★ À maîtriser
Le RGPD s’applique aux données personnelles sur supports numériques et papier, tandis que la loi Informatique et Libertés de 1978 ne visait que les fichiers informatisés.
Le responsable de traitement détermine la finalité et les moyens du traitement, tandis que le sous-traitant traite les données pour le compte du responsable.
Le traitement des données sensibles, notamment celles relatives aux opinions politiques, aux convictions religieuses, à la santé et à l’origine ethnique, est interdit par principe, sauf exceptions encadrées ; les données relatives aux infractions et aux condamnations relèvent d’un régime distinct, également encadré.
Compléments
📌 Le sous-traitant a ses propres obligations au titre du RGPD et peut être sanctionné, même si le traitement est réalisé pour le compte du responsable.
📌 Les données bancaires et le numéro de sécurité sociale sont des données critiques qui appellent une vigilance et une sécurité accrues.
📌 L’article 28 du RGPD énumère les clauses obligatoires des contrats de sous-traitance.
L’hébergement de fiches de paie constitue un traitement pour lequel aucun consentement n’est requis lorsque la base légale est le contrat de travail ou une obligation légale, mais les salariés doivent être informés.
Les fiches de paie se conservent pendant 5 ans.
Le RGPD couvre le papier comme le numérique, contrairement à la loi de 1978.
★ À maîtriser
Les grands principes du RGPD sont :
Les bases de licéité sont :
📌 Un consentement valable doit être libre, spécifique, éclairé et exprimé par un acte positif ; son retrait doit être aussi simple que son octroi.
📌 Le détournement de finalité est interdit : un garagiste ne peut pas revendre son fichier à un assureur et un maire ne peut pas réutiliser pour un autre motif les adresses e-mail collectées auprès d’étudiants.
📌 La durée de conservation ne doit pas dépasser ce qui est nécessaire à la finalité du traitement, et tout écart aux référentiels sectoriels de la CNIL doit être justifié.
Le cycle de vie des données passe de la base active à l’archivage intermédiaire, puis à la suppression sécurisée ou à l’archivage définitif à vocation historique ou publique.
L’information des personnes doit préciser : l’identité du responsable de traitement, la finalité, le caractère obligatoire ou facultatif des réponses, les destinataires internes, externes ou administratifs, la durée de conservation, les droits des personnes
Compléments
📌 Le responsable de traitement doit conserver la preuve du consentement et adapter l’information à l’âge du public, notamment pour les mineurs.
📌 L’intérêt légitime, par exemple pour la prospection de clients existants, doit être encadré et mis en balance avec les droits des personnes, qui peuvent s’y opposer.
Les sanctions de la CNIL peuvent atteindre 20 M€ ou 4 % du chiffre d’affaires mondial et se cumuler avec des poursuites pénales.
La CNIL a infligé une amende de 1 750 000 € à AG2R La Mondiale pour conservation excessive de données de santé et bancaires, conservation de prospects au-delà de 3 ans et défaut d’information ; la décision a été rendue publique.
L’information doit également préciser : les coordonnées du DPO, la base juridique du traitement, le droit d’introduire une réclamation auprès de la CNIL, les modalités de retrait du consentement, les intérêts légitimes poursuivis, l’existence de décisions automatisées ou de profilage
📌 En cas de collecte indirecte, la personne doit être informée de la source des données au plus tard dans un délai d’un mois.
📌 Pour les transferts hors UE, l’information mentionne une décision d’adéquation ou, à défaut, des règles d’entreprise contraignantes ou des clauses contractuelles types.
★ À maîtriser
📌 En prospection électronique B2C, le consentement préalable est requis sauf pour les organismes caritatifs et les clients existants sollicités pour des produits similaires, tandis qu’en B2B une information et un droit d’opposition suffisent si le message est lié à la profession.
📌 Le refus des cookies doit nécessiter autant de clics que leur acceptation, les boutons ne doivent pas utiliser de code couleur trompeur et le renvoi vers le paramétrage du navigateur est insuffisant.
L’approche de sécurité dépend du volume et de la sensibilité des données, et non de la taille de l’entreprise.
