Quels supports de données personnelles relèvent du RGPD ?
Les supports numériques et papier.
Que détermine le responsable de traitement selon le RGPD ?
La finalité et les moyens du traitement.
Quels sont les sept grands principes du RGPD ?
Licéité, finalité, pertinence et proportionnalité, limitation de la conservation, sécurité, loyauté et information, respect des droits.
Quelles sont les six bases de licéité du RGPD ?
Contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime et consentement.
Quelles qualités rendent le consentement valable et son retrait simple ?
Il doit être libre, spécifique, éclairé, exprimé par un acte positif et aussi simple à retirer qu’à accorder.
En prospection électronique B2C, quel consentement faut-il obtenir avant de solliciter une personne ?
Son consentement préalable.
Pour les cookies, combien de clics le refus doit-il nécessiter par rapport à l’acceptation ?
Autant de clics.
De quoi dépend l’approche de sécurité des données ?
Du volume et de la sensibilité des données.
Sous quel délai la CNIL doit-elle être notifiée d’une violation présentant un risque ?
Dans les 72 heures.
Quand les personnes concernées doivent-elles être informées d’une violation ?
Lorsqu’elle présente un risque élevé.
Quels plans peuvent cumuler les sanctions de la CNIL ?
Les plans civil, pénal et administratif.
Quels sont les plafonds d’amende des niveaux 1 et 2 de la CNIL ?
Niveau 1 : 10 M€ ou 2 % du chiffre d’affaires mondial ; niveau 2 : 20 M€ ou 4 %.
Quels objectifs la directive NIS 2 poursuit-elle pour la cybersécurité européenne ?
Elle étend son champ d’application, renforce la gestion des risques, harmonise la notification des incidents, implique les directions, renforce les autorités nationales et développe la coopération européenne.
Sur quels critères repose le champ d’application de NIS 2 ?
Le secteur, la taille, la qualification de l’entité, les exceptions et la territorialité.
Quelles entités sont classées comme essentielles par NIS 2 ?
Les grandes entreprises de l’annexe 1, les acteurs clés de l’infrastructure numérique de toute taille, les opérateurs télécoms de taille moyenne ou plus, l’administration centrale, les entités désignées par l’État et les anciens OSE.
Qui sont les entités importantes au sens de NIS 2 ?
Toutes les autres entités entrant dans le champ de NIS 2.
Quelle première démarche permet à une entité d’évaluer son assujettissement à NIS 2 ?
S’auto-évaluer pour déterminer son assujettissement et sa catégorie.
Quelles obligations de gouvernance NIS 2 impose-t-elle aux organes de direction ?
Approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation obligatoire en cybersécurité.
À quoi les mesures de gestion des risques doivent-elles être proportionnées ?
À l’exposition, à la taille de l’entité, aux risques et incidents, à leurs conséquences, à l’état de l’art et au coût de mise en œuvre.
Que doit démontrer une entité au titre de l’obligation de moyens renforcés ?
Qu’elle a fait ce qu’un acteur diligent aurait fait.
Quels sont les dix domaines impératifs de gestion des risques ?
L’analyse des risques et la PSSI, la gestion des incidents, la continuité d’activité, la chaîne d’approvisionnement, l’acquisition-développement-maintenance, l’évaluation de l’efficacité, l’hygiène et la formation, la cryptographie, les ressources humaines, le contrôle d’accès et les actifs, l’authentification et les communications sécurisées.
Quelles entités doivent intégrer la sécurité de leur chaîne d’approvisionnement à leurs mesures de cybersécurité et de gestion de crise ?
Les entités essentielles et importantes.
Quelle approche l’article 21, paragraphe 1, impose-t-il pour gérer les risques et prévenir les incidents ?
Une approche tous risques fondée sur des mesures appropriées et proportionnées.
Sous NIS 2, de quoi dépend l’obligation de notifier un incident ?
De l’importance de ses conséquences réelles ou potentielles.
Quelles conséquences caractérisent un incident important au sens de NIS 2 ?
Une perturbation opérationnelle grave, des pertes financières importantes ou des dommages considérables à autrui.
Quels sont les trois délais de notification d’un incident à l’ANSSI ?
Alerte précoce sous 24 heures, notification détaillée sous 72 heures et rapport final sous un mois.
À quoi sert l’organisation interne de la gestion de crise ?
À prévenir, détecter rapidement et traiter efficacement les incidents, puis à en tirer les leçons.
Quelles responsabilités incombent aux organes de direction en gestion des risques ?
Ils sont personnellement responsables, s’impliquent, approuvent les mesures et se forment.
Quel recours une entité doit-elle engager contre son prestataire en cas de faille évitable ou de négligence ?
La responsabilité contractuelle.
Quelles limites présentent les produits numériques et leurs utilisateurs face aux vulnérabilités ?
Les produits peuvent être vulnérables et leurs utilisateurs manquer de moyens pour les corriger.
Quand le fabricant doit-il prendre en compte la cybersécurité des objets connectés selon le CRA ?
