QCM : RGPD et protection des données (66 questions)

Questions et réponses du QCM

1. Une association conserve des formulaires d’adhésion contenant des noms et des adresses, à la fois dans un logiciel et dans des classeurs papier. Quel cadre couvre ces données personnelles ?

Le RGPD couvre les supports numériques et papier, contrairement à la loi de 1978 qui visait les fichiers informatisés.
Le RGPD couvre les supports numériques, tandis que la loi de 1978 visait les fichiers informatisés et papier.
Le RGPD couvre les supports numériques et papier, tandis que la loi de 1978 visait les fichiers informatisés.
La loi de 1978 couvre les supports numériques et papier, tandis que le RGPD vise les fichiers informatisés.

Le RGPD couvre les supports numériques et papier, contrairement à la loi de 1978 qui visait les fichiers informatisés.

Explication

Le RGPD s’applique aux données personnelles sur supports numériques comme papier ; la loi Informatique et Libertés de 1978 ne visait que les fichiers informatisés. L’extension du champ de la loi de 1978 aux dossiers papier inverse la distinction, et la limitation du RGPD au numérique ignore sa portée.

2. Une entreprise choisit les objectifs et les moyens d’une campagne de courriels, puis confie l’envoi et la gestion technique des données à un prestataire. Quel rôle revient à ce prestataire ?

La personne concernée, qui traite les données pour le compte de l’entreprise.
Le responsable de traitement, qui traite les données pour le compte de l’entreprise.
Le responsable de traitement, qui détermine les finalités sans exécuter le traitement.
Le sous-traitant, qui traite les données pour le compte de l’entreprise.

Le sous-traitant, qui traite les données pour le compte de l’entreprise.

Explication

Le sous-traitant réalise le traitement pour le compte du responsable, tandis que le responsable détermine sa finalité et ses moyens. Attribuer au prestataire la détermination des objectifs confond les rôles, et la personne concernée n’est pas l’acteur qui exécute le traitement.

3. Quel ensemble correspond aux sept grands principes du RGPD ?

Licéité, finalité, pertinence et proportionnalité, limitation de conservation, sécurité, preuve contractuelle et consentement.
Contrat, obligation légale, intérêts vitaux, mission publique, intérêt légitime, consentement et sécurité.
Licéité, finalité, pertinence et proportionnalité, limitation de conservation, sécurité, loyauté et information, respect des droits.
Licéité, finalité, pertinence et proportionnalité, durée fixe, sécurité, loyauté et information, respect des droits.

Licéité, finalité, pertinence et proportionnalité, limitation de conservation, sécurité, loyauté et information, respect des droits.

Explication

Les sept principes comprennent notamment la licéité, la finalité, la proportionnalité, la limitation de la conservation, la sécurité, la loyauté et l’information, ainsi que les droits des personnes. La liste des bases de licéité confond deux notions, la durée fixe remplace à tort une limitation fondée sur la nécessité, et preuve contractuelle et consentement ne remplacent pas les droits.

4. Un traitement ne repose ni sur un contrat, ni sur une obligation légale, ni sur une urgence vitale, ni sur une mission d’intérêt public. Parmi les bases de licéité restantes, lesquelles sont reconnues ?

L’intérêt légitime et la sécurité des données.
La loyauté envers les personnes et la sécurité des données.
La finalité déterminée et le consentement.
L’intérêt légitime et le consentement.

L’intérêt légitime et le consentement.

Explication

Les six bases de licéité comprennent l’intérêt légitime et le consentement, en plus des quatre bases écartées dans la situation. La sécurité et la loyauté sont des principes du RGPD, pas des bases de licéité ; la finalité est également un principe, non une base.

5. Un site souhaite recueillir un consentement pour une newsletter au moyen d’une case précochée et permet de se désabonner par une procédure plus complexe que l’inscription. Quelle correction rendrait le consentement conforme aux conditions requises ?

Afficher une information générale, conserver la case précochée et simplifier le retrait.
Proposer une case non précochée, sans préciser la finalité, avec un retrait complexe.
Proposer un choix éclairé et spécifique par un acte positif, avec un retrait aussi simple que l’octroi.
Demander un accord explicite pour plusieurs finalités réunies, avec un retrait aussi simple que l’octroi.

Proposer un choix éclairé et spécifique par un acte positif, avec un retrait aussi simple que l’octroi.

Explication

Un consentement valable doit être libre, spécifique, éclairé et exprimé par un acte positif ; son retrait doit être aussi simple que son octroi. Une information générale ne remplace pas l’acte positif, une case précochée n’exprime pas un choix actif, et regrouper plusieurs finalités empêche un consentement spécifique.

6. Un garagiste souhaite transmettre à un assureur son fichier de clients constitué pour gérer les réparations, afin que l’assureur leur propose des contrats. Quelle règle s’applique ?

Cette réutilisation détourne la finalité initiale et est interdite.
Cette réutilisation est permise si le fichier reste exact et à jour.
Cette réutilisation est permise dès lors que l’assureur est un partenaire commercial.
Cette réutilisation conserve la finalité initiale puisqu’elle concerne les mêmes clients.

Cette réutilisation détourne la finalité initiale et est interdite.

Explication

Les données collectées pour gérer les réparations ne peuvent pas être réutilisées pour une finalité différente, comme la prospection d’un assureur : le détournement de finalité est interdit. La mise à jour du fichier ne justifie pas le nouvel usage, le statut de partenaire ne le rend pas conforme, et conserver les mêmes clients ne signifie pas conserver la même finalité.

7. Une entreprise envoie par courriel une offre liée au métier d’une personne agissant dans le cadre de son activité professionnelle. Quelle règle s’applique à cette prospection B2B ?

Lui permettre de s’opposer sans l’informer
Appliquer la règle du téléphone sans droit d’opposition
Obtenir son consentement préalable avant l’envoi
Informer la personne et lui permettre de s’opposer

Informer la personne et lui permettre de s’opposer

Explication

En B2B, une prospection électronique liée à la profession est possible avec information et droit d’opposition. Le consentement préalable correspond à la règle B2C générale, tandis que l’absence d’information ou de droit d’opposition méconnaît les conditions applicables.

8. Sur une page de gestion des cookies, accepter demande un clic, refuser en demande trois et le bouton d’acceptation est mis en évidence par une couleur trompeuse. Quelle modification respecte la règle applicable ?

Renvoyer au paramétrage du navigateur et conserver les boutons actuels
Rendre le refus aussi simple que l’acceptation et corriger le code couleur
Rendre le refus aussi simple que l’acceptation, en conservant la mise en évidence
Corriger le code couleur, en conservant les trois clics pour refuser

Rendre le refus aussi simple que l’acceptation et corriger le code couleur

Explication

Le refus doit nécessiter autant de clics que l’acceptation et l’interface ne doit pas employer de code couleur trompeur. Égaliser les clics sans corriger la couleur laisse un biais, corriger la couleur sans égaliser les clics maintient une asymétrie, et le paramétrage du navigateur ne suffit pas.

9. Une petite entreprise traite un grand volume de données très sensibles, tandis qu’une entreprise plus grande traite peu de données peu sensibles. Quel principe doit guider leur approche de sécurité au regard du RGPD ?

Évaluer le volume et la sensibilité des données traitées
Évaluer le critère propre à NIS 2 plutôt que les données traitées
Évaluer le volume des données sans tenir compte de leur sensibilité
Évaluer principalement l’effectif et le chiffre d’affaires

Évaluer le volume et la sensibilité des données traitées

Explication

L’approche de sécurité dépend du volume et de la sensibilité des données, et non de la taille de l’entreprise. La taille de l’organisation, le volume pris isolément et la transposition du critère associé à NIS 2 ne correspondent pas à ce principe.

10. Une fuite de données présente un risque pour les droits et libertés des personnes concernées. Dans quel délai l’organisme doit-il notifier la CNIL, même s’il doit compléter les informations par la suite ?

Dans les 30 jours, après la fin de l’enquête
Après la réunion de toutes les informations, sans délai initial
Dans les 24 à 48 heures, avec possibilité de compléter ensuite
Dans les 72 heures, avec possibilité de compléter ensuite

Dans les 72 heures, avec possibilité de compléter ensuite

Explication

Lorsqu’une violation présente un risque pour les droits et libertés, la CNIL doit être notifiée sous 72 heures ; une notification initiale peut être complétée ultérieurement. Le délai de 24 à 48 heures concerne la remontée du sous-traitant au responsable, et attendre la fin de l’enquête retarde le signalement initial.

11. Une violation de données entraîne un risque élevé pour les personnes concernées. Quelle mesure de communication doit être prise à leur égard ?

Les informer, éventuellement par une communication publique
Informer la CNIL sans communiquer aux personnes concernées
Les informer seulement si la CNIL demande une communication publique
Les informer uniquement lorsque le risque est faible

Les informer, éventuellement par une communication publique

Explication

Un risque élevé impose d’informer les personnes concernées, et une communication publique peut être utilisée. Le seuil de notification à la CNIL est distinct, son signalement ne remplace pas l’information des personnes, et un risque faible ne correspond pas au critère indiqué.

12. Un contrat autorise un sous-traitant à réutiliser les données pour améliorer ses propres services, même si le responsable de traitement ne l’a pas demandé. Quelle exigence de l’article 28 est ainsi méconnue ?

Limiter le traitement aux instructions documentées et prévoir des audits
Limiter le traitement aux instructions documentées et encadrer la sécurité technique
Limiter le traitement aux instructions documentées et répartir les responsabilités
Limiter le traitement aux instructions documentées et interdire la réutilisation

Limiter le traitement aux instructions documentées et interdire la réutilisation

Explication

L’article 28 exige que le sous-traitant agisse selon les instructions documentées du responsable et interdit la réutilisation des données. La sécurité technique, les audits et la répartition des responsabilités sont d’autres clauses contractuelles, mais ne remplacent pas cette interdiction.

13. Une organisation prépare un nouveau traitement soumis à une analyse d’impact relative à la protection des données. Quel calendrier doit-elle prévoir ?

La réaliser avant le traitement, sans renouvellement périodique prévu
La réaliser avant le traitement, puis la renouveler chaque année
La réaliser avant le traitement, puis la renouveler tous les trois ans
La réaliser après le début du traitement, puis la renouveler tous les trois ans

La réaliser avant le traitement, puis la renouveler tous les trois ans

Explication

L’AIPD doit être réalisée avant le traitement et renouvelée tous les trois ans. La commencer après le lancement, prévoir un renouvellement annuel ou omettre le renouvellement périodique ne respecte pas le calendrier indiqué.

14. Une entreprise fait l’objet d’une procédure de la CNIL. Quelle combinaison décrit correctement les sanctions possibles et leur gradation ?

La gradation va de la suspension du traitement à l’avertissement, sans rappel à l’ordre ni injonction
Une sanction administrative exclut les sanctions civiles et pénales, de l’avertissement à la suspension du traitement
La gradation va de l’avertissement à l’amende, puis au rappel à l’ordre et à l’injonction
Des sanctions civiles, pénales et administratives peuvent se cumuler, de l’avertissement à la suspension du traitement

Des sanctions civiles, pénales et administratives peuvent se cumuler, de l’avertissement à la suspension du traitement

Explication

Les sanctions peuvent se cumuler sur les plans civil, pénal et administratif, et leur gradation va de l’avertissement au rappel à l’ordre, à l’injonction puis à la suspension du traitement. L’exclusion des autres voies confond cumul et alternative, l’ordre inversé méconnaît la gradation, et l’amende ne remplace pas les étapes indiquées.

15. Pour une infraction relevant du niveau 2, quels plafonds d’amende la CNIL peut-elle appliquer ?

20 M€ ou 2 % du chiffre d’affaires mondial
10 M€ ou 4 % du chiffre d’affaires mondial
10 M€ ou 2 % du chiffre d’affaires mondial
20 M€ ou 4 % du chiffre d’affaires mondial

20 M€ ou 4 % du chiffre d’affaires mondial

Explication

Le plafond de niveau 2 est de 20 M€ ou de 4 % du chiffre d’affaires mondial. Les montants de 10 M€ et 2 % correspondent au niveau 1, tandis que les deux autres choix mélangent les plafonds des deux niveaux.

16. Une personne demande l’exercice d’un droit le 3 avril. La demande est complexe et l’organisme l’en informe le 25 avril. Quel délai de réponse peut-il appliquer ?

Deux mois, à condition d’en informer la personne après l’échéance initiale
Trois mois, sans obligation d’informer la personne de la prolongation
Un mois, avec une prolongation possible de deux mois annoncée pendant le premier mois
Un mois, sans possibilité de prolongation même si la demande est complexe

Un mois, avec une prolongation possible de deux mois annoncée pendant le premier mois

Explication

La réponse est gratuite et doit intervenir sous un mois ; en cas de complexité, le délai peut être prolongé de deux mois si la personne en est informée pendant le premier mois. Le délai sans information omet cette condition, l’information tardive ne la respecte pas, et l’absence de prolongation exclut une possibilité prévue.

17. Une personne veut récupérer ses données numériques dans un format structuré et exploitable, puis faire geler temporairement leur traitement. Quels droits doit-elle exercer, dans cet ordre ?

La limitation, puis la portabilité
La rectification, puis l’opposition
La portabilité, puis la limitation
L’accès, puis l’effacement

La portabilité, puis la limitation

Explication

La portabilité permet de récupérer certaines données numériques dans un format structuré et exploitable ; la limitation gèle temporairement leur traitement. Inverser ces droits confond leurs fonctions, la rectification corrige des données inexactes et l’opposition peut notamment viser la prospection.

18. Quel ensemble d’objectifs caractérise la directive NIS 2 ?

Uniformiser les sanctions, réduire la notification des incidents et limiter les obligations aux infrastructures essentielles
Étendre le champ, confier la cybersécurité aux seuls techniciens et centraliser les contrôles dans un organisme européen
Étendre le champ, renforcer la gestion des risques, harmoniser les notifications, impliquer les directions et développer la coopération européenne
Renforcer la gestion des risques, supprimer l’implication des directions et remplacer les autorités nationales

Étendre le champ, renforcer la gestion des risques, harmoniser les notifications, impliquer les directions et développer la coopération européenne

Explication

NIS 2 vise notamment à élargir son champ, renforcer la gestion des risques, harmoniser la notification des incidents, impliquer les directions, renforcer les autorités nationales et développer la coopération européenne. Les autres choix réduisent ou inversent ces objectifs, notamment en écartant les directions ou les autorités nationales.

19. Une entreprise évalue si elle relève de NIS 2. Quelle démarche reflète les critères utilisés pour déterminer son champ d’application ?

Examiner le secteur, la taille, la qualification, les exceptions et la territorialité
Examiner la taille et les exceptions, en écartant la qualification de l’entité
Examiner le secteur et la taille, puis déterminer l’assujettissement sans autre critère
Examiner la qualification et la territorialité, sans prendre en compte le secteur

Examiner le secteur, la taille, la qualification, les exceptions et la territorialité

Explication

Le champ d’application repose sur plusieurs critères cumulatifs : secteur, taille, qualification comme entité essentielle ou importante, exceptions et territorialité. Se limiter à la taille, omettre la territorialité ou écarter la qualification laisse de côté des critères pertinents.

20. Une entreprise de 180 salariés réalise 24 M€ de chiffre d’affaires. Au regard de la définition européenne de l’entreprise moyenne et du principe de taille de NIS 2, quelle conclusion s’applique ?

Elle ne correspond pas à la définition indiquée, car son chiffre d’affaires dépasse 10 M€
Elle correspond à la définition indiquée de l’entreprise moyenne et se situe dans la taille visée en principe
Elle correspond à la définition indiquée, mais NIS 2 vise en principe les grandes entreprises seulement
Elle ne correspond pas à la définition indiquée, car il faut au moins 250 salariés

Elle correspond à la définition indiquée de l’entreprise moyenne et se situe dans la taille visée en principe

Explication

La définition mentionnée de l’entreprise moyenne combine moins de 250 salariés et un chiffre d’affaires de 10 à 50 M€ ; avec 180 salariés et 24 M€, l’entreprise répond à ces critères. Un seuil d’au moins 250 salariés inverse le critère, 24 M€ appartient à la fourchette prévue, et NIS 2 vise en principe les entreprises moyennes comme grandes.

21. Une entreprise moyenne opérant un service de télécommunications entre-t-elle dans la catégorie des entités essentielles au titre des catégories énumérées ?

Non, les opérateurs télécoms relèvent des entités importantes.
Non, seuls les opérateurs télécoms de grande taille sont essentiels.
Oui, tous les opérateurs télécoms sont essentiels quelle que soit leur taille.
Oui, les opérateurs télécoms sont essentiels à partir de la taille moyenne.

Oui, les opérateurs télécoms sont essentiels à partir de la taille moyenne.

Explication

Les opérateurs télécoms font partie des entités essentielles à partir de la taille moyenne. La grande taille de l’annexe 1 concerne une autre catégorie, tandis que le seuil indiqué pour les acteurs clés du numérique est sans rapport avec celui des télécoms.

22. Une organisation veut anticiper son assujettissement à NIS 2 et faciliter sa mise en conformité avant la transposition : quelle démarche doit-elle suivre ?

Attendre la transposition, s’auto-évaluer, puis demander un accompagnement à l’ANSSI.
S’auto-évaluer, utiliser le pré-enregistrement comme enregistrement définitif, puis attendre.
S’enregistrer auprès de l’ANSSI, puis s’auto-évaluer et attendre la transposition.
S’auto-évaluer, s’enregistrer auprès de l’ANSSI, puis utiliser le pré-enregistrement disponible.

S’auto-évaluer, s’enregistrer auprès de l’ANSSI, puis utiliser le pré-enregistrement disponible.

Explication

La démarche proactive commence par l’auto-évaluation, se poursuit par l’enregistrement auprès de l’ANSSI et peut s’appuyer sur le pré-enregistrement pour bénéficier d’un accompagnement. L’enregistrement n’est pas à faire avant l’évaluation, et le pré-enregistrement ne remplace pas l’enregistrement lors de la transposition.

23. Lors de la préparation de son programme de cybersécurité, un conseil d’administration doit-il se limiter à approuver les mesures proposées ?

Oui : l’approbation suffit si l’équipe technique met les mesures en œuvre.
Non : il doit superviser les mesures, mais la formation reste facultative.
Non : il doit aussi superviser la mise en œuvre et suivre une formation en cybersécurité.
Non : il doit se former et superviser, mais l’approbation revient à l’ANSSI.

Non : il doit aussi superviser la mise en œuvre et suivre une formation en cybersécurité.

Explication

Les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en œuvre et suivre une formation obligatoire en cybersécurité. La délégation technique ne supprime pas ces responsabilités, et l’approbation n’est pas confiée à l’ANSSI.

24. Après avoir refusé un investissement de sécurité, un dirigeant veut démontrer sa diligence lors d’un contrôle : quelle pratique est la plus pertinente ?

Documenter uniquement les décisions ayant entraîné un incident de sécurité.
Consigner les investissements acceptés et laisser les refus sans justification formelle.
Documenter toutes les décisions, y compris le refus, afin de pouvoir justifier la diligence.
Approuver une politique générale et conserver les décisions budgétaires hors dossier.

Documenter toutes les décisions, y compris le refus, afin de pouvoir justifier la diligence.

Explication

La documentation de toutes les décisions permet au dirigeant de prouver sa diligence, et un refus d’investissement en sécurité peut constituer une faute de gestion. Ne consigner que les décisions suivies d’un incident ou les seuls investissements acceptés laisse des décisions importantes sans preuve.

25. Une petite entité est peu exposée, mais pourrait subir un incident rare aux conséquences économiques graves : comment doit-elle déterminer ses mesures de gestion des risques ?

En fonction des conséquences et de l’état de l’art, sans considérer le coût de mise en œuvre.
En fonction de la probabilité seule, en écartant les incidents peu fréquents.
En proportion de plusieurs facteurs, dont l’exposition, la taille, la probabilité, la gravité, les conséquences, l’état de l’art et le coût.
En fonction de sa taille, sans tenir compte de la gravité des incidents possibles.

En proportion de plusieurs facteurs, dont l’exposition, la taille, la probabilité, la gravité, les conséquences, l’état de l’art et le coût.

Explication

Les mesures doivent être appropriées et proportionnées en tenant compte de l’ensemble des facteurs indiqués, notamment la gravité même si la probabilité est faible, ainsi que l’état de l’art et le coût. La taille seule ou la probabilité seule ne suffit donc pas à déterminer le niveau de mesures.

26. Une entité doit démontrer qu’elle a pris les précautions qu’aurait prises un acteur diligent, sans garantir qu’aucun incident ne surviendra : quelle obligation cela décrit-il ?

Une obligation de moyens simple, sans preuve particulière de diligence.
Une obligation de résultat, qui exige que l’incident ne se produise pas.
Une obligation de moyens renforcés, située entre moyens simple et résultat.
Une obligation de résultat, satisfaite dès que des mesures sont documentées.

Une obligation de moyens renforcés, située entre moyens simple et résultat.

Explication

L’obligation de moyens renforcés impose de démontrer qu’on a agi comme un acteur diligent, sans exiger la garantie d’un résultat. L’obligation de résultat porte sur l’obtention du résultat, tandis que les moyens simples n’expriment pas le niveau renforcé de preuve attendu.

27. Quel ensemble correspond aux domaines impératifs de gestion des risques prévus par NIS 2 ?

Les domaines couvrent notamment risques et PSSI, incidents, continuité, fournisseurs, développement, efficacité, hygiène, cryptographie, ressources humaines, accès et actifs, authentification et communications sécurisées.
Les domaines couvrent notamment risques et PSSI, incidents, continuité, fournisseurs, développement, efficacité, hygiène, cryptographie et ressources humaines.
Les domaines couvrent notamment risques et PSSI, incidents, continuité, fournisseurs, développement, efficacité, hygiène, accès et actifs, authentification et communications sécurisées.
Les domaines couvrent notamment risques et PSSI, incidents, continuité, fournisseurs, développement, conformité documentaire, hygiène, cryptographie, accès et actifs.

Les domaines couvrent notamment risques et PSSI, incidents, continuité, fournisseurs, développement, efficacité, hygiène, cryptographie, ressources humaines, accès et actifs, authentification et communications sécurisées.

Explication

Les domaines impératifs incluent les ensembles cités, jusqu’au contrôle d’accès et à la gestion des actifs, ainsi que l’authentification et les communications sécurisées. Omettre ces derniers ou remplacer l’évaluation de l’efficacité par la seule conformité documentaire ne restitue pas la liste prévue.

28. Une entité essentielle révise son dispositif de gestion de crise après avoir constaté que ses sous-traitants appliquent des pratiques de sécurité inégales. Quelle mesure correspond à son obligation concernant la chaîne d’approvisionnement ?

Ajouter une clause de sécurité facultative sans l’intégrer à sa gestion de crise
Renforcer la sécurité de ses propres systèmes sans étendre ses mesures à ses fournisseurs
Intégrer formellement la sécurité de toute sa chaîne dans ses mesures de cybersécurité et de gestion de crise
Confier l’évaluation de la chaîne d’approvisionnement à ses fournisseurs

Intégrer formellement la sécurité de toute sa chaîne dans ses mesures de cybersécurité et de gestion de crise

Explication

Les entités essentielles et importantes doivent intégrer formellement la sécurité de toute leur chaîne d’approvisionnement à leurs mesures de cybersécurité et de gestion de crise. Se limiter à ses systèmes néglige la chaîne, rendre la clause facultative ne formalise pas l’obligation, et en confier l’évaluation aux fournisseurs ne satisfait pas cette exigence.

29. Une entité choisit des mesures face à des risques variés qui pourraient perturber ses services. Quelle approche doit guider ses mesures au titre de l’article 21 §1 ?

Retenir des mesures techniques centrées sur les vulnérabilités des seuls systèmes internes
Retenir des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées selon une approche tous risques
Retenir des mesures uniformes, sans les ajuster à la nature des risques
Retenir des mesures organisationnelles visant surtout la continuité après incident

Retenir des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées selon une approche tous risques

Explication

L’article 21 §1 prévoit des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, selon une approche tous risques, afin de gérer les risques et de prévenir ou minimiser l’impact des incidents. Se limiter au technique écarte deux catégories de mesures, tandis qu’un niveau uniforme ou une action centrée sur l’après-incident ne reprend pas la règle.

30. Un prestataire doit décrire les garanties apportées aux données et systèmes confiés par un client régulé. Quel document formalise ces garanties ?

Le registre d’incidents, qui recense les événements affectant les données et les systèmes
L’attestation de certification, qui décrit le niveau de confiance d’un produit ou service
La clause d’engagement, qui résume les obligations sans formaliser les mesures du prestataire
Le Plan d’Assurance Sécurité, qui formalise les mesures techniques, opérationnelles, humaines et juridiques

Le Plan d’Assurance Sécurité, qui formalise les mesures techniques, opérationnelles, humaines et juridiques

Explication

Le Plan d’Assurance Sécurité formalise les mesures techniques, opérationnelles, humaines et juridiques garantissant la sécurité, la confidentialité, l’intégrité, la disponibilité et la traçabilité des données et systèmes confiés. Une clause générale, un registre d’incidents et une attestation de certification ne remplissent pas cette fonction de formalisation.

31. Un établissement financier soumis à NIS 2 et à DORA détermine quel régime encadre ses obligations de cybersécurité. Quelle articulation doit-il appliquer ?

Appliquer NIS 2 comme régime plus spécifique, en écartant les exigences de DORA
Traiter DORA et NIS 2 comme deux socles minimaux de même portée
Appliquer DORA comme régime plus spécifique, avec NIS 2 comme couche minimale
Appliquer DORA comme socle minimal, complété par les exigences de NIS 2

Appliquer DORA comme régime plus spécifique, avec NIS 2 comme couche minimale

Explication

Dans le secteur financier, les obligations plus spécifiques de DORA priment sur NIS 2, qui constitue la couche minimale à laquelle DORA ajoute un niveau supplémentaire. Faire primer NIS 2 inverse leur articulation, les traiter comme équivalents ignore la spécificité de DORA, et inverser le socle et le niveau supplémentaire renverse leur relation.

32. Une cyberattaque inhabituelle ne perturbe pas les services, tandis qu’une panne ordinaire risque d’entraîner de lourdes conséquences pour les utilisateurs. Quel critère détermine si un incident doit être considéré comme important ?

L’identité de l’auteur présumé de l’attaque
La catégorie technique du système principalement touché
La nouveauté de la technique employée lors de l’attaque
L’importance des conséquences réelles ou potentielles de l’incident

L’importance des conséquences réelles ou potentielles de l’incident

Explication

Sous NIS 2, l’importance d’un incident dépend de ses conséquences réelles ou potentielles, et non de la nature de l’attaque. La nouveauté de la technique, l’identité de l’auteur ou la catégorie du système touché ne remplacent pas cette appréciation des conséquences.

33. Une interruption de service pourrait entraîner de lourdes pertes financières pour une entité, sans dommage direct établi pour d’autres personnes. Quelle conclusion correspond à la définition d’un incident important ?

L’incident est important seulement si une perturbation opérationnelle grave s’est déjà produite
L’incident ne peut être important qu’en cas de dommages considérables causés à des tiers
L’incident peut être important en raison des pertes financières importantes qu’il peut causer à l’entité
L’incident ne peut être important qu’après constatation de pertes financières déjà réalisées

L’incident peut être important en raison des pertes financières importantes qu’il peut causer à l’entité

Explication

La définition couvre un incident qui a causé ou peut causer des pertes financières importantes à l’entité, même sans dommage établi à des tiers. Exiger un dommage à autrui écarte un critère autonome, confondre pertes et perturbation opérationnelle mélange deux critères, et écarter les conséquences potentielles oublie qu’elles sont prises en compte.

34. Une organisation prend connaissance d’un incident le lundi à 10 h et suit le calendrier de notification à l’ANSSI. Quel enchaînement de délais doit-elle respecter ?

Alerte précoce sous 72 h, notification détaillée sous 24 h, rapport final sous un mois
Alerte précoce sous 24 h, notification détaillée sous un mois, rapport final sous 72 h
Alerte précoce sous 24 h, notification détaillée sous 72 h, rapport final sous un mois
Alerte précoce sous 24 h après la fin, notification sous 72 h, rapport final sous un mois

Alerte précoce sous 24 h, notification détaillée sous 72 h, rapport final sous un mois

Explication

La procédure prévoit une alerte précoce dans les 24 heures après la connaissance de l’incident, une notification détaillée dans les 72 heures, puis un rapport final dans un délai d’un mois. Intervertir les deux premiers délais ou ceux des deux dernières étapes déforme le calendrier, et le point de départ est la connaissance de l’incident.

35. Une organisation a correctement protégé ses systèmes, mais elle a omis de notifier un incident important. Quelle conséquence découle du caractère autonome de l’obligation de notification ?

Elle peut être sanctionnée seulement si elle a omis d’informer ses clients
Elle échappe à toute sanction dès lors que ses systèmes étaient protégés
Elle peut être sanctionnée pour le seul oubli de notification
Elle ne peut être sanctionnée qu’après preuve d’un manquement de sécurité

Elle peut être sanctionnée pour le seul oubli de notification

Explication

L’obligation de notifier est autonome : l’organisation peut être sanctionnée pour le seul oubli de notification, même sans manquement de sécurité. Exiger la preuve d’une défaillance, réduire l’obligation à l’information des clients ou considérer la protection des systèmes comme une dispense méconnaît cette autonomie.

36. Une entreprise veut réduire les conséquences d’une cybercrise et mieux se préparer aux incidents futurs. Quelle organisation doit-elle mettre en place en interne ?

Une gestion de crise visant à prévenir, détecter, répondre et tirer les leçons
Une équipe informatique chargée de répondre aux incidents détectés
Un dispositif de prévention complété par un plan d’intervention
Une démarche de prévention et de documentation des incidents

Une gestion de crise visant à prévenir, détecter, répondre et tirer les leçons

Explication

La gestion interne de crise doit couvrir la prévention, la détection rapide, la réponse efficace et le retour d’expérience. Une réponse limitée à l’informatique omet la portée organisationnelle, tandis que la prévention seule ou la documentation ne couvrent pas l’ensemble de la démarche.

37. Lors de la révision de sa gouvernance, une organisation constate que ses dirigeants délèguent entièrement les risques numériques aux équipes techniques. Quelle action leur incombe ?

S’impliquer, approuver les mesures de gestion des risques et se former
Se former aux risques tout en laissant leur approbation aux équipes
Approuver les mesures de risque sans participer ni se former
Superviser les équipes techniques sans approuver les mesures de risque

S’impliquer, approuver les mesures de gestion des risques et se former

Explication

Les organes de direction sont personnellement responsables : ils doivent s’impliquer, approuver les mesures de gestion des risques et se former. La délégation aux équipes n’efface pas cette responsabilité, et l’approbation ou la formation isolée ne suffit pas.

38. Après un exercice de crise, une organisation découvre une panne technique et des retards de décision dus à une mauvaise répartition des responsabilités. Que doit couvrir son RETEX ?

Corriger les procédures opérationnelles sans revoir l’organisation
Analyser les causes et les défaillances, puis améliorer gouvernance et dispositifs
Répertorier les pannes techniques et remplacer les équipements concernés
Consigner le déroulement de l’exercice et archiver les décisions prises

Analyser les causes et les défaillances, puis améliorer gouvernance et dispositifs

Explication

Le RETEX analyse les causes, repère les failles techniques et les défaillances organisationnelles, puis conduit à améliorer la gouvernance ainsi que la prévention et la réponse. Se concentrer sur les équipements écarte les défaillances organisationnelles; un simple compte rendu ou une correction sans révision de la gouvernance est incomplet.

39. Une entité estime que son prestataire aurait évité une faille en respectant le contrat, ou a fait preuve de négligence. Quelle démarche peut-elle engager ?

Une action en responsabilité contractuelle contre le prestataire
Une demande d’indemnisation contractuelle directement adressée à l’ANSSI
Une action délictuelle fondée sur le seul manquement au contrat
Une demande de sanction administrative de l’ANSSI contre le prestataire

Une action en responsabilité contractuelle contre le prestataire

Explication

En cas de faille évitable par le respect du contrat ou de négligence, l’entité peut agir sur le terrain de la responsabilité contractuelle; elle ne peut pas demander à l’ANSSI de sanctionner administrativement son prestataire. La voie délictuelle vise le cas où le contrat a été parfaitement respecté et où un fait cause un dommage.

40. Quelle suite décrit la gradation des sanctions de l’ANSSI, de la mesure initiale jusqu’aux sanctions financières ?

Avertissement, mesures correctives sous astreinte, publication, cessation, sanctions financières, sanction du dirigeant
Avertissement, mesures correctives sous astreinte, cessation, publication, sanction du dirigeant, sanctions financières
Avertissement, cessation, mesures correctives sous astreinte, publication, sanction du dirigeant, sanctions financières
Mesures correctives sous astreinte, avertissement, cessation, publication, sanction du dirigeant, sanctions financières

Avertissement, mesures correctives sous astreinte, cessation, publication, sanction du dirigeant, sanctions financières

Explication

La gradation commence par l’avertissement, puis prévoit des mesures correctives sous astreinte, la cessation de certains comportements, la publication des décisions d’injonction, la sanction personnelle du dirigeant et enfin les sanctions financières. Placer la publication avant la cessation inverse ces étapes; commencer par les mesures correctives omet l’avertissement initial.

41. Une entité essentielle et une entité importante relèvent de régimes de supervision différents. Quelle comparaison est exacte ?

Les importantes sont supervisées de façon renforcée ex ante; les essentielles, a posteriori sur indices ou incident
Les deux catégories sont supervisées a posteriori, mais avec des déclencheurs différents
Les essentielles sont supervisées a posteriori après un incident; les importantes peuvent être contrôlées à tout moment
Les essentielles sont supervisées de façon renforcée ex ante; les importantes, a posteriori sur indices, incident ou signalement

Les essentielles sont supervisées de façon renforcée ex ante; les importantes, a posteriori sur indices, incident ou signalement

Explication

La supervision des entités essentielles est renforcée et ex ante, avec des contrôles possibles à tout moment; celle des entités importantes intervient a posteriori en présence d’indices de non-respect, d’un incident ou d’un signalement. Attribuer le régime renforcé aux entités importantes ou exiger un signalement pour les essentielles inverse la distinction.

42. Pourquoi le règlement européen sur les produits numériques répond-il à un enjeu de cybersécurité ?

Des produits variés peuvent avoir des vulnérabilités exploitables que leurs utilisateurs peinent à corriger.
Les vulnérabilités exploitables concernent surtout les équipements industriels, que leurs utilisateurs savent corriger.
Les vulnérabilités des produits numériques restent sans conséquence au-delà de l’appareil directement touché.
Les produits numériques sont vulnérables, mais leurs utilisateurs disposent généralement des moyens de corriger les failles.

Des produits variés peuvent avoir des vulnérabilités exploitables que leurs utilisateurs peinent à corriger.

Explication

Des produits allant des ordinateurs aux équipements industriels et objets connectés peuvent présenter des failles, tandis que les utilisateurs n’ont pas toujours les moyens de les corriger. L’équipement industriel seul réduit à tort le champ concerné, les moyens de correction supposés contredisent le manque de capacité des utilisateurs, et l’absence de conséquences élargies écarte le risque pour l’écosystème.

43. Une entreprise conçoit un nouvel objet connecté et prévoit de traiter ses failles après sa mise en vente. À quel moment doit-elle intégrer la cybersécurité pour respecter le principe du CRA ?

Après la commercialisation de l’objet.
Lors de la découverte d’une première vulnérabilité.
Au moment où l’utilisateur configure l’objet.
Dès la conception de l’objet connecté.

Dès la conception de l’objet connecté.

Explication

Le CRA demande au fabricant de prendre en compte la cybersécurité dès la conception de l’objet connecté. La configuration par l’utilisateur déplace la responsabilité, l’après-commercialisation reporte la sécurité, et l’attente d’une faille confond conception et traitement ultérieur.

44. Quelle chronologie décrit l’adoption et l’entrée en vigueur du CRA ?

Adoption en octobre 2024, puis entrée en vigueur à la fin de 2024.
Adoption à la fin de 2024, puis entrée en vigueur en octobre 2024.
Adoption en octobre 2024, puis entrée en vigueur générale à la fin de 2027.
Entrée en vigueur en octobre 2024, puis adoption à la fin de 2024.

Adoption en octobre 2024, puis entrée en vigueur à la fin de 2024.

Explication

Le CRA a été adopté en octobre 2024 et est entré en vigueur à la fin de cette année-là. Inverser les deux étapes ou déplacer l’adoption à la fin de l’année modifie la chronologie, tandis que la fin de 2027 correspond à l’application générale, pas à l’entrée en vigueur.

45. Un fabricant doit déterminer à partir de quelle date appliquer les obligations du CRA relatives à la notification des vulnérabilités activement exploitées et des incidents graves. Quelle date retenir ?

La fin de 2027.
Le 11 septembre 2026.
La fin de 2024.
Le mois d’octobre 2024.

Le 11 septembre 2026.

Explication

Ces obligations de notification sont applicables depuis le 11 septembre 2026. La fin de 2024 est l’entrée en vigueur, octobre 2024 est la date d’adoption, et la fin de 2027 correspond à l’application générale.

46. Un appareil ne contient pas de données numériques, mais dépend d’un logiciel pour fonctionner et peut se connecter indirectement à un réseau. Comment le qualifier au regard du champ du CRA ?

Un produit exclu parce qu’il dépend d’un logiciel.
Un produit comportant des éléments numériques.
Un produit hors champ faute de données stockées.
Un produit hors champ faute de connexion directe.

Un produit comportant des éléments numériques.

Explication

La définition couvre les produits qui dépendent de données ou de logiciels pour fonctionner, ainsi que ceux qui peuvent être connectés directement ou indirectement. Exiger des données stockées, écarter les connexions indirectes ou traiter la dépendance logicielle comme une exclusion contredit ces critères.

47. Une machine n’est pas conçue pour être connectée, mais son usage raisonnablement prévisible comprend le détournement d’une fonction qui permet une connexion au réseau. Le CRA s’applique-t-il ?

Oui, mais seulement si la machine est connectée directement à un réseau.
Non, car la finalité initiale exclut toute connexion prise en compte.
Oui, car une connexion issue d’un détournement prévisible suffit.
Non, car seule une connexion prévue par le fabricant entre dans le champ.

Oui, car une connexion issue d’un détournement prévisible suffit.

Explication

Le CRA s’applique dès lors que l’usage prévu ou raisonnablement prévisible comporte une connexion, y compris si elle découle d’un détournement prévisible de la finalité. Se fier à la seule finalité initiale ou exiger une connexion prévue par le fabricant écarte à tort l’usage prévisible, et une connexion indirecte peut également être concernée.

48. Un fabricant établi hors de l’Union vend un produit numérique à des utilisateurs dans l’Union par l’intermédiaire d’une plateforme. Le produit est-il soumis au CRA ?

Non, car le fabricant est établi hors de l’Union.
Non, car la vente passe par une plateforme intermédiaire.
Non, car le CRA vise les fabricants établis dans l’Union.
Oui, s’il est mis sur le marché ou à disposition dans l’Union.

Oui, s’il est mis sur le marché ou à disposition dans l’Union.

Explication

Le CRA s’applique aux produits mis sur le marché ou à disposition dans l’Union, indépendamment du lieu d’établissement du fabricant et du modèle de distribution. Le lieu d’établissement étranger et le recours à une plateforme ne constituent donc pas des exclusions territoriales.

49. Une entreprise conçoit un produit qu’elle commercialise sous sa propre marque : quel acteur assume la responsabilité principale de sa conformité ?

Le détaillant
Le fabricant
L’importateur
Le distributeur

Le fabricant

Explication

Le fabricant développe, ou fait développer, le produit commercialisé sous son nom ou sa marque et assume la responsabilité principale de sa conformité. L’importateur introduit le produit sur le marché, tandis que le distributeur le met à disposition.

50. Une entreprise fabrique un logiciel et prépare sa mise sur le marché : quelle démarche relève de ses responsabilités de fabricant ?

Vérifier les instructions du fournisseur et assurer la distribution
Gérer les vulnérabilités et fournir support et mises à jour gratuites
Négocier la durée de support avec l’organisme de normalisation
Contrôler le marquage CE et transmettre le produit aux détaillants

Gérer les vulnérabilités et fournir support et mises à jour gratuites

Explication

Les responsabilités du fabricant incluent la gestion des vulnérabilités ainsi que le support et les mises à jour gratuites, en plus de la conception sécurisée, de l’évaluation de conformité et de la documentation. La vérification des instructions et la distribution correspondent à d’autres rôles économiques.

51. Un distributeur appose sa propre marque sur un produit ou en modifie substantiellement la conception avant de le vendre : quel rôle assume-t-il alors ?

Celui de fabricant
Celui d’importateur
Celui d’organisme notifié
Celui de distributeur

Celui de fabricant

Explication

Commercialiser le produit sous sa propre marque ou lui apporter des modifications substantielles fait devenir fabricant l’importateur ou le distributeur. Le rôle dépend de l’activité économique réelle, et non de l’étiquette initiale.

52. Deux produits ont des fonctions différentes et l’un d’eux est déployé dans une infrastructure critique : quels éléments faut-il examiner pour les classer selon leur niveau de risque ?

La taille du fournisseur, le nombre d’utilisateurs et le support
La fréquence des mises à jour, la marque et le canal de vente
Le prix, le volume des ventes et le pays de fabrication
La fonction, l’impact potentiel d’une compromission et l’environnement

La fonction, l’impact potentiel d’une compromission et l’environnement

Explication

La classification tient compte de la fonction du produit, des conséquences potentielles d’une compromission et de son environnement, notamment s’il s’agit d’une infrastructure sensible ou critique. Le prix ou la taille du fabricant ne remplacent pas ces critères.

53. Les exigences essentielles de cybersécurité se répartissent en quelles deux familles ?

Les propriétés de cybersécurité du produit et la gestion des vulnérabilités
La conception du produit et la documentation technique
La classification du produit et l’évaluation de conformité
Le support aux utilisateurs et le marquage de conformité

Les propriétés de cybersécurité du produit et la gestion des vulnérabilités

Explication

Les exigences essentielles couvrent à la fois les propriétés de cybersécurité des produits et la gestion et le traitement des vulnérabilités. La classification et l’évaluation de conformité ne constituent pas ces deux familles.

54. Une équipe conçoit une passerelle industrielle et doit intégrer la cybersécurité dès le début du projet : quelle démarche correspond à la sécurité dès la conception ?

Attendre les retours des utilisateurs pour décider de l’architecture de sécurité
Livrer le produit avec les services inutiles désactivés et peu de données collectées
Réserver les correctifs aux changements fonctionnels du produit
Analyser les risques, choisir une architecture sûre et prévoir des mises à jour sécurisées

Analyser les risques, choisir une architecture sûre et prévoir des mises à jour sécurisées

Explication

La sécurité dès la conception intègre la cybersécurité au produit dès sa conception, notamment au moyen d’une analyse des risques, d’une architecture sécurisée et de mécanismes de mise à jour sécurisés et accessibles. Le paramétrage sûr à la livraison relève plutôt de la sécurité par défaut.

55. Un fabricant découvre que tous les exemplaires d’un appareil utilisent le même mot de passe initial : quelle mesure réduit le risque de compromission de tout le parc ?

Attribuer des identifiants uniques et imposer leur changement à la première utilisation
Attribuer des identifiants uniques sans demander de changement initial
Conserver un identifiant partagé et demander son changement initial
Conserver le même identifiant et allonger le mot de passe initial

Attribuer des identifiants uniques et imposer leur changement à la première utilisation

Explication

Des identifiants identiques facilitent la compromission de l’ensemble des appareils d’un modèle ; ils doivent donc être uniques et leur changement doit être imposé à la première utilisation. Un mot de passe plus long ou un changement initial ne suffit pas si l’identifiant reste partagé.

56. Un fabricant estime la durée de support de deux produits : un appareil à vie courte et un équipement industriel. Quelle règle doit guider sa décision ?

Fixer cinq ans pour chaque produit, quelle que soit sa durée de vie
Aligner le support sur la période de vente, sans tenir compte de l’usage
Choisir une durée inférieure à cinq ans si le produit est industriel
Tenir compte de la durée de vie attendue, avec un minimum de cinq ans

Tenir compte de la durée de vie attendue, avec un minimum de cinq ans

Explication

La période de support dépend de la durée de vie attendue et dure au minimum cinq ans ; elle peut couvrir toute la durée de vie d’un produit court ou atteindre dix à quinze ans pour certains produits industriels. Une durée fixe ne prend pas en compte ces différences.

57. Pour établir l’inventaire logiciel d’un produit, quelles informations une SBOM réunit-elle ?

Les composants, dépendances directes et indirectes, versions et licences
Les composants, versions et risques, sans dépendances indirectes
Les mesures de sécurité, tests et validations du produit
Les composants et dépendances directes, sans versions ni licences

Les composants, dépendances directes et indirectes, versions et licences

Explication

Une SBOM recense les composants logiciels, leurs dépendances directes et indirectes, leurs versions et leurs licences, y compris open source. La liste limitée aux dépendances directes omet une partie de l’inventaire, l’absence de versions et licences le rend incomplet, et les mesures de sécurité relèvent de la documentation technique.

58. Lors d’un contrôle, quelle documentation permet de comprendre à la fois la conception du produit, ses risques, ses tests et sa procédure de conformité ?

La déclaration UE de conformité
La documentation technique du produit
Le rapport des procédures de test
La SBOM des composants logiciels

La documentation technique du produit

Explication

La documentation technique décrit notamment le produit, son architecture et sa conception, ainsi que les risques, mesures de sécurité, tests et éléments de conformité. La SBOM porte sur les composants logiciels, la déclaration UE est une étape formelle de conformité, et un rapport de tests ne couvre qu’une partie du dossier.

59. Un fabricant applique une norme harmonisée publiée au JOUE, mais une autorité prouve ensuite que le produit ne respecte pas cette norme. Quel effet cela a-t-il sur la présomption de conformité ?

Elle est remplacée par une certification de l’organisme notifié
Elle disparaît, car la non-conformité a été prouvée
Elle demeure, car la norme est publiée au JOUE
Elle disparaît seulement si le fabricant retire sa déclaration UE

Elle disparaît, car la non-conformité a été prouvée

Explication

Une norme harmonisée publiée au JOUE confère une présomption simple de conformité, qui tombe si la non-conformité est prouvée. La publication ne rend donc pas la présomption irréfragable, et ni une certification ni le retrait de la déclaration ne constituent la condition décrite.

60. Une entreprise a achevé l’évaluation de conformité de son produit. Quelle étape doit-elle accomplir avant d’apposer le marquage CE ?

Réaliser une nouvelle évaluation après le marquage
Apposer le marquage CE
Transmettre une notification à l’ANSSI
Établir la déclaration UE de conformité

Établir la déclaration UE de conformité

Explication

Le parcours prévu est l’évaluation de conformité, puis la déclaration UE de conformité, puis l’apposition du marquage CE. Apposer le marquage avant la déclaration inverse les étapes, refaire l’évaluation après le marquage déplace cette étape, et une notification à l’ANSSI n’appartient pas à ce parcours.

61. Depuis quelle date les vulnérabilités et incidents concernés doivent-ils être notifiés à l’ANSSI via une plateforme unique, en coordination avec l’ENISA ?

Dans les 24 heures suivant chaque événement
Depuis août 2026
Depuis le 11 septembre 2026
Depuis le 11 octobre 2026

Depuis le 11 septembre 2026

Explication

L’obligation de notification décrite est en vigueur depuis le 11 septembre 2026 et passe par l’ANSSI, en coordination avec l’ENISA. Le 11 octobre correspond à un épisode cité dans un cas, août à la publication de correctifs de cet exemple, et 24 heures est un délai d’alerte précoce.

62. Après un événement soumis à notification, une équipe prépare le calendrier de ses transmissions. Quel enchaînement de délais doit-elle respecter ?

Alerte précoce sous 24 h, informations complémentaires sous 72 h, rapport final sous 72 h
Alerte précoce sous 24 h, informations complémentaires sous 72 h, rapport final sous 1 mois
Alerte précoce sous 24 h, informations complémentaires sous 1 mois, rapport final sous 72 h
Alerte précoce sous 72 h, informations complémentaires sous 24 h, rapport final sous 1 mois

Alerte précoce sous 24 h, informations complémentaires sous 72 h, rapport final sous 1 mois

Explication

Le calendrier prévoit une alerte précoce sous 24 h, des informations complémentaires sous 72 h et un rapport final sous 1 mois. Les autres séquences inversent les deux premiers délais ou attribuent à tort au rapport final une échéance de 72 h.

63. Pour déterminer le plafond de sanction applicable, une autorité compare 15 M€ à 2,5 % du chiffre d’affaires annuel mondial de l’entreprise. Quel montant doit-elle retenir comme plafond ?

Le montant fixe de 15 M€
Le montant de 2,5 % du chiffre d’affaires
Le plus élevé des deux montants
La somme des deux montants

Le plus élevé des deux montants

Explication

Le plafond peut atteindre 15 M€ ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Choisir systématiquement le montant fixe ou le pourcentage ignore cette comparaison, tandis que les additionner ne correspond pas à la règle.

64. Un fabricant respecte les exigences essentielles, mais omet une notification requise. Quelle conclusion reflète l’indépendance des obligations réglementaires ?

Le respect d’un texte européen écarte l’application des autres textes
Le défaut de notification peut être sanctionné malgré le respect des exigences essentielles
Une notification ultérieure annule automatiquement le manquement initial
Le respect des exigences essentielles écarte toute sanction liée à la notification

Le défaut de notification peut être sanctionné malgré le respect des exigences essentielles

Explication

Les obligations sont indépendantes : respecter les exigences essentielles sans notifier peut être sanctionné, tout comme notifier sans respecter ces exigences. Le respect des exigences ne dispense donc pas de notifier, et les régimes du CRA, de NIS 2, du RGPD et de l’AI Act peuvent se cumuler.

65. Un organisme souhaite traiter les opinions politiques d’individus. Quel principe s’applique à ce traitement, sous réserve des exceptions prévues ?

Il est possible selon les principes généraux applicables aux données courantes.
Il est interdit par principe, sauf exceptions encadrées.
Il relève du régime distinct prévu pour les infractions et condamnations.
Il est soumis à une vigilance renforcée, sans interdiction de principe.

Il est interdit par principe, sauf exceptions encadrées.

Explication

Les opinions politiques sont des données sensibles, dont le traitement est interdit par principe sauf exceptions encadrées. La vigilance renforcée concerne les données critiques, le traitement selon les principes généraux les données courantes, et le régime distinct les données relatives aux infractions et condamnations.

66. Une organisation évalue ses dispositifs d’authentification et de communication. Quelle combinaison correspond aux mesures de ce domaine, lorsque cela est approprié ?

Contrôle des habilitations, communications voix et vidéo sécurisées, systèmes de communication d’urgence sécurisés.
Authentification par mot de passe, communications voix et vidéo ordinaires, systèmes de communication d’urgence sécurisés.
Authentification multifacteur ou continue, chiffrement des données, notification des incidents aux autorités.
Authentification multifacteur ou continue, communications voix et vidéo sécurisées, systèmes de communication d’urgence sécurisés.

Authentification multifacteur ou continue, communications voix et vidéo sécurisées, systèmes de communication d’urgence sécurisés.

Explication

Ce domaine comprend, lorsque cela est approprié, l’authentification multifacteur ou continue, des communications voix et vidéo sécurisées et des systèmes sécurisés de communication d’urgence. Le mot de passe seul réduit l’authentification, le chiffrement seul ne décrit pas l’ensemble demandé, et les habilitations relèvent du contrôle d’accès.

Révisez avec les flashcards

Mémorisez les réponses avec 94 flashcards sur RGPD et protection des données.

Quels supports de données personnelles relèvent du RGPD ?

Les supports numériques et papier.

Que détermine le responsable de traitement selon le RGPD ?

La finalité et les moyens du traitement.

Quels sont les sept grands principes du RGPD ?

Licéité, finalité, pertinence et proportionnalité, limitation de la conservation, sécurité, loyauté et information, respect des droits.

Voir les flashcards →

Approfondir avec la fiche

Consultez la fiche de révision complète sur RGPD et protection des données.

Voir la fiche →

Cours similaires

Droit public économique

Droit Public

Notion et fonctions du droit

Notions fondamentales de droit

Contrats et obligations

Droit Civil

Guide d’audience aux assises

Droit Pénal

Relations internationales et sécurité collective

Droit Public

Crée tes propres QCM

Importe ton cours et l'IA génère des QCM avec corrections en 30 secondes.

Générateur de QCM