La conformité RGPD entreprise 2026 et la conformité NIS2 reposent sur un socle commun : la sécurité technique des données. Chiffrement, gestion des accès, plan de réponse aux incidents, registre des risques. On peut mutualiser ces éléments entre les deux démarches.
Ce qui reste distinct, c’est trois choses. L’objet protégé : les personnes pour le RGPD, les systèmes d’information pour NIS2. L’autorité de contrôle : la CNIL d’un côté, l’ANSSI de l’autre. Les délais de notification en cas d’incident, qui diffèrent selon le texte.
Une entreprise qui construit ses deux conformités séparément double son travail. Une entreprise qui les articule autour d’une gouvernance unique gagne du temps et réduit ses risques.
Sommaire
- RGPD et NIS2 : deux textes, un socle commun
- Où les deux obligations se recoupent
- Position de l’ANSSI sur la mutualisation avec le DPO
- Où elles restent différentes
- Qui est concerné par la double conformité en 2026 ?
- Calendrier 2026 : où en est réellement la loi Résilience
- Méthode : construire une conformité RGPD-NIS2 mutualisée
- Les erreurs qui font doubler le travail
- Questions fréquentes
RGPD et NIS2 : deux textes, un socle commun
Le RGPD encadre la collecte et le traitement des données personnelles depuis 2018. La directive NIS2 (directive UE 2022/2555) encadre autre chose : la sécurité des systèmes d’information des entreprises jugées critiques ou importantes pour l’économie. En France, le projet de loi Résilience la transpose et désigne l’ANSSI comme autorité nationale compétente.
Les deux textes ne parlent pas de la même chose. Cependant, ils s’appuient largement sur les mêmes fondations techniques. Sécuriser un accès, chiffrer une donnée, détecter un incident : ces actions servent à la fois la protection des données personnelles et la résilience du système d’information qui les héberge. C’est cette zone de recouvrement qui permet, en pratique, de ne pas dupliquer les efforts.
Où les deux obligations se recoupent
La sécurité technique de base
L’article 32 du RGPD impose des mesures de sécurité adaptées au risque : chiffrement, pseudonymisation, contrôle d’accès, tests réguliers. La directive NIS2, dans son article 21, exige un socle de dix mesures de gestion des risques. Elles recouvrent en grande partie les mêmes familles d’actions :
- Authentification multifacteur
- Gestion des accès
- Chiffrement
- Sécurisation de la chaîne d’approvisionnement
- Plans de continuité d’activité
Concrètement, un projet de déploiement de la MFA ou de chiffrement des postes ne se mène pas deux fois. Il se documente une fois, avec deux références réglementaires en regard de chaque mesure.
La notification des incidents
Les deux textes imposent une notification rapide en cas d’incident, mais avec des délais et des destinataires différents :
- RGPD : notification à la CNIL sous 72 heures en cas de violation de données personnelles susceptible d’engendrer un risque pour les personnes.
- NIS2 : notification à l’ANSSI sous 24 heures pour une alerte précoce, puis un rapport détaillé sous 72 heures, en cas d’incident significatif touchant le système d’information.
Un même événement de sécurité (une intrusion, un rançongiciel) peut déclencher les deux obligations simultanément si l’incident touche des données personnelles. Par conséquent, la bonne pratique consiste à bâtir une seule procédure interne de gestion de crise, avec un arbre de décision qui identifie dès la détection quelles notifications s’imposent, à qui, et sous quel délai.
La gouvernance et la responsabilité des dirigeants
Le RGPD engage la responsabilité du responsable de traitement. NIS2 va plus loin sur ce point précis : elle engage la responsabilité personnelle des organes de direction, qui doivent approuver les mesures de gestion des risques et suivre une formation dédiée. Dans les deux cas, la documentation prouvant l’implication de la direction devient un élément de défense en cas de contrôle.
Ce qu’en dit l’ANSSI sur la mutualisation avec le DPO
Sur ce point précis, l’ANSSI a pris position. Dans sa foire aux questions publiée sur la plateforme MonEspaceNIS2, l’agence indique que la fonction de DPO, propre au RGPD, ne se transpose pas telle quelle dans NIS2. Mais elle ne sera pas prescriptive sur son rôle. Rien n’empêche donc une entité de s’appuyer sur son DPO, et sur les dispositifs déjà construits pour le RGPD, dès lors qu’ils servent aussi les objectifs de NIS2.
L’ANSSI précise elle-même que ce qui existe déjà au titre du RGPD est potentiellement mutualisable avec NIS2. À chaque entité de définir le mode de fonctionnement qui lui convient. Cette position institutionnelle confirme, sans l’imposer, l’intérêt d’une gouvernance commune plutôt que de deux dispositifs cloisonnés.
Où elles restent différentes
Trois points ne se mutualisent pas et méritent d’être traités séparément dans votre plan de conformité :
- L’objet protégé : le RGPD protège les personnes physiques et leurs droits (accès, rectification, effacement). NIS2 protège la disponibilité et l’intégrité du système d’information, indépendamment de la nature des données qu’il contient.
- L’autorité de contrôle : la CNIL instruit les dossiers RGPD, l’ANSSI supervise NIS2. Ce sont deux interlocuteurs, deux procédures de contrôle, deux régimes de sanction.
- Le périmètre d’application : le RGPD s’applique à toute organisation qui traite des données personnelles, sans seuil de taille. NIS2 ne concerne que les entités de certains secteurs dépassant des seuils d’effectif ou de chiffre d’affaires.
Confondre les deux périmètres est une erreur fréquente. Une PME peut relever pleinement du RGPD sans jamais entrer dans le champ de NIS2. À l’inverse, une collectivité ou un prestataire technique peut relever de NIS2 sur un système qui ne traite aucune donnée personnelle.
Qui est concerné par la double conformité en 2026 ?
Le RGPD concerne, par définition, toutes les entreprises qui traitent des données de résidents européens. NIS2 a un périmètre plus resserré, mais en forte expansion. Ainsi, la transposition française devrait faire passer le nombre d’entités régulées d’environ 500, sous l’ancien régime NIS1, à près de 15 000 entités concernées en France. Elles couvrent dix-huit secteurs stratégiques : énergie, santé, transport, numérique, gestion des eaux, espace, entre autres.
On distingue deux catégories :
- Entités essentielles : grandes entreprises des secteurs les plus critiques, soumises à un contrôle proactif de l’ANSSI.
- Entités importantes : entreprises moyennes des secteurs critiques, contrôlées a posteriori, en cas d’incident ou de signalement.
Un effet moins connu : l’article 21 de la directive impose aussi un devoir de vigilance sur la chaîne d’approvisionnement. Concrètement, une PME non directement soumise à NIS2 peut se voir demander par un client assujetti de démontrer son propre niveau de sécurité, dans le cadre d’un audit fournisseur. La double conformité concerne donc, indirectement, un cercle bien plus large que les seules 15 000 entités enregistrées.
Calendrier 2026 : où en est réellement la loi Résilience
Une transposition qui traîne
C’est le point sur lequel beaucoup d’articles publiés en 2025 sont aujourd’hui dépassés. La directive NIS2 devait être transposée en droit français avant le 17 octobre 2024. Cette échéance n’a pas été tenue.
Le texte de transposition, la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, a suivi un parcours long : le Sénat l’a adopté en première lecture en mars 2025, puis la commission spéciale de l’Assemblée nationale l’a examiné en septembre 2025. À la mi-juillet 2026, le Parlement ne l’a toujours pas adopté définitivement ni promulgué, alors que la majorité des autres États membres avaient déjà transposé la directive.
Le référentiel ANSSI, disponible dès maintenant
En attendant, l’ANSSI ne laisse pas les entreprises sans repère. Depuis le 17 mars 2026, elle met à disposition en version de travail le Référentiel Cyber France (ReCyF), qui liste les mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS2, en attendant la publication des décrets d’application. Ce document n’est pas encore juridiquement contraignant, mais les entités qui l’appliquent pourront s’en prévaloir en cas de contrôle futur.
La CNIL, elle, n’attend personne
Sur le volet RGPD, la CNIL n’attend pas de nouvelle loi pour intensifier ses contrôles. Son bilan 2025 fait état de 259 décisions et de 83 sanctions prononcées, pour un montant cumulé d’amendes de près de 487 millions d’euros, contre 55 millions en 2024. Deux dossiers exceptionnels expliquent l’essentiel de cette hausse, mais elle confirme malgré tout que la sécurité des données et le respect du consentement restent des priorités de contrôle actives, avec ou sans NIS2.
Par où commencer sans attendre le vote final
Face à cette incertitude sur le calendrier légal, la question utile n’est pas « quand la loi sera-t-elle votée », mais « par quoi commencer maintenant ». Voici une trame simple pour amorcer la démarche sans attendre la promulgation :
| Période | Action RGPD / NIS2 | Objectif |
|---|---|---|
| Maintenant | Cartographier les recouvrements entre DPO, RSSI, juristes, IT et gouvernance | Repérer ce qui se mutualise |
| 1 à 2 semaines | Comparer registres, gestion d’incidents, analyses de risques, sensibilisation, sous-traitance | Éviter les doublons |
| 2 à 4 semaines | Définir un modèle cible de collaboration DPO/RSSI | Clarifier qui fait quoi |
| 1 mois | Formaliser la gouvernance et les circuits de validation | Sécuriser les responsabilités |
| Ensuite | Mettre à jour procédures, preuves et indicateurs communs | Préparer audit / contrôle |
Méthode : construire une conformité RGPD-NIS2 mutualisée
Ce calendrier donne le rythme. Les quatre chantiers suivants donnent le contenu de chaque étape.
1. Un registre unique qui croise traitements et systèmes
Le registre des traitements RGPD (article 30) recense les données, leurs finalités et leurs destinataires. La cartographie NIS2 recense les systèmes d’information et leurs vulnérabilités. En pratique, il est efficace de faire figurer, pour chaque traitement du registre RGPD, le ou les systèmes qui le supportent : cela évite de reconstruire une cartographie séparée et fait immédiatement apparaître les zones à double exigence.
2. Un comité de gouvernance commun, pas deux silos
Le DPO porte la conformité RGPD, le RSSI porte la conformité NIS2. Sans coordination, chacun avance de son côté sur des sujets qui se recoupent (habilitations, prestataires, incidents). Un comité trimestriel réunissant DPO, RSSI et direction, avec un ordre du jour partagé, évite les redondances et permet d’arbitrer les priorités budgétaires ensemble.
3. Un plan de réponse aux incidents à double sortie
Le plan de gestion de crise cyber doit intégrer, dès la phase de détection, un test de qualification qui détermine si l’incident implique des données personnelles (déclenchant la procédure RGPD), touche un système critique au sens de NIS2 (déclenchant la procédure ANSSI), ou les deux. Cela évite l’improvisation au moment où le délai de 24 ou 72 heures commence déjà à courir.
4. Des analyses de risques croisées
L’analyse d’impact relative à la protection des données (AIPD), obligatoire pour les traitements à risque élevé, et l’analyse de risques cyber exigée par NIS2 partagent une bonne partie de leur méthodologie : identification des menaces, évaluation de la gravité, mesures de réduction du risque. Les mener avec la même trame documentaire, plutôt qu’avec deux méthodologies distinctes, réduit fortement la charge de travail sans affaiblir ni l’une ni l’autre.
Les erreurs qui font doubler le travail
- Traiter NIS2 comme un sujet purement technique, sans jamais le relier au registre RGPD existant, alors que la moitié des mesures se recoupent.
- Attendre la promulgation de la loi Résilience pour commencer, alors que les obligations RGPD s’appliquent déjà et que le ReCyF donne une trame de travail exploitable dès maintenant.
- Confondre les deux périmètres d’application et estimer, à tort, qu’être hors champ NIS2 dispense de tout effort de sécurité au titre du RGPD, ou inversement.
- Faire porter les deux sujets par une seule personne isolée, sans lien formel entre DPO et RSSI, ce qui reproduit deux fois le même travail de cartographie et d’audit.
Pour aller plus loin sur le socle technique commun aux deux réglementations, notre article sur les bonnes pratiques de protection des données en entreprise au-delà du RGPD détaille les mesures concrètes de sécurisation à mettre en place.
Par ailleurs, notre présentation des solutions de cybersécurité d’entreprise aborde aussi le volet gouvernance et prestataires.
Enfin, notre guide sur les systèmes de protection de la boîte mail professionnelle traite la sécurisation des échanges par email, souvent un point d’entrée des incidents.
Questions fréquentes
Non. Le RGPD s’applique à toute entreprise qui traite des données personnelles, sans condition de taille. NIS2 ne concerne que les entités de secteurs définis (énergie, santé, numérique, transport, entre autres) qui dépassent certains seuils d’effectif ou de chiffre d’affaires. Une entreprise peut donc relever du RGPD sans jamais entrer dans le champ de NIS2.
Non, pas à la mi-2026. Le Sénat l’a adopté en première lecture en mars 2025, et la commission spéciale de l’Assemblée nationale l’a examiné en septembre 2025. Mais à la mi-juillet 2026, il n’est toujours pas adopté définitivement, ni promulgué. L’ANSSI invite d’ailleurs les entreprises concernées à anticiper leur mise en conformité, sans attendre le vote final.
Le registre des traitements RGPD et la cartographie des systèmes NIS2 répondent à des obligations distinctes. Toutefois, un même outil de gouvernance peut les relier. Faire apparaître, pour chaque traitement, les systèmes qui le supportent évite de dupliquer le travail de recensement.
Dans ce cas, les deux obligations de notification s’appliquent en parallèle : la CNIL sous 72 heures au titre du RGPD, l’ANSSI sous 24 heures pour l’alerte initiale puis 72 heures pour le rapport détaillé au titre de NIS2. C’est pourquoi nous recommandons un plan de réponse aux incidents unique, capable d’orienter vers les deux procédures dès la détection.
Rien ne l’interdit, mais les deux fonctions demandent des compétences différentes : le DPO se concentre sur les droits des personnes et le droit des données, le RSSI sur la sécurité technique des systèmes. Dans les structures de taille moyenne, une coordination formelle entre les deux profils, plutôt qu’une fusion des rôles, donne généralement de meilleurs résultats.