Dès la conception.
Que contient ou nécessite un produit comportant des éléments numériques ?
Il contient des données numériques, dépend de données ou de logiciels, ou peut se connecter à un réseau ou à un dispositif.
Quand le CRA s’applique-t-il à l’usage d’un produit ?
Dès que l’usage prévu ou raisonnablement prévisible comporte une connexion, même issue d’un détournement prévisible de sa finalité.
À quels produits commercialisés le CRA s’applique-t-il dans l’Union européenne ?
Aux produits mis sur le marché ou à disposition dans l’Union européenne, quel que soit le lieu d’établissement du fabricant ou le modèle de distribution.
Que développe le fabricant pour le commercialiser sous son nom ou sa marque ?
Un produit.
Quelle obligation de conformité incombe au fabricant pour son produit ?
Il doit assurer sa conception sécurisée, analyser les risques, respecter les exigences essentielles, évaluer la conformité, constituer la documentation technique, gérer les vulnérabilités, établir la déclaration UE, apposer le marquage CE et assurer le support et les mises à jour gratuites.
Quand un importateur ou distributeur devient-il fabricant ?
Lorsqu’il commercialise le produit sous sa propre marque ou y apporte des modifications substantielles.
Quelles sont les deux familles d’exigences essentielles du CRA ?
Les propriétés de cybersécurité des produits et la gestion des vulnérabilités.
Quel paramétrage le security by default prévoit-il à la livraison ?
Le paramétrage le plus sûr possible.
Comment les identifiants par défaut doivent-ils être configurés sur les exemplaires d’un même modèle ?
Ils doivent être uniques, et leur changement doit être imposé à la première utilisation.
Quelle est la durée minimale de la période de support d’un produit selon le CRA ?
Au minimum cinq ans.
Que recense une SBOM pour un produit logiciel ?
Ses composants, dépendances directes et indirectes, versions et licences.
Quels éléments la documentation technique décrit-elle au sujet du produit ?
Son architecture, son usage, sa chaîne de valeur, sa conception et sa conformité.
Depuis quelle date les vulnérabilités et incidents concernés doivent-ils être notifiés à l’ANSSI via une plateforme unique ?
Depuis le 11 septembre 2026.
Quelles mesures protègent physiquement les données personnelles ?
Des armoires fermées à clé, des alarmes, des dispositifs anti-incendie et un accès restreint aux locaux.
Quelle est une conséquence des obligations RGPD propres au sous-traitant ?
Il peut être sanctionné.
Quels exemples de données courantes peuvent être traitées selon les principes généraux ?
Le nom, l’adresse, l’e-mail et le téléphone.
Quelles données critiques appellent une vigilance et une sécurité accrues ?
Les données bancaires et le numéro de sécurité sociale.
Que doit conserver le responsable de traitement concernant le consentement ?
La preuve du consentement.
Quelle amende Upside Store a-t-elle reçue pour des boutons trompeurs ?
525 000 €, soit environ 2 % de son chiffre d’affaires.
Quels éléments encadrent l’intérêt légitime et protègent les personnes concernées ?
Il doit être mis en balance avec leurs droits, et les personnes peuvent s’y opposer.
En prospection téléphonique, quel droit possède la personne sollicitée ?
Un droit d’opposition.
Quel modèle de choix des cookies a été jugé légal ?
Le modèle « refuser ou s’abonner ».
Quels sont les trois risques de sécurité des données ?
Le vol ou traitement illégitime, la perte ou destruction, et la modification non autorisée.
Dans quel délai contractuel le sous-traitant doit-il signaler une violation au responsable ?
Dans un délai de 24 à 48 heures.
Quelles violations le responsable de traitement doit-il inscrire à son registre interne ?
Toutes les violations, même celles qui ne sont pas notifiées à la CNIL.
Quelle peine d’emprisonnement peut sanctionner l’omission de notification d’une violation ?
Jusqu’à cinq ans d’emprisonnement.
Quels critères déterminent les sanctions de la CNIL ?
La nature, la gravité et la durée des faits, le nombre de personnes concernées, les dommages, la coopération et la mise en demeure.
Par quelles modalités la CNIL effectue-t-elle ses contrôles ?
Sur pièces, en ligne, sur convocation ou sur place.
Quelles thématiques annuelles de contrôle la CNIL retient-elle en 2024, 2025 et 2026 ?
En 2024 : Jeux olympiques, mineurs, fidélité et droit d’accès ; en 2025 : applications mobiles, cybersécurité des collectivités, administration pénitentiaire et effacement ; en 2026 : recrutement, répertoire électoral unique et fédérations sportives.
Quand la transposition française de NIS 2 devait-elle être achevée ?
Le 17 octobre 2024, au titre de l’article 41.
Quelles entités NIS 2 couvre-t-elle, par rapport à NIS 1 ?
Les entités essentielles et importantes, plutôt que les opérateurs de services essentiels et les fournisseurs de services numériques.
Quel principe détermine la territorialité de NIS 2 ?
Le lieu d’établissement.
