NIS2, RGPD, ISO 27001 : ce qui compte, c'est qui vous l'impose et ce qu'il vous en coûte.
La conformité n'est pas un catalogue de sigles. C'est une contrainte extérieure, avec une échéance et une sanction. Ces trois cadres n'ont ni la même source ni le même prix de l'inaction : deux relèvent de la loi, le troisième est une norme que l'on choisit, souvent parce qu'un client l'exige.
Sommaire
Trois questions pour savoir ce qui vous concerne
Aligner NIS2, RGPD et ISO 27001 sur la même page laisse croire qu'ils sont de même nature. Ils ne le sont pas. Avant de parler outils ou budget, trois questions départagent un cadre d'un autre.
Qui vous l'impose ?
Un régulateur, ou un client ? La réponse change tout : une loi ne se négocie pas, une exigence de marché se choisit.
À quelle échéance ?
Une entrée en vigueur, un délai de notification, un cycle d'audit. La contrainte a toujours une horloge.
Ce qu'il vous en coûte ?
Une amende, la responsabilité d'un dirigeant, un contrat perdu. C'est le coût de l'inaction qui donne son poids au cadre.
Qui vous l'impose
- NIS2
- L'État vous l'impose
- RGPD
- Le régulateur vous l'impose
- ISO 27001
- Vous la choisissez, souvent à la demande d'un client
Obligation légale
Obligation légale
Norme volontaire
RGPD : l'amende peut atteindre
4 %du CA mondial
Le seul plafond chiffré que nous affirmons sans réserve. Pour NIS2, la directive fixe un minimum transposé nationalement ; pour ISO 27001, il n'y a pas d'amende.
Les trois cadres, lus côte à côte
On ne les met pas en file, on les compare. Deux vous sont imposés par la loi. Le troisième, personne ne vous l'impose : c'est une norme que l'on choisit, souvent parce qu'un client ou un appel d'offres la demande. Lisez chaque ligne de gauche à droite.
| Axe | NIS2 | RGPD | ISO 27001 |
|---|---|---|---|
| Nature du texte | Sécurité des réseaux et des systèmes d'informationObligation légaleUne directive européenne : elle fixe des objectifs que chaque État transpose dans sa loi. En France, la loi de transposition n'est pas encore promulguée. | Règlement général sur la protection des donnéesObligation légaleUn règlement européen : il s'applique tel quel dans toute l'Union, sans transposition, depuis le 25 mai 2018. | Norme internationale ISO/IEC 27001:2022 (management de la sécurité de l'information)Norme volontaireUne norme internationale : elle décrit comment piloter la sécurité (un système de management et 93 mesures de référence). Elle ne crée, à elle seule, aucune obligation. |
| Qui vous l'impose | L'Union européenne, par directive transposée en droit national. En France, l'autorité de contrôle est l'ANSSI. | L'Union européenne, par règlement directement applicable. En France, l'autorité de contrôle est la CNIL. | Personne, au sens de la loi. Vous la choisissez, le plus souvent parce qu'un client, un donneur d'ordre ou un appel d'offres demande la certification. |
| Sur qui ça pèse | Les entités « essentielles » et « importantes » de 18 secteurs désignés (énergie, transports, santé, infrastructures numériques…), dès la taille d'une moyenne entreprise. | Toute organisation qui traite des données personnelles de personnes situées dans l'Union, quel que soit son secteur. | Toute organisation, quels que soient sa taille et son secteur, qui décide de s'y engager. Elle pèse surtout sur les prestataires à qui des clients confient leurs données. |
Qui est concerné, texte par texte
Le comparatif dit de quoi relève chaque cadre. Reste la question que tout le monde se pose d'abord : est-ce que ça me concerne ? Voici les critères, chacun avec l'article qui le fixe, puis ce que le texte exige de vous.
Carte des obligations
NIS2Obligation légale
Directive (UE) 2022/2555
Qui est concerné
- Entité essentielle
- Un secteur hautement critique de l'annexe I (énergie, transports, banque, marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, services TIC interentreprises, administration publique, espace) et une grande entreprise : 250 salariés ou plus, ou plus de 50 M€ de CA et plus de 43 M€ de bilan.
- Art. 3 §1 · annexe I
- Entité importante
- Les autres entités des annexes I et II, dès la taille d'une moyenne entreprise : 50 salariés ou plus, ou plus de 10 M€ de CA et de bilan. L'annexe II ajoute sept secteurs : services postaux, déchets, chimie, alimentaire, industrie manufacturière, fournisseurs numériques, recherche.
- Art. 2 §1 · art. 3 §2 · annexe II
- Quelle que soit la taille
- Fournisseurs de réseaux ou de services de communications électroniques publics, prestataires de services de confiance, registres de noms de domaine de premier niveau, fournisseurs de DNS, ou entité seule à fournir un service critique dans le pays.
- Art. 2 §2
- Secteur public
- Administrations centrales de l'État et, en France, collectivités territoriales : le périmètre exact dépend de la loi de transposition, pas encore promulguée.
- Art. 2 §2 f) et §5NIS2 et collectivités, en détail
Pour vérifier votre cas : MonEspaceNIS2, le simulateur officiel de l'ANSSI.
Ce qu'il exige
24h
alerte précoce
72h
notification à l'autorité
1mois
rapport final
Un incident significatif déclenche une alerte précoce sous 24 h, une notification sous 72 h à l'autorité, puis un rapport final sous un mois.
Ce qu'il vous en coûte
Sanctions administratives et responsabilité directe des dirigeants. La directive prévoit un plafond d'au moins 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu.
RGPDObligation légale
Règlement (UE) 2016/679
Qui est concerné
- Toute organisation
- Entreprise, association, administration, collectivité : dès que vous traitez des données personnelles (clients, salariés, usagers), quelle que soit votre taille.
- Art. 2 §1 · art. 4
- Établie dans l'Union
- Le règlement s'applique à vos traitements, que les données soient hébergées en France, aux États-Unis ou ailleurs.
- Art. 3 §1
- Établie hors de l'Union
- Dès qu'elle propose des biens ou des services à des personnes situées dans l'Union, ou qu'elle suit leur comportement.
- Art. 3 §2
- Délégué à la protection des données
- Obligatoire pour les autorités et organismes publics, et pour les organismes dont l'activité de base implique un suivi régulier et systématique à grande échelle, ou des données sensibles à grande échelle.
- Art. 37 §1
Seule exclusion : l'usage strictement personnel ou domestique (art. 2 §2 c).
Ce qu'il exige
72h
notification à l'autorité
Une violation de données se notifie à l'autorité sous 72 h après en avoir pris connaissance ; les personnes concernées sont informées si le risque est élevé.
Ce qu'il vous en coûte
Amende administrative pouvant atteindre 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
ISO 27001Norme volontaire
ISO/IEC 27001:2022
Qui est concerné
- Personne, par défaut
- La norme ne s'impose à aucune organisation. On la choisit, on la met en œuvre, puis on la fait certifier, ou non.
- Démarche volontaire
- Prestataires sous pression client
- Hébergeurs, éditeurs SaaS, infogéreurs : quand un contrat ou un appel d'offres demande la certification, elle devient une condition d'accès au marché.
- Exigence contractuelle
- Hébergeurs de données de santé
- Le seul cas où elle devient de fait incontournable en France : la certification HDS, exigée par la loi, intègre les exigences d'ISO 27001:2022 depuis son référentiel de 2024.
- Art. L.1111-8 CSP · référentiel HDS
- Entités soumises à NIS2
- La directive encourage le recours aux normes européennes et internationales. Une certification ISO 27001 aide à démontrer les mesures de l'article 21, sans valoir conformité à elle seule.
- Art. 25 NIS2
Le certificat est délivré par un organisme accrédité (le Cofrac en France) pour 3 ans, avec un audit de surveillance chaque année.
Ce qu'il exige
3ans
validité du certificat
1an
entre deux audits de surveillance
Pas une échéance légale, mais un cycle d'audit : un organisme de certification accrédité (le Cofrac en France) délivre un certificat valable 3 ans, puis revient chaque année pour un audit de surveillance.
Ce qu'il vous en coûte
Aucune amende. Le coût est commercial : un appel d'offres où la certification est demandée, un contrat qu'on ne signe pas, un grand compte qui part chez un concurrent certifié.
Un incident, deux horloges
NIS2Obligation légale
24 h : alerte précoce
72 h : notification à l'autorité
1 mois : rapport final
RGPDObligation légale
72 h : notification à l'autorité
Ce que la CNIL sanctionne vraiment
Le plafond de 4 % décrit le pire. Voici ce que la CNIL a réellement sanctionné, et ce qu’elle annonce. Son total de 2025, 487 M€, est porté pour 475 M€ par deux géants du numérique sanctionnés sur les cookies : pour une PME ou une collectivité, les chiffres utiles sont ceux-ci.
Ce que la CNIL sanctionne vraiment
14
sanctions en 2025 pour une sécurité insuffisante des données : des mots de passe trop faibles, des comptes partagés entre utilisateurs. Des manquements ordinaires, pas des attaques sophistiquées.
5 M€
d’amende pour France Travail, établissement public, le 22 janvier 2026. La CNIL relève une authentification pas assez robuste, une journalisation insuffisante pour détecter les comportements anormaux et des habilitations trop larges.
6 167
violations de données notifiées à la CNIL en 2025, soit 9,5 % de plus qu’en 2024. Une sur deux relève d’un piratage.
50 %
des contrôles et des sanctions de la CNIL porteront sur la cybersécurité en 2026. La cybersécurité des collectivités territoriales fait partie de ses priorités.
10 000 euros
d’amende pour une commune le 11 septembre 2025, notamment pour défaut de sécurité. Le secteur public n’est pas épargné : d’autres communes ont été sanctionnées en 2023 et 2024.
466 000 €
coût moyen d’une cyberattaque pour une TPE ou une PME, 13 M€ pour une ETI, selon une enquête de l’ANSSI auprès des membres du Clusif citée par le Sénat. Un chiffre déclaratif : un ordre de grandeur, pas une mesure.
5 ans
d’emprisonnement et 300 000 € d’amende : la peine prévue par le Code pénal pour un traitement de données sans les mesures destinées à en garantir la sécurité. Le guide de la CNIL rappelle qu’un élu ou un agent peut être mis en cause.
Guide CNIL et Cybermalveillance.gouv.fr pour les collectivités
Sous les trois sigles, le même tronc
Les cadres diffèrent par leur source et leur sanction. Sur le terrain, ils exigent pourtant les mêmes capacités. Trois, simultanées : aucune n'attend les autres.
Savoir ce qui se passe
Les trois supposent que vous voyez votre système d'information : journaliser, détecter, conserver une trace. Sans visibilité, ni notification ni preuve.
Pouvoir le prouver
Registre des traitements, journaux d'audit, documentation des contrôles : la conformité se démontre, à une autorité comme à un auditeur.
Réagir dans les délais
Détecter, qualifier, notifier avant que l'horloge n'expire (72 h pour le RGPD, 24 puis 72 h pour NIS2) ou, pour ISO 27001, démontrer à l'auditeur un processus de gestion des incidents qui fonctionne.
Renforcer la sécurité qu'attendent ces textes, dans l'ordre
Là, il y a bien une séquence. On ne câble pas des outils avant de savoir ce qu'on doit couvrir. Quatre étapes, dans cet ordre.
Étape 01
Évaluer votre posture
Où en est votre sécurité face aux mesures qu'attendent ces textes. Un état des lieux honnête avant toute dépense.
Étape 02
Combler les manques
Prioriser les manques, mettre en place les mesures de sécurité techniques et organisationnelles qui comptent d'abord.
Étape 03
Outiller la détection et la preuve
Journalisation centralisée, détection, documentation : de quoi alimenter une notification dans les délais comme un dossier d'audit.
Étape 04
Maintenir et réévaluer
La sécurité n'est pas un projet qui se clôt : revue régulière des mesures (RGPD art. 32.1 d), tests, détection continue.
Nos sources
Chaque critère, délai et plafond de cette page renvoie à un texte officiel.
Textes officiels
Autorités françaises
Normes et certification
- ISO/IEC 27001:2022, sécurité de l'informationISO (nouvel onglet)
- Accréditation des organismes de certificationCofrac (nouvel onglet)
- Certification Hébergeur de données de santé (HDS)Agence du numérique en santé (nouvel onglet)
- Nouvelle version du référentiel de certification HDSMinistère de l'Économie (nouvel onglet)
Sanctions et coûts constatés
- Sanctions et mesures correctrices : le bilan 2025CNIL (nouvel onglet)
- Rapport annuel 2025CNIL (nouvel onglet)
- Violation de données : sanction de 5 millions d’euros à l’encontre de France TravailCNIL (nouvel onglet)
- Les sanctions prononcées par la CNILCNIL (nouvel onglet)
- Guide obligations et responsabilités en matière de cybersécurité des collectivités localesCNIL et Cybermalveillance.gouv.fr (nouvel onglet)
- Rapport n° 393 sur le projet de loi résilience et cybersécuritéSénat (nouvel onglet)
Sources consultées les 27 septembre et 2 octobre 2026.
À lire aussi
CertificationGuide · 5 min
Guide ISO 27001
Comprendre la norme ISO 27001, le SMSI, les contrôles de l'Annexe A, le processus de certification et les bénéfices concrets pour votre organisation.
Lire le guideDéfinitionArticle · 3 min
Qu'est-ce qu'un SOC moderne ?
Découvrez comment les entreprises se protègent efficacement contre les cybermenaces grâce à un Centre des Opérations de Sécurité moderne, combinant expertise humaine et technologies avancées.
Lire l'article
Votre posture de sécurité, évaluée lors de l’audit gratuit
L’audit gratuit montre où en est votre sécurité face aux mesures qu’attendent ces textes, et ce qu’il faut renforcer d’abord. Vous repartez avec une lecture claire, que la suite se fasse avec nous ou non.