La désignation d’un DPO est obligatoire dans les cas suivants : l’organisme est une autorité ou un organisme public, le traitement porte à grande échelle sur des données sensibles ou pénales, le traitement consiste en un suivi régulier et systématique à grande échelle
Compléments
📌 La prospection téléphonique ne requiert pas de consentement préalable, mais la personne dispose d’un droit d’opposition ; la durée indiquée pour la prospection est de 3 ans après le dernier contact en B2C et de 3 ans en B2B.
Le modèle « refuser ou s’abonner » pour les cookies a été jugé légal.
Les risques de sécurité comprennent :
La triade CIA désigne :
📌 La privacy by design intègre la protection dès la conception, tandis que la privacy by default applique le paramétrage le plus protecteur par défaut.
Le registre des traitements inventorie tous les traitements, peut être tenu dans un simple tableau Excel et doit conserver ses versions antérieures pour prouver son évolution.
Le DPO peut être interne ou externe et doit être indépendant dans l’exercice de ses fonctions ; il ne peut être ni DSI, ni directeur marketing, ni PDG.
Le DPO informe, conseille, contrôle, tient le registre, pilote les AIPD et sert d’interlocuteur privilégié à la CNIL.
★ À maîtriser
La CNIL doit être notifiée d’une violation de données sous 72 h lorsqu’elle présente un risque pour les droits et libertés des personnes ; une notification initiale peut être complétée ultérieurement via le téléservice en ligne.
Les personnes concernées doivent être informées d’une violation lorsqu’elle présente un risque élevé, éventuellement par une communication publique.
L’article 28 impose au contrat de sous-traitance de limiter le traitement aux instructions documentées du responsable de traitement et d’interdire la réutilisation des données.
L’analyse d’impact relative à la protection des données doit être réalisée avant le traitement et renouvelée tous les 3 ans ; la CNIL publie des listes de traitements obligatoirement soumis, exemptés ou relevant d’une zone intermédiaire.
Compléments
📌 Le responsable de traitement doit tenir un registre interne des violations, y compris celles qui ne sont pas notifiées à la CNIL.
L’omission de notification d’une violation peut entraîner une amende allant jusqu’à 10 M€ ou 2 % du chiffre d’affaires, ainsi que des sanctions pénales pouvant atteindre 5 ans d’emprisonnement et 300 000 €.
Les mesures citées comprennent :
📌 Le contrat doit préciser la gestion et la notification des violations, notamment le délai de remontée de 24 à 48 h et le contenu des informations transmises.
Le contrat doit prévoir des clauses d’audit sur pièces ou sur place, la prise en charge des coûts, les conditions d’une sous-traitance ultérieure, les transferts hors UE, la réversibilité des données, la répartition des risques et une assurance cyber justifiée annuellement.
Un écran de télésurveillance visible à l’accueil d’un EHPAD et les badges de résidents atteints de la maladie d’Alzheimer sont des exemples de traitements à encadrer.
Les codes de conduite peuvent être sectoriels, par exemple dans le cloud, et les certifications peuvent porter sur des procédés, par exemple la formation DPO ; les anciens labels CNIL ont disparu et la référence citée est ISO 27001.
Incident → CNIL sous 72 h → personnes si risque élevé
★ À maîtriser
Les sanctions de la CNIL peuvent se cumuler sur les plans civil, pénal et administratif et être graduées de l’avertissement au rappel à l’ordre, à l’injonction et à la suspension du traitement.
Les plafonds d’amende de niveau 1 sont de 10 M€ ou 2 % du chiffre d’affaires mondial, tandis que ceux de niveau 2 sont de 20 M€ ou 4 % du chiffre d’affaires mondial.
📌 Les demandes d’exercice des droits doivent recevoir une réponse gratuite sous 1 mois, délai prolongeable de 2 mois en cas de complexité si la personne en est informée pendant le premier mois.
Compléments
La CNIL détermine les sanctions selon la nature, la gravité et la durée des faits, le nombre de personnes concernées, les dommages, la coopération et la mise en demeure, généralement fixée à 6 mois ; la décision peut être publiée.
Les contrôles de la CNIL peuvent être :
Les contrôles thématiques annuels ont porté sur : en 2024, les jeux Olympiques, les mineurs, les programmes de fidélité et le droit d’accès, en 2025, les applications mobiles, la cybersécurité des collectivités, l’administration pénitentiaire et le droit, en 2026, le recrutement, le répertoire électoral unique et les fédérations sportives
📌 Une demande peut être refusée si l’identité n’est pas vérifiable, si elle est manifestement abusive ou répétée, ou si son traitement porte atteinte aux droits d’autrui, notamment aux secrets d’affaires ; la CNIL déconseille d’exiger une pièce d’identité lorsqu’un numéro client ou un compte sécurisé suffit.
📌 La répercussion d’un effacement aux destinataires des données constitue une obligation de moyens.
📌 La centralisation des demandes d’exercice des droits auprès d’un référent est recommandée.
Accès = obtenir une copie ; portabilité = récupérer des données numériques dans un format exploitable
★ À maîtriser
Les objectifs de NIS 2 sont : étendre le champ d’application, renforcer la gestion des risques, harmoniser la notification des incidents, impliquer les directions, renforcer les autorités nationales, développer la coopération européenne
Les critères d’application de NIS 2 sont : le secteur, la taille, la qualification comme entité essentielle ou importante, les exceptions, la territorialité
NIS 2 vise en principe les entreprises moyennes et grandes ; la définition UE de l’entreprise moyenne mentionnée est de moins de 250 salariés et de 10 à 50 M€ de chiffre d’affaires.
Compléments
NIS 2 a été adoptée en décembre 2022 et est entrée en vigueur en janvier 2023 ; sa transposition était due le 17 octobre 2024 au titre de l’article 41 et n’avait pas encore eu lieu en France au moment du cours.
NIS 2 couvre les entités essentielles et importantes, contre les opérateurs de services essentiels et les fournisseurs de services numériques dans NIS 1 ; le volume estimé en France passe d’environ 500 entreprises à environ 20 000.
La territorialité repose en principe sur le lieu d’établissement ; les fournisseurs de communications électroniques relèvent de chaque État où ils fournissent leur service, les infrastructures Internet et services décentralisés bénéficient d’un guichet unique fondé sur l’établissement principal, et les entités hors UE doivent désigner un représentant dans l’UE.
L’annexe 1 de NIS 2 comprend onze secteurs de haute criticité : énergie, transports, secteur bancaire, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace.
Les autres secteurs critiques de l’annexe 2 sont : les services postaux, la gestion des déchets, la chimie, les denrées alimentaires, l’industrie manufacturière, les fournisseurs numériques, la recherche, à l’exclusion de l’enseignement supérieur
📌 Pour calculer la taille, les entreprises partenaires détenant 25 à 50 % du capital sont prises en compte proportionnellement, tandis que les entreprises liées détenant plus de 50 % sont prises en compte à 100 %.
★ À maîtriser
Les entités essentielles comprennent : les grandes entreprises de l’annexe 1, les acteurs clés de l’infrastructure numérique quelle que soit leur taille, les opérateurs télécoms à partir de la taille moyenne, l’administration centrale, les entités désignées par l’État, les anciens OSE
Les entités importantes sont toutes les autres entités entrant dans le champ de NIS 2.
🔄 La démarche proactive suit ces étapes : s’auto-évaluer pour déterminer son assujettissement et sa catégorie, s’enregistrer auprès de l’ANSSI, utiliser le pré-enregistrement disponible sur le site de l’ANSSI pour bénéficier d’un accompagnement et faciliter
Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation obligatoire en cybersécurité.
NIS 2 engage la responsabilité personnelle des dirigeants, personnes physiques, et non plus seulement celle de la personne morale.
Les dirigeants doivent documenter toutes leurs décisions afin de pouvoir prouver leur diligence, et un refus d’investissement en sécurité peut constituer une faute de gestion.
Compléments
📌 Il est conseillé de ne pas attendre la loi de transposition pour se déclarer et commencer la mise en conformité.
Les sanctions visant les dirigeants peuvent comprendre : une mise en demeure, une suspension temporaire des fonctions de direction, la publication de leur identité
La responsabilité civile peut porter sur :
📌 La responsabilité pénale peut être engagée en cas de faute caractérisée exposant autrui à un risque grave.
La personne morale n’efface plus la responsabilité personnelle du dirigeant.
★ À maîtriser
📌 Les mesures de gestion des risques doivent être appropriées et proportionnées à l’exposition aux risques, à la taille de l’entité, à la probabilité et à la gravité des incidents, à leurs conséquences sociétales et économiques, ainsi qu’à l’état de l’art et au coût de mise en œuvre.
Compléments
L’approche tous risques couvre :
L’analyse des risques et la PSSI comprennent la politique de sécurité ainsi que la cartographie des systèmes et des actifs.
La gestion des incidents comprend leur détection, leur qualification, leur confinement et le retour d’expérience (RETEX).
La continuité d’activité comprend le PCA, le PRA et des sauvegardes testées.
📌 Les tests d’intrusion prévus pour évaluer l’efficacité doivent être encadrés, volontaires et contractualisés.
L’hygiène et la formation comprennent une charte informatique et une sensibilisation régulière.
Le domaine de l’authentification et des communications comprend, lorsque cela est approprié, l’authentification multifacteur ou continue, des communications voix et vidéo sécurisées et des systèmes sécurisés de communication d’urgence.
★ À maîtriser
Les entités essentielles et importantes doivent intégrer formellement la sécurité de toute leur chaîne d’approvisionnement dans leurs mesures de cybersécurité et de gestion de crise.
L’article 21 §1 impose des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques et prévenir ou minimiser l’impact des incidents selon une approche tous risques.
Dans le secteur financier, les obligations plus spécifiques de DORA priment sur NIS 2, qui constitue la couche minimale à laquelle DORA ajoute un niveau supplémentaire.
Compléments
Une défaillance chez un fournisseur peut se répercuter directement dans le système de l’entité cliente.
Des entreprises qui ne sont ni essentielles ni importantes peuvent devoir respecter des obligations de sécurité pour rester fournisseurs d’entités régulées.
📌 L’article 21 §2 établit une liste de mesures minimales obligatoires qui sert de trame au contrat avec les partenaires et prend en compte les vulnérabilités des fournisseurs ainsi que la qualité globale de leurs pratiques.
Le PAS est une annexe au contrat et se trouve au cœur de la relation de sécurité entre l’entité régulée et son prestataire.
Le contenu type du PAS peut couvrir :
📌 Le PAS est très confidentiel, car sa diffusion à des personnes malveillantes pourrait révéler des points d’entrée pour une attaque ; il faut prévoir de fortes clauses de confidentialité et éviter de le diffuser pendant une simple phase de négociation.
📌 Un écart aux recommandations de l’ANSSI ou de la CNIL est possible, mais il doit pouvoir être justifié, notamment en cas de faille.
NIS 2 encourage l’usage de produits et services certifiés au titre du règlement européen sur la cybersécurité, appelé Cybersecurity Act.
L’ANSSI publie une liste officielle de prestataires d’audit qualifiés, et il est recommandé de privilégier un prestataire qualifié pour les audits externes.
Les qualifications nationales de confiance comprennent notamment SecNumCloud pour le cloud et les qualifications de prestataires d’audit publiées par l’ANSSI.
Les certifications et qualifications visent à objectiver le niveau de sécurité offert par les tiers.
Une faille chez le fournisseur → un risque direct pour l’entité cliente.
★ À maîtriser
📌 Sous NIS 2, la notification dépend de l’importance des conséquences réelles ou potentielles de l’incident, et non de la nature de l’attaque.
📌 L’obligation de notifier est autonome : une organisation sans manquement de sécurité peut être sanctionnée pour le seul oubli de notification.
Compléments
La gravité d’un incident s’apprécie notamment selon le nombre d’utilisateurs touchés, sa durée, son étendue géographique et l’existence d’un plan B.
La notification détaillée présente une première évaluation de la gravité et des conséquences, les causes probables ainsi que les mesures prises ou envisagées.
Le rapport final contient une description complète, la cause profonde, les mesures d’atténuation ainsi que l’impact économique et opérationnel de l’incident.
Les destinataires des services doivent être informés sans retard injustifié lorsque l’incident peut nuire à la qualité ou à la fourniture des services, avec indication des risques potentiels et des mesures correctives ou préventives.
L’autorité nationale peut exiger la publication d’un incident pour sensibiliser, prévenir un incident plus large ou contribuer à gérer l’incident en cours.
L’indemnisation par une assurance cyber est subordonnée au dépôt d’une plainte pénale dans les 72 h suivant la connaissance de l’atteinte.
Face à une crise cyber, l’entité doit colmater la brèche, effectuer les notifications et réaliser les démarches administratives, dont la plainte et la déclaration à l’assureur.
Un même incident peut relever à la fois de NIS 2 et d’une violation de données personnelles, et la CNIL recommande que l’ANSSI lui transmette les informations pertinentes dans ce cas.
La CNIL apprécie les manquements à la sécurité à la lumière des recommandations de l’ANSSI.
Alerte en 24 h, évaluation à 72 h, rapport final à un mois.
★ À maîtriser
📌 L’entité doit organiser en interne la gestion de crise afin de prévenir les incidents, de les détecter rapidement, d’y répondre efficacement et d’en tirer les leçons.
📌 Les organes de direction sont personnellement responsables, doivent s’impliquer, approuver les mesures de gestion des risques et se former.
Compléments
La cellule de crise doit identifier les personnes clés et définir leurs rôles afin d’accélérer la remontée d’information, les décisions et l’action le jour de la crise.
La préparation opérationnelle comprend les sauvegardes, le PCA, le PRA et des solutions permettant de maintenir les fonctions essentielles en mode dégradé.
📌 L’ANSSI encourage des exercices réguliers de gestion de crise, car un PCA non testé peut être inutilisable lors d’une crise réelle.
Les acteurs de la gestion de crise ont les rôles suivants :
La gestion de crise engage l’ensemble de l’organisation et pas seulement la sécurité informatique.
★ À maîtriser
📌 Une entité ne peut pas demander à l’ANSSI une sanction administrative contre son prestataire et doit agir sur le terrain de la responsabilité contractuelle si une faille aurait pu être évitée par le respect du contrat ou en cas de négligence.
📌 La supervision des entités essentielles est renforcée et ex ante, avec des contrôles possibles à tout moment ; celle des entités importantes est a posteriori et se déclenche en présence d’indices de non-respect, d’un incident ou d’un signalement.
Compléments
📌 Si le contrat a été parfaitement respecté, un recours délictuel reste possible lorsque le fait d’une partie cause un dommage à autrui.
📌 Au titre de l’article 32, l’organisation doit pouvoir présenter à l’ANSSI les preuves de ses démarches, après quoi l’ANSSI peut émettre des recommandations.
Pour les entités essentielles, les moyens de contrôle comprennent les inspections sur place, les contrôles à distance, les audits de sécurité, l’examen des procédures et la demande de preuves de conformité.
Pour les entités importantes, le contrôle peut commencer par une demande de documents, notamment les dossiers d’homologation et les cartographies de risques, puis se poursuivre par des audits vérifiant l’application et l’efficacité des mesures.
L’appréciation des sanctions tient compte de la gravité, de la durée, des dommages, de la négligence de la direction, des mesures de réaction et de limitation des conséquences ainsi que du degré de coopération avec le contrôle.
📌 Lorsque les mêmes faits relèvent de NIS 2 et du RGPD, l’ANSSI et la CNIL doivent se coordonner pour déterminer l’autorité compétente et éviter une double sanction.
★ À maîtriser
Les produits numériques, des ordinateurs aux équipements industriels et objets connectés, peuvent présenter des vulnérabilités exploitables, tandis que leurs utilisateurs n’ont pas toujours les moyens de les corriger.
Le Cyber Resilience Act impose que la cybersécurité des objets connectés soit prise en compte par le fabricant dès la conception.
Le CRA a été adopté en octobre 2024 et est entré en vigueur à la fin de 2024.
Le CRA vise la souveraineté numérique, un niveau de sécurité élevé et homogène des produits, la réduction des asymétries d’information entre fabricants et utilisateurs, et la complémentarité avec NIS 2, le RGPD et le Cybersecurity Act.
📌 Le CRA impose de sécuriser les produits dès leur conception et leur configuration par défaut, plutôt qu’après leur commercialisation.
