner le service, y compris la gestion technique des bâtiments ou les réseaux de dispositifs médicaux qui ne contiennent aucune donnée à caractère personnel. Le RGPD suit les données à caractère personnel partout où elles vont, y compris les dossiers papier contenus dans un fichier (art. 2, par. 1). La gouvernance : dans NIS2, les organes de direction approuvent les mesures et en supervisent la mise en œuvre, peuvent être tenus responsables des manquements à l’article 21 et doivent suivre une formation (art. 20) ; dans le RGPD, le responsable du traitement est responsable du respect des principes (art. 5, par. 2).

En quoi la notification diffère-t-elle entre le RGPD et NIS2 ?

Au titre du RGPD, on notifie une violation de données à caractère personnel : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel, ou l’accès non autorisé à de telles données (art. 4, point 12)). Le responsable du traitement la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Une notification tardive doit être motivée (art. 33, par. 1) ; les informations peuvent être communiquées de manière échelonnée (art. 33, par. 4). Toute violation est consignée en interne (art. 33, par. 5). Si le risque est élevé, les personnes concernées sont informées dans les meilleurs délais (art. 34), sauf, par exemple, si le chiffrement a rendu les données incompréhensibles (art. 34, par. 3, point a)).

Au titre de NIS2, on notifie un incident important : un incident qui cause ou peut causer une perturbation opérationnelle grave ou des pertes financières pour l’entité, ou des dommages considérables à d’autres (art. 23, par. 3). L’entité adresse à son CSIRT ou à son autorité compétente une alerte précoce dans les 24 heures suivant la prise de connaissance, une notification d’incident dans les 72 heures et un rapport final dans un délai d’un mois après la notification (art. 23, par. 4). Détails : le calendrier de notification des incidents NIS2 et le seuil de l’incident important.

Les seuils vont en sens inverse. Le RGPD impose la notification par défaut et n’en dispense que les violations qui ne sont pas susceptibles d’engendrer un risque ; le « risque élevé » décide seulement si les personnes sont informées. NIS2 ne fait notifier que ce qui franchit le seuil de l’incident important.

Incident	Important au sens de NIS2 ?	Violation au sens du RGPD ?	Notifications
Un rançongiciel chiffre les dossiers des patients d’un hôpital et bloque les admissions	Oui	Oui	Les deux
La lettre d’un patient est envoyée au mauvais patient	Presque jamais	Oui	RGPD, sauf si aucun risque n’est probable
Une attaque arrête la station de traitement d’un service des eaux, aucune donnée à caractère personnel touchée	Oui	Non	NIS2 uniquement

Peut-on cumuler des amendes NIS2 et RGPD ?

Pas pour le même comportement. Au titre du RGPD, la violation des articles 25 à 39, qui comprennent la sécurité (art. 32) et la notification (art. 33 et 34), peut coûter jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, par. 4). La violation des principes de l’article 5, dont « intégrité et confidentialité », peut atteindre 20 millions d’euros ou 4 % (art. 83, par. 5) : un manquement grave à la sécurité peut donc relever du plafond supérieur.

Pour les manquements aux articles 21 ou 23 de NIS2, le droit national doit prévoir des amendes maximales d’au moins 10 millions d’euros ou 2 % pour les entités essentielles, le montant le plus élevé étant retenu. Pour les entités importantes, c’est 7 millions d’euros ou 1,4 % (art. 34). NIS2 ne prévoit pas de palier à 4 % ; voir les amendes administratives NIS2.

L’article 35 relie les deux :

1. Une autorité NIS2 qui constate, dans le cadre de la supervision ou de l’exécution, qu’un manquement aux articles 21 ou 23 peut entraîner une violation de données à caractère personnel devant être notifiée au titre du RGPD en informe l’autorité de contrôle sans retard injustifié (art. 35, par. 1).
2. Si l’autorité de contrôle inflige une amende au titre de l’article 58, paragraphe 2, point i), du RGPD, l’autorité NIS2 ne peut pas infliger d’amende au titre de l’article 34 pour un manquement découlant du même comportement (art. 35, par. 2).
3. Elle peut toujours recourir à ses autres mesures d’exécution, comme les avertissements, les instructions contraignantes et les injonctions (art. 32, par. 4 et 5, et art. 33, par. 4).

Selon sa lettre, l’article 35, paragraphe 2, ne vise que le même comportement : on peut soutenir qu’une alerte précoce NIS2 tardive est un comportement distinct, que l’amende RGPD ne couvre pas.

Un incident, deux notifications : un exemple détaillé

Un hôpital de 1 200 salariés : entité essentielle au sens de NIS2 et responsable du traitement de données de santé au sens du RGPD. Les horaires sont donnés à titre d’illustration.

1. Lundi, 8 h. Rançongiciel confirmé, admissions réorientées. Prise de connaissance d’un incident important : le délai NIS2 commence à courir.
2. Lundi, 13 h. L’analyse forensique établit que la base de données des dossiers patients est chiffrée et que d’importants transferts sortants ont eu lieu la nuit précédente. Prise de connaissance d’une violation de données à caractère personnel : le délai RGPD commence à courir.
3. Lundi, 17 h. Alerte précoce NIS2 au CSIRT : acte malveillant suspecté, impact transfrontière inconnu. L’échéance était mardi 8 h.
4. Mardi. Des données de santé et une exfiltration probable signifient un risque élevé : les patients sont informés (art. 34), par une communication publique lorsque des lettres individuelles exigeraient des efforts disproportionnés (art. 34, par. 3, point c)). Lorsque c’est approprié, les destinataires des services de l’hôpital sont informés de l’incident important (art. 23, par. 1, de NIS2).
5. Mercredi. Notification RGPD à l’autorité de contrôle avec ce qui est connu, compléments à suivre. Échéance, si possible : jeudi 13 h.
6. Jeudi, avant 8 h. Notification d’incident NIS2 : gravité, impact, indicateurs de compromission.
7. Dans un délai d’un mois après celle-ci. Rapport final NIS2 : cause profonde, mesures d’atténuation, impact transfrontière.

