Cybersécurité

RGPD + cybersécurité : la double obligation 2026 pour PME (article 32 + NIS2)

Stéphane Degouve9 juillet 2026

# RGPD + cybersécurité : la double obligation 2026 pour PME

En 2026, une PME française qui traite des données personnelles est soumise à deux réglementations qui se recoupent : le RGPD article 32 (mesures techniques de sécurité) et la directive NIS2 (transposition française octobre 2024, contrôles ANSSI 2026-2027). Beaucoup de dirigeants vivent cette double obligation comme une double charge. Elle peut au contraire être mutualisée à 80 % avec la bonne approche.

Ce guide croise les deux exigences, identifie les mesures qui satisfont les deux réglementations simultanément, et détaille les sanctions cumulées qui rendent l'immobilisme risqué.

TL;DR — l'essentiel en 60 secondes

RGPD article 32 : mesures techniques et organisationnelles garantissant un niveau de sécurité adapté aux risques
NIS2 article 21.2 : 10 catégories de mesures techniques exigées pour ~10 000 PME françaises (secteurs essentiels + importants)
80 % des mesures se recoupent : chiffrement, journalisation, sauvegarde immuable, plan de réponse à incident, MFA, sensibilisation phishing
Notifications : CNIL sous 72h (RGPD art. 33), CSIRT-FR sous 24h (NIS2), les deux à faire en parallèle
Sanctions cumulables : RGPD 4 % CA mondial + NIS2 2 % CA mondial + responsabilité personnelle dirigeant (NIS2)

Comparatif article par article

RGPD article 32 — Sécurité du traitement

L'article 32 impose au responsable de traitement (et au sous-traitant) de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

(a) La pseudonymisation et le chiffrement des données à caractère personnel
(b) Les moyens de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes
(c) Les moyens de restaurer la disponibilité des données personnelles en cas d'incident
(d) Une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures

Traduction opérationnelle :

Chiffrement AES-256 des données au repos + TLS 1.2+ en transit
Chiffrement des disques laptops (BitLocker, FileVault)
Sauvegardes chiffrées et testées trimestriellement
Journalisation des accès (SIEM ou log manager)
Audit sécurité annuel documenté
Notification CNIL sous 72h en cas de violation (art. 33)

NIS2 article 21.2 — Mesures techniques et organisationnelles

NIS2 va plus loin que RGPD en imposant 10 catégories de mesures obligatoires :

1. Politique d'analyse des risques + politique SSI 2. Gestion des incidents (notification 24h) 3. Continuité d'activité + gestion des sauvegardes + PRA 4. Sécurité de la chaîne d'approvisionnement 5. Sécurité acquisition/développement/maintenance SI 6. Politiques d'évaluation de l'efficacité (KPI, audit) 7. Pratiques de base de cyberhygiène + formation 8. Cryptographie et chiffrement (recoupe RGPD art. 32.a) 9. Sécurité RH, contrôle d'accès, gestion des actifs 10. Utilisation MFA + communications sécurisées + plans documentés

→ Détail complet des 10 mesures NIS2 pour PME

Où RGPD et NIS2 se recoupent (bonne nouvelle)

~80 % des exigences techniques sont communes :

| Mesure | RGPD art. 32 | NIS2 art. 21.2 | | --- | :---: | :---: | | Chiffrement AES-256 | ✅ (a) | ✅ (mesure 8) | | Sauvegarde + tests réguliers | ✅ (c) | ✅ (mesure 3) | | Journalisation des accès | ✅ (b) | ✅ (mesure 2) | | Analyse de risques annuelle | ✅ (d) | ✅ (mesure 1) | | MFA sur comptes admin | Recommandé | ✅ (mesure 10) | | Formation collaborateurs | Recommandé | ✅ (mesure 7) | | Plan de réponse à incident | Recommandé | ✅ (mesure 2 + 10) | | Notification incident | ✅ 72h (art. 33) | ✅ 24h |

Ce qui est spécifique à NIS2 (non couvert par RGPD) :

Mesure 4 : sécurité de la chaîne d'approvisionnement (audit fournisseurs)
Mesure 5 : sécurité SDLC (développement + maintenance)
Mesure 9 : gestion cyber des actifs (inventaire à jour)
Rapport structuré ANSSI + reporting périodique

Ce qui est spécifique à RGPD (non couvert par NIS2) :

DPO obligatoire dans certains cas (art. 37)
Registre des traitements (art. 30)
Base légale pour chaque traitement (art. 6)
Droits des personnes (accès, effacement, opposition)
AIPD (Analyse d'impact) pour traitements à risque élevé (art. 35)

Sanctions cumulées — le risque financier réel

Les sanctions RGPD et NIS2 sont indépendantes et cumulables.

RGPD (article 83) :

Jusqu'à 20 M€ ou 4 % du CA mondial (le plus élevé des deux) pour violations graves
Contrôles CNIL sur signalement client, incident notifié, ou audit programmé
Sanction moyenne PME France 2025 : 25 000 à 150 000 €

NIS2 (transposition loi française 2024-1009) :

Jusqu'à 10 M€ ou 2 % du CA mondial (entités essentielles)
Jusqu'à 7 M€ ou 1,4 % du CA mondial (entités importantes)
Astreinte journalière jusqu'à mise en conformité
Responsabilité personnelle étendue au dirigeant
Suspension temporaire de certifications ou d'agréments
Contrôles ANSSI ciblés à partir de 2026

Scénario cumulé pour une PME de 15 M€ CA :

RGPD : jusqu'à 600 000 € (4 % CA)
NIS2 : jusqu'à 300 000 € (2 % CA) + responsabilité personnelle du dirigeant
Total potentiel : 900 000 € pour un seul incident si non-conformité avérée sur les deux fronts

Stratégie de conformité mutualisée

Plutôt que de gérer RGPD et NIS2 en silos, adopter une architecture unique qui couvre les deux :

Socle technique commun (couvre RGPD + NIS2 à 80 %)

EDR/XDR + SOC 24/7 — détection incidents (RGPD art. 32.b, NIS2 mesure 2)
Sauvegarde immuable 3-2-1-1-0 — continuité + disponibilité (RGPD art. 32.c, NIS2 mesure 3)
Chiffrement AES-256 zero-knowledge — confidentialité (RGPD art. 32.a, NIS2 mesure 8)
MFA sur tous comptes admin — accès (RGPD implicite, NIS2 mesure 10)
Sensibilisation phishing trimestrielle — cyberhygiène (RGPD implicite, NIS2 mesure 7)
SIEM + rétention 12 mois — journalisation (RGPD art. 32.d, NIS2 mesure 2 + 6)

Documentation commune

Politique SSI unique couvrant RGPD art. 32 + NIS2 art. 21.2
Registre des traitements RGPD (art. 30) + inventaire des actifs NIS2 (mesure 9) = document unifié
Plan de réponse à incident couvrant les 2 procédures de notification (CNIL 72h + CSIRT-FR 24h)
Rapport mensuel automatique exportable pour audit CNIL ou ANSSI

Gouvernance mutualisée

DPO + RSSI mutualisé — un seul référent, deux casquettes pour PME 20-100 collaborateurs
Comité cyber trimestriel — direction + IT + juridique, revue simultanée RGPD + NIS2
Audit externe annuel — cabinet spécialisé qui traite les deux réglementations

Comment 1Acces couvre nativement les 2 réglementations

La Suite Cybersécurité 1A a été pensée pour couvrir simultanément RGPD article 32 + NIS2 article 21.2 :

| Brique 1A | RGPD art. 32 | NIS2 art. 21.2 | | --- | :---: | :---: | | 1A Shield (AV next-gen) | ✅ (b) | ✅ (7) | | 1A Detect (EDR) | ✅ (b, c) | ✅ (2) | | 1A Vision (XDR) | ✅ (b) | ✅ (2, 6) | | 1A Logs (SIEM) | ✅ (d) | ✅ (2, 5) | | 1A Response (SOC 24/7) | ✅ (b, c) | ✅ (2) | | 1A Academy (sensibilisation) | Recommandé | ✅ (7) | | 1A Audit (audit récurrent) | ✅ (d) | ✅ (1, 6) | | 1ACCES Backup (immuable) | ✅ (c) | ✅ (3) | | Chiffrement natif AES-256 | ✅ (a) | ✅ (8) |

Documentation fournie : DPA RGPD, rapport mensuel exportable pour CNIL, checklist couverture NIS2 par mesure, procédure de notification incident 72h/24h.

→ Audit de conformité RGPD + NIS2 gratuit en 30 min

Conclusion — 3 priorités pour 2026

Si vous partez de zéro et devez prioriser en 2026 :

1. Chiffrement + MFA généralisés — couvre RGPD art. 32.a + NIS2 mesures 8 + 10. Effort faible, impact maximal. 2. Sauvegarde immuable 3-2-1-1-0 — couvre RGPD art. 32.c + NIS2 mesure 3. La brique qui vous sauve en cas de ransomware. 3. EDR + notification 24h — couvre RGPD art. 32.b + NIS2 mesure 2. La détection et la notification sont non négociables en 2026.

Ces 3 chantiers couvrent ~70 % des exigences cumulées RGPD + NIS2 et représentent ~50 % du budget cyber PME. Le reste (audit, chaîne d'approvisionnement, documentation) peut s'étaler sur 2027.

---

Pour aller plus loin :

À lire aussi :