NIS2, AI Act, Cloud Act, SecNumCloud, HDS, ISO 27001 : les textes et les sigles s’accumulent, et beaucoup d’organisations peinent à distinguer ce qui s’impose à elles de ce qui relève encore du choix. La différence compte pourtant, pour éviter une sanction comme pour réagir correctement le jour d’une cyberattaque.
Cet article s’appuie sur un webinaire de la Semaine de la Souveraineté Numérique avec Alexandra Iteanu (Iteanu Avocats) et Miguel De Oliveira (AISI). Le replay est disponible en fin d’article.
Quand une cyberattaque devient un dossier juridique
Une cyberattaque commence rarement comme un problème juridique. Elle le devient très vite, et ses coûts dépassent souvent la seule remise en état des systèmes. Les équipes d’AISI, prestataire de cybersécurité qui accompagne plus de 560 organisations, l’ont constaté dans différentes situations :
- Une ETI privée de toutes ses données. Il y a une dizaine d’années, des attaquants présents depuis plusieurs mois dans son système d’information ont détruit l’ensemble de ses environnements, jusqu’à la production. Faute d’alternative, l’entreprise a versé une rançon de plus de 2 millions d’euros. Elle a ensuite dû rendre des comptes à ses grands clients, jusqu’à leur ouvrir son rapport d’investigation et ses failles.
- Une mairie coupée de la DGFiP. Après une attaque, l’administration fiscale se déconnecte de la collectivité jusqu’à ce que celle-ci prouve que la menace est éradiquée. Or c’est par elle que passent les salaires des agents : la mairie travaille alors sur papier et doit réémettre les virements des mois précédents.
- Un compte cloud détourné. Durant l’été 2026, des attaquants ont volé les accès d’une entreprise à son compte Amazon Web Services et y ont consommé 520 000 euros de services en 48 heures. La facture revient à l’entreprise, puisque la consommation a eu lieu sur son compte.
Côté juridique, tout s’accélère au moment où l’organisation découvre l’attaque. Un délai de 72 heures commence alors à courir, même si l’attaquant est installé depuis des mois. Il faut notifier la CNIL si des données personnelles sont concernées, et porter plainte dans ce même délai pour pouvoir être indemnisé par son assurance cyber, comme l’exige le Code des assurances.
Le dépôt de plainte n’a rien d’automatique, car le droit ne définit pas la « cyberattaque » : selon les faits, il peut s’agir d’une atteinte à un système informatique, d’une escroquerie, d’une usurpation d’identité ou d’un vol de données.
Et l’attaque ne vient pas toujours d’un pirate lointain. Hameçonnage, deepfakes, salarié malveillant ou technicien de maintenance qui revend une base clients : les cas sont variés, d’où l’importance de contrôler qui accède à quelles données et de tracer ces accès.
En pleine crise, mieux vaut limiter la cellule de crise à quelques personnes et s’appuyer sur un avocat : les échanges avec lui sont protégés par le secret professionnel.
Reste la question de la rançon. Comme l’ANSSI, Alexandra Iteanu et Miguel De Oliveira recommandent de ne jamais la payer : elle finance les attaquants et ne garantit pas l’absence d’une seconde attaque. Aujourd’hui, des laboratoires spécialisés savent d’ailleurs reconstituer les données, pour un coût allant de quelques dizaines à quelques centaines de milliers d’euros.
« Une attaque par rançongiciel est une attaque qui a réussi : l’attaquant est allé au bout de ce qu’il voulait faire. Tout l’enjeu est de le détecter avant, dès ses premiers pas dans le système d’information. »
Miguel De Oliveira
Loi, label ou contrat : ne pas tout mettre dans le même sac
NIS2, AI Act, SecNumCloud et ISO 27001 sont souvent cités ensemble. Ils n’ont pourtant pas la même portée. D’un côté, les obligations légales, issues de directives, de règlements européens ou du droit français, s’imposent à toutes les organisations concernées. De l’autre, les qualifications et certifications, comme SecNumCloud ou ISO 27001, restent en principe volontaires, donc non obligatoires.
| Texte | Nature | Ce qu’il impose |
| NIS2 | Directive européenne | Gestion des risques et notification des incidents pour les entités essentielles et importantes, une fois la directive transposée en droit français |
| AI Act | Règlement européen | Des obligations qui varient selon le rôle (fournisseur, déployeur, importateur d’IA), entrées en application par étapes jusqu’en 2027 ou 2028 |
| RGPD | Règlement européen | Protection des données personnelles, droit d’audit des prestataires, encadrement des transferts hors de l’Union européenne |
| Cloud Act | Loi fédérale américaine | Permet aux autorités américaines d’exiger des données auprès des prestataires américains, où qu’elles soient hébergées |
| HDS | Certification rendue obligatoire par le Code de la santé publique | Hébergement des données de santé chez un prestataire certifié |
| SecNumCloud | Qualification de l’ANSSI | Volontaire, sauf pour l’État et ses opérateurs lorsqu’ils confient des données sensibles à un prestataire (loi SREN) |
| ISO 27001 | Certification internationale | Volontaire : atteste qu’un système de management de la sécurité est en place |
Deux cas méritent attention. La certification HDS, par exemple, porte mal son nom : c’est une obligation légale dès qu’une organisation confie des données de santé à un hébergeur. Quant à SecNumCloud, la loi SREN de 2024 l’a rendue obligatoire pour l’État et ses opérateurs. Son décret d’application est paru en avril 2026, et le référentiel est opposable depuis août 2026.