Deux délais décalés de cinq heures, deux autorités, un seul ensemble de faits. Si un fournisseur de cloud avait hébergé les dossiers, il aurait informé l’hôpital dans les meilleurs délais (art. 33, par. 2, du RGPD) et déposé ses propres notifications NIS2 si l’incident avait été important pour son service.

Procédure commune de gestion des incidents NIS2 et RGPD

PROCÉDURE COMMUNE DE GESTION DES INCIDENTS NIS2 / RGPD

1. OUVRIR UN SEUL DOSSIER D'INCIDENT
   ID, systèmes touchés, services touchés, première alerte (UTC)

2. POSER DEUX QUESTIONS, NOTER DEUX HORODATAGES
   Q1 NIS2 : incident important ?             O / N / inconnu
      perturbation grave ou perte financière pour nous ?
      dommages considérables à d'autres ?
      Si O : noter T0, prise de connaissance NIS2
   Q2 RGPD : violation de données personnelles ?   O / N / inconnu
      données détruites, perdues, altérées, divulguées, consultées ?
      quelles catégories ? santé ou autre catégorie particulière ?
      Si O : noter P0, prise de connaissance RGPD
   Reposer les deux questions à chaque mise à jour.

3. VOLET NIS2 (responsable : pilote de l'incident)
   T0 + 24 h    alerte précoce, CSIRT ou autorité compétente
   T0 + 72 h    notification d'incident
   sur demande  rapport intermédiaire
   N + 1 mois   rapport final (N = envoi de la notification)
   si besoin    informer les destinataires des services

4. VOLET RGPD (responsable : DPO ou référent protection des données)
   P0 + 72 h    notifier l'autorité de contrôle, si possible,
                sauf si un risque est improbable
                retard : motiver ; incomplet : échelonner
   sans délai   informer les personnes concernées si risque élevé
   toujours     consigner dans le registre interne des violations
   sous-traitant ?  informer le responsable du traitement
                dans les meilleurs délais

5. UN SEUL ENSEMBLE DE FAITS
   Même chronologie, périmètre et cause profonde dans chaque rapport.
   Expliquer par écrit tout écart entre les rapports.

6. CLÔTURE
   Retour d'expérience, lacunes corrigées, registre des risques à jour.

Que ne précisent pas NIS2 et le RGPD ?

Les deux textes font courir le délai à partir de la prise de connaissance. Aucun ne dit comment on en prend connaissance, ni comment répondre à temps à leurs questions.

• Deux cartographies. NIS2 exige de relier les systèmes aux services et aux clients ; le RGPD, de relier les systèmes aux catégories de données à caractère personnel. En pratique, l’informatique tient l’une, le DPO l’autre, et elles ne se rejoignent pas. Réunies, elles permettent de répondre en quelques minutes à la question « y avait-il des données de santé sur les serveurs chiffrés ? »
• Journaux. Savoir si des données ont quitté le réseau, et si elles étaient chiffrées, détermine s’il faut informer les personnes. Cela suppose des journaux interrogeables, conservés assez longtemps, et un chiffrement que vous pouvez prouver.
• Un seul ensemble de mesures. Chiffrement, contrôle d’accès, MFA, gestion des correctifs et restaurations testées servent à la fois l’article 32 et l’article 21. Collectez les preuves une fois, rattachez-les deux fois. Un SMSI en contient déjà l’essentiel : voir ISO 27001 et NIS2.

La plateforme CloudSoul, une plateforme automatisée avec une expertise humaine dans la boucle, collecte ces preuves en continu, tient un seul dossier d’incident pour les deux volets et laisse à une personne les décisions sur l’importance de l’incident et le niveau de risque. Le programme dans son ensemble est présenté sur la page conformité NIS2.

Liste de contrôle NIS2 et RGPD

• Tenez un inventaire unique qui relie les systèmes aux services et aux catégories de données à caractère personnel.
• Désignez un pilote des incidents et un responsable des violations de données, chacun avec un suppléant joignable en dehors des heures ouvrées.
• Enregistrez séparément, pour chaque incident, le moment de la prise de connaissance au titre de NIS2 et au titre du RGPD.
• Préparez des modèles pour l’alerte précoce, la notification RGPD et l’information des personnes, et testez les deux canaux de notification.
• Inscrivez dans les contrats les obligations de notification des sous-traitants et des fournisseurs, exprimées en heures.
• Documentez un seul ensemble de mesures au regard de l’article 32 comme de l’article 21.
• Faites passer un même incident par les deux volets lors d’un exercice, au moins une fois par an.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 2, 3, 4, 5, 9, 21, 28, 32, 33, 34, 37, 58 et 83, EUR-Lex.
• Directive (UE) 2022/2555 (NIS2), articles 2, 3, 20, 21, 23, 32, 33, 34 et 35 et annexe I, EUR-Lex.

Questions fréquentes