Les obligations de notification des vulnérabilités activement exploitées et des incidents graves sont applicables depuis le 11 septembre 2026.
En France, l’ANSSI reçoit les signalements de vulnérabilités et d’incidents, surveille le marché, contrôle la conformité et participe à l’évaluation de conformité et à la désignation des organismes notifiés, en lien avec les autorités sectorielles.
L’ENISA ne dispose pas de pouvoir opérationnel ou coercitif direct sur les opérateurs nationaux ; elle harmonise l’application, fournit un soutien méthodologique et documentaire et collecte les notifications pour produire des statistiques et recommandations.
Compléments
📌 Le marquage CE traditionnel couvrait la sécurité physique et certaines exigences sectorielles, mais ne garantissait pas la cybersécurité, la maintenance ni l’identification des composants vulnérables.
En octobre, une vulnérabilité logicielle connue dans les systèmes de froid de supermarchés a permis une intrusion et une hausse des températures ; bien que des correctifs aient été publiés et signalés dès août 2026, des appareils trop anciens pour les installer sont restés vulnérables.
L’incident des systèmes de froid illustre l’articulation entre le CRA, qui concerne la sécurité des produits, et NIS 2, qui couvre la distribution alimentaire et la responsabilité de l’enseigne sur sa chaîne logistique.
📌 Le fabricant doit maintenir la sécurité du produit pendant une période de support, notamment en traitant les vulnérabilités découvertes après la vente.
Concevoir sécurisé dès le départ, puis maintenir la sécurité après la vente
★ À maîtriser
📌 Le CRA s’applique dès lors que l’usage prévu ou raisonnablement prévisible d’un produit comporte une connexion, y compris lorsque celle-ci résulte d’un détournement prévisible de sa finalité.
📌 Le CRA s’applique aux produits mis sur le marché ou à disposition dans l’Union européenne, quel que soit le lieu d’établissement du fabricant ou le modèle de distribution.
Compléments
Les produits couverts comprennent : les logiciels autonomes, les applications, les objets connectés grand public ou professionnels, les équipements réseau, les composants matériels intelligents, les microprocesseurs, les bibliothèques logicielles
Les produits développés exclusivement à des fins de défense ou de sécurité nationale sont exclus du CRA.
📌 Les logiciels libres ou open source sont concernés par des obligations allégées seulement lorsqu’ils sont développés ou fournis hors activité commerciale ; ces obligations ne sont pas supprimées.
📌 Pour les dispositifs médicaux et de diagnostic in vitro, l’aviation civile et les véhicules automobiles, la réglementation sectorielle s’applique à la place du CRA.
La vérification du champ d’application consiste à déterminer si le produit relève d’une réglementation sectorielle, puis à analyser sa finalité, son étendue et ses composants.
Les robots livreurs doivent respecter le CRA et une procédure d’homologation proche de celle des véhicules, notamment pour la circulation sur chaussée, la supervision humaine à distance et les itinéraires autorisés.
★ À maîtriser
Le fabricant développe ou fait développer un produit commercialisé sous son nom ou sa marque et assume la responsabilité principale de sa conformité.
Le fabricant est responsable de la conception et du développement sécurisés, de l’analyse des risques, du respect des exigences essentielles, de l’évaluation de conformité, de la documentation technique, de la gestion des vulnérabilités, de la déclaration UE de conformité, du marquage CE et du support et des mises à jour gratuites.
📌 Un importateur ou distributeur devient fabricant s’il commercialise le produit sous sa propre marque ou y apporte des modifications substantielles.
La classification des produits tient compte de leur fonction, de l’impact potentiel d’une compromission et de leur environnement, notamment lorsqu’il s’agit d’infrastructures sensibles ou critiques.
Les produits par défaut représentent environ 90 % du marché et présentent un risque modéré ; ils comprennent notamment les objets connectés simples, les applications grand public, les logiciels bureautiques et les jeux, avec auto-évaluation sous la responsabilité du fabricant.
Les produits importants de classe I présentent un risque plus élevé et comprennent notamment les gestionnaires de mots de passe, les outils de gestion des identités, les routeurs grand public, les logiciels de sécurité grand public et les systèmes d’exploitation pour objets connectés ; l’auto-évaluation renforcée est possible avec une norme harmonisée, sinon un organisme notifié intervient.
