Conformité NIS2 et RGPD — Soyez en règle avant les sanctions

La directive NIS2 (Network and Information Security 2) s'applique aux entités 'essentielles' et 'importantes' dans des secteurs critiques. En pratique, elle concerne directement : les entreprises de plus de 50 salariés ou 10M€ de CA dans les secteurs énergie, transport, santé, eau, infrastructure numérique, administration et services postaux. Les collectivités territoriales sont également concernées. Même si votre entreprise ne rentre pas dans ces critères, être sous-traitant d'une entité concernée peut vous y soumettre indirectement. NASDY réalise un audit d'applicabilité gratuit.

Les sanctions prévues par NIS2 sont significatives : pour les entités essentielles, jusqu'à 10 millions d'euros ou 2% du CA mondial annuel (le montant le plus élevé) ; pour les entités importantes, jusqu'à 7 millions d'euros ou 1,4% du CA mondial. Au-delà des amendes, NIS2 prévoit la possibilité de suspendre temporairement les responsables dirigeants en cas de manquement grave. L'ANSSI est chargée de l'application en France.

Le RGPD (Règlement Général sur la Protection des Données) protège les données personnelles des individus et s'applique à toute organisation traitant des données de résidents européens. NIS2 concerne la résilience et la sécurité des systèmes d'information des organisations dans des secteurs critiques. Les deux réglementations se complètent : NIS2 impose des mesures de sécurité technique qui contribuent également à la conformité RGPD. NASDY accompagne les deux en même temps pour maximiser l'efficacité.

Cela dépend de votre niveau de maturité initial. Pour une PME avec peu de processus formalisés, un projet de mise en conformité RGPD complet prend généralement 3 à 6 mois. La conformité NIS2 peut prendre 6 à 12 mois si des investissements techniques sont nécessaires (SOC, patch management, PCA/PRA). NASDY propose une approche en phases : les 'quick wins' à impact immédiat d'abord, puis les travaux de fond.

Notre accompagnement comprend : (1) Audit de l'existant — cartographie des données, évaluation des mesures en place, gap analysis NIS2/RGPD. (2) Plan de remédiation priorisé avec les actions à mener, les responsables et les délais. (3) Mise en œuvre technique — déploiement des mesures de sécurité, rédaction des politiques, formation des équipes. (4) Documentation — registre de traitements, DPA, mentions légales, politique de confidentialité. (5) Suivi continu — veille réglementaire, mise à jour de la documentation, support en cas de contrôle.