Combien de secteurs de haute criticité comprend l’annexe 1 de NIS 2 ?
Onze secteurs.
Pourquoi est-il conseillé de se déclarer avant la transposition de NIS 2 ?
Pour commencer la mise en conformité sans attendre la loi de transposition.
Quels événements l’approche tous risques couvre-t-elle ?
La malveillance, l’erreur humaine, les pannes techniques et les événements environnementaux.
Que comprend l’analyse des risques et la PSSI ?
La politique de sécurité et la cartographie des systèmes et des actifs.
Comment une défaillance chez un fournisseur peut-elle affecter l’entité cliente ?
Elle peut se répercuter directement dans son système.
Pourquoi des entreprises non essentielles ni importantes peuvent-elles devoir respecter des obligations de sécurité ?
Pour rester fournisseurs d’entités régulées.
Quel rôle la liste minimale obligatoire de l’article 21, paragraphe 2, joue-t-elle dans les contrats avec les partenaires ?
Elle sert de trame au contrat.
Quels critères servent à apprécier la gravité d’un incident ?
Le nombre d’utilisateurs touchés, sa durée, son étendue géographique et l’existence d’un plan B.
Que contient la notification détaillée d’un incident à l’ANSSI ?
Une première évaluation de la gravité et des conséquences, les causes probables et les mesures prises ou envisagées.
Que doit définir la cellule de crise pour accélérer l’action lors d’une crise ?
Les personnes clés et leurs rôles.
Quels dispositifs composent la préparation opérationnelle à une crise ?
Les sauvegardes, le PCA, le PRA et des solutions de maintien des fonctions essentielles en mode dégradé.
Pourquoi l’ANSSI encourage-t-elle des exercices réguliers de gestion de crise ?
Un PCA non testé peut être inutilisable lors d’une crise réelle.
À qui incombe la responsabilité liée à une infection entre prestataire et entité ?
À celui qui est à l’origine de l’infection.
Quel recours reste possible si le contrat est parfaitement respecté et qu’un fait cause un dommage à autrui ?
Un recours délictuel.
Qu’exigent les recours, et par quelles voies l’action peut-elle être menée ?
La preuve du préjudice et son évaluation ; l’action peut être directe ou passer par les assurances.
Que doit présenter une organisation à l’ANSSI au titre de l’article 32 ?
Les preuves de ses démarches.
Quelles dimensions le marquage CE traditionnel ne garantissait-il pas ?
La cybersécurité, la maintenance et l’identification des composants vulnérables.
Que s’est-il passé en octobre dans les systèmes de froid des supermarchés ?
Une vulnérabilité connue a permis une intrusion et une hausse des températures.
Que montre l’incident des systèmes de froid sur le CRA et NIS 2 ?
Le CRA concerne la sécurité des produits, tandis que NIS 2 couvre la distribution alimentaire et la responsabilité logistique de l’enseigne.
Quel effet l’intégration d’une simple brique réutilisée peut-elle avoir sur un acteur ?
Elle peut faire de cet acteur un fabricant.
Quels produits sont exclus du CRA pour leur finalité ?
Les produits développés exclusivement à des fins de défense ou de sécurité nationale.
Quel rôle l’importateur joue-t-il sur le marché de l’Union européenne ?
Il y introduit un produit.
Que doit vérifier le distributeur avant de commercialiser un produit ?
Le marquage CE et les informations d’accompagnement.
Que permet d’identifier rapidement une SBOM dans un produit ?
La présence d’un composant vulnérable.
Quand la documentation technique doit-elle être constituée et révisée ?
Dès la conception, puis régulièrement.
Quelle conséquence la non-conformité peut-elle avoir sur un produit marqué CE ?
Son retrait du marché européen.
Quels éléments une notification doit-elle décrire ?
Le produit, les événements survenus et les mesures correctives envisagées.
Que signifie une vulnérabilité activement exploitée ?
Une exploitation avérée ou imminente.
Quels critères servent à évaluer une vulnérabilité activement exploitée ?
Son impact, le nombre d’utilisateurs et l’intégration du composant dans d’autres logiciels.
Quel exemple de télésurveillance en EHPAD nécessite un encadrement du traitement ?
Un écran visible à l’accueil de l’EHPAD.
D’où proviennent les contrôles de la CNIL hors thématiques annuelles ?
Du tirage au sort et de dénonciations, notamment de concurrents ou de salariés.
Teste tes connaissances avec un QCM de 66 questions sur RGPD et protection des données.
1. Une association conserve des formulaires d’adhésion contenant des noms et des adresses, à la fois dans un logiciel et dans des classeurs papier. Quel cadre couvre ces données personnelles ?
2. Une entreprise choisit les objectifs et les moyens d’une campagne de courriels, puis confie l’envoi et la gestion technique des données à un prestataire. Quel rôle revient à ce prestataire ?
Révisez le cours complet dans la fiche de révision de RGPD et protection des données.
Voir la fiche →Importe ton cours et l'IA génère des flashcards en 30 secondes.
Générateur de flashcards