Les produits importants de classe II présentent un risque élevé en raison de fonctions d’administration critiques, de privilèges élevés ou d’un déploiement étendu sur des infrastructures sensibles ; ils comprennent les pare-feux, IDS/IPS, modules matériels de sécurité, systèmes d’exploitation serveurs et passerelles domotiques ou industrielles critiques, et exigent un organisme notifié.
Compléments
L’importateur introduit un produit sur le marché de l’Union européenne et doit vérifier le marquage CE, l’existence de la documentation technique et la clarté des instructions ; il ne peut importer un produit jugé non conforme.
Le distributeur, notamment grossiste, détaillant ou plateforme, doit vérifier le marquage CE et les informations d’accompagnement et ne pas commercialiser un produit non conforme.
Les produits critiques sont des dépendances critiques pour le marché intérieur, notamment dans l’énergie, les transports et la santé, et font l’objet d’une certification européenne selon les schémas du Cybersecurity Act.
★ À maîtriser
📌 La sécurité dès la conception impose d’intégrer la cybersécurité au produit dès sa conception, notamment par l’analyse des risques, le choix d’une architecture sécurisée et des mécanismes de mise à jour sécurisés et accessibles.
📌 Des identifiants identiques par défaut sur tous les exemplaires d’un modèle permettent à un attaquant de compromettre tout le parc ; les identifiants doivent être uniques et leur changement imposé à la première utilisation.
📌 La période de support dépend de la durée de vie attendue du produit et dure au minimum 5 ans ; elle peut couvrir toute la vie d’un produit à vie courte et atteindre 10 à 15 ans pour des produits industriels, selon le secteur.
La responsabilité du fabricant du produit fini est engagée lorsqu’il intègre un composant tiers vulnérable ; elle ne repose pas seulement sur l’auteur du composant.
La gestion d’une vulnérabilité comprend quatre étapes : identifier, évaluer la criticité, corriger et diffuser le correctif.
Compléments
📌 Pendant la période de support, le fabricant doit surveiller les vulnérabilités, fournir gratuitement des correctifs de sécurité et informer les utilisateurs des mises à jour.
📌 Les mises à jour de sécurité sont obligatoires et gratuites, tandis que les mises à jour fonctionnelles peuvent être payantes ; le fabricant ne peut pas imposer un package liant les deux.
By design agit dès la conception ; by default livre le produit avec les réglages les plus sûrs.
★ À maîtriser
📌 La conformité à une norme harmonisée publiée au JOUE donne une présomption simple de conformité, qui disparaît si la non-conformité est prouvée.
Compléments
📌 La documentation technique, à constituer dès la conception et à réviser régulièrement, sert à l’auto-évaluation ou est transmise à l’organisme notifié et peut être exigée par les autorités de surveillance du marché.
📌 L’auto-évaluation, utilisée pour les produits standards et certains produits de classe I, est rapide, moins coûteuse et flexible, mais exige de l’objectivité et accroît la responsabilité du fabricant en cas de non-conformité.
📌 Le marquage CE conditionne la mise sur le marché européen et atteste la conformité à toutes les législations de l’Union européenne applicables ; le fabricant doit maintenir cette conformité pendant toute la mise à disposition et le produit peut être retiré si une non-conformité est constatée.
Évaluer → déclarer → marquer CE.
★ À maîtriser
Depuis le 11 septembre 2026, les vulnérabilités et incidents concernés doivent être notifiés à l’ANSSI via une plateforme unique, en coordination avec l’ENISA.
Les délais de notification sont une alerte précoce sous 24 h, des informations complémentaires sous 72 h et un rapport final sous 1 mois.
Les sanctions peuvent atteindre 15 M€ ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, et sont modulées selon la nature du manquement.
📌 Les obligations sont indépendantes : respecter les exigences essentielles sans notifier, ou notifier rapidement sans respecter les exigences, peut être sanctionné ; le CRA, NIS 2, le RGPD et l’AI Act se cumulent.
Compléments
📌 Une vulnérabilité activement exploitée correspond à une exploitation avérée ou imminente, tandis qu’un incident grave est une attaque réalisée ayant un impact sur la sécurité du produit.
L’évaluation d’une vulnérabilité activement exploitée prend en compte son impact sur la disponibilité, l’intégrité, la confidentialité et la traçabilité, le nombre d’utilisateurs et l’intégration du composant dans d’autres logiciels.
Après le piratage des 11 et 12 octobre, postérieur à l’entrée en vigueur de l’obligation de notification, les supermarchés devaient notifier ; le fabricant avait publié les vulnérabilités et les correctifs dès août.
📌 Le fabricant et les intermédiaires chargés de la maintenance doivent avertir leur client des risques si un matériel trop ancien ne peut plus être mis à jour.
📌 Le CRA rend le fabricant responsable des obligations portant sur le produit, tandis que NIS 2 vise notamment l’enseigne qui a mal sécurisé sa chaîne.
Une caméra intelligente embarquant de l’IA doit respecter l’AI Act pour la transparence, la gouvernance des données et la classification par risque, ainsi que le CRA pour les vulnérabilités et les mises à jour.
Dans l’affaire Medialog, une cyberattaque a permis des accès non autorisés du 27 septembre au 5 octobre, avec un pic d’extraction les 4 et 5 octobre au matin, aux fiches de clients d’environ 1 500 hôtels.
📌 Face à une fuite, les hôtels auraient dû prévenir leurs clients du risque de faux courriels et leur indiquer que les nuitées seraient réglées sur place ; si la faute de l’hôtel est établie, le client de bonne foi peut refuser de payer deux fois.
📌 Dans l’affaire Medialog, la vulnérabilité du logiciel, présente depuis juin 2026 et colmatée par l’éditeur, relève du CRA, tandis que la violation de données relève du RGPD et entraîne notification à la CNIL et information des personnes, qui n’ont pas été faites.
Le plan d’action de mise en conformité comprend la qualification des rôles, la cartographie et la classification des produits, l’analyse des écarts, la sécurisation du cycle de vie, la gestion des vulnérabilités et de la documentation, la révision des contrats, la gouvernance des alertes et notifications, la révision du dossier technique, puis la déclaration UE de conformité et le marquage CE.
Les données exploitées comprenaient :
| Catégorie | Exemples | Régime |
|---|---|---|
| Données courantes | Nom, adresse, e-mail, téléphone | Traitement selon les principes généraux |
| Données critiques | Données bancaires, numéro de sécurité sociale | Vigilance et sécurité accrues |
| Données sensibles | Opinions, convictions, santé, origine, infractions et condamnations | Interdites par principe, sauf exceptions encadrées |
| Dimension | RGPD | NIS 2 |
|---|---|---|
| Objet | Données personnelles | Sécurité des réseaux et systèmes d’information |
| Critère d’application | Volume et sensibilité des données | Secteur et taille |
| Autorité | CNIL | ANSSI |
| Notification | 72 h à la CNIL | Alerte précoce 24 h, notification 72 h, rapport final 1 mois au CSIRT |
| Amende maximale | 20 M€ ou 4 % | Essentielles : 10 M€ ou 2 % ; importantes : 7 M€ ou 1,4 % |
| Responsabilité des dirigeants | Personne morale | Personne physique |
Teste tes connaissances sur RGPD et protection des données avec 66 questions à choix multiples et corrections détaillées.
1. Une association conserve des formulaires d’adhésion contenant des noms et des adresses, à la fois dans un logiciel et dans des classeurs papier. Quel cadre couvre ces données personnelles ?
2. Une entreprise choisit les objectifs et les moyens d’une campagne de courriels, puis confie l’envoi et la gestion technique des données à un prestataire. Quel rôle revient à ce prestataire ?
Mémorisez les concepts clés de RGPD et protection des données avec 94 flashcards interactives.
Quels supports de données personnelles relèvent du RGPD ?
Les supports numériques et papier.
Que détermine le responsable de traitement selon le RGPD ?
La finalité et les moyens du traitement.
Quels sont les sept grands principes du RGPD ?
Licéité, finalité, pertinence et proportionnalité, limitation de la conservation, sécurité, loyauté et information, respect des droits.
Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.
Générateur de fiches