Une certification volontaire peut aussi devenir obligatoire par le contrat. De plus en plus de clients exigent de leurs prestataires une certification ISO 27001 ou une qualification SecNumCloud. Une fois inscrite au contrat, l’exigence engage le signataire, avec un budget et une organisation à la clé. Mieux vaut donc mesurer ce que l’on signe.
Cette confusion a souvent une explication simple. Dans les grands groupes, la conformité est portée par le service juridique et le RSSI. Dans beaucoup de PME, d’ETI et de collectivités, c’est le DSI qui fait office de RSSI. Issu de la technique, il doit désormais piloter des sujets réglementaires pour lesquels il n’a pas été formé, avec des textes qui arrivent les uns après les autres.
« En cybersécurité, un juriste ne peut pas faire le travail seul, et un technicien non plus. La mise en conformité exige une collaboration étroite entre les deux. »
Alexandra Iteanu
Un hébergeur en France ne suffit pas
Beaucoup d’organisations pensent avoir réglé la question en choisissant des serveurs situés en France. La localisation ne suffit pourtant pas. Un prestataire américain reste soumis au Cloud Act : il peut être contraint de transmettre des données à la justice américaine, même lorsqu’elles sont hébergées en Europe.
Le choix d’un prestataire français ou européen apporte une autre garantie : en cas de litige, le contrat relève du droit français ou européen et d’un juge français. Face à un prestataire américain ou chinois, faire exécuter une décision de justice devient beaucoup plus difficile.
D’autres questions comptent autant que l’hébergement. Où travaillent les équipes qui accèdent aux données ? Le service est-il opéré en partie hors d’Europe ? Certaines organisations le découvrent en pleine crise, comme ce client qui ignorait qu’un service était entièrement géré depuis l’étranger, ou cet autre dont un outil de gestion des tickets, fourni par un éditeur américain, n’était pas certifié HDS.
Pour éviter ces mauvaises surprises, les questionnaires de sécurité ne suffisent pas : il faut pouvoir vérifier ce que déclare le prestataire, par exemple en lui demandant ses derniers rapports d’audit, quitte à ce qu’ils soient anonymisés. Le RGPD en donne les moyens.
« Le droit d’auditer ses prestataires n’est pas une option à négocier : c’est une obligation légale que le RGPD leur impose, dans son article 28. Les très grands acteurs se contentent souvent d’un audit documentaire, mais en principe, vous pouvez auditer vos prestataires. »
Alexandra Iteanu
Un prestataire certifié ne met pas pour autant l’organisation à l’abri. La détection des attaques et la réponse aux incidents restent de sa responsabilité, sur l’ensemble de son système d’information, prestataires compris.
En 5 minutes, notre diagnostic évalue votre dépendance aux solutions extra-européennes et votre exposition aux lois extraterritoriales. Score immédiat, sans e-mail.
Faire le diagnostic
Ce que prouvent les labels, et ce qu’ils ne prouvent pas
Face à la multiplication des textes (NIS2, AI Act, Cyber Resilience Act, Data Act, Data Governance Act, sans compter leurs actes d’exécution), les certifications servent de boussole. Elles indiquent qu’un organisme indépendant a audité le prestataire. C’est un premier gage de sérieux, pas une preuve que tout est en place.
La norme ISO 27001, par exemple, atteste qu’un prestataire a mis en place un système de management de la sécurité de l’information (SMSI) et qu’il le fait vivre : risques identifiés et traités, processus formalisés, amélioration continue. Elle ne dispense pas de vérifier, par des audits, que ces engagements se traduisent dans les faits.
La certification HDS, elle, n’exclut pas les géants américains : Microsoft et Amazon sont certifiés. Son référentiel a toutefois évolué en 2024 pour intégrer des exigences de souveraineté, comme l’hébergement en Europe et la cartographie des flux de données. Elle n’a pas d’équivalent européen, chaque pays disposant de son propre dispositif. Avant de signer, deux vérifications s’imposent : consulter la liste officielle des hébergeurs certifiés, publiée par l’Agence du numérique en santé, et s’assurer que le certificat est à jour, puisqu’il n’est valable que trois ans.
Enfin, une certification n’est jamais acquise une fois pour toutes. Elle se maintient dans le temps, à mesure que la menace évolue.
Mise en conformité : par où commencer ?
Côté juridique : cartographier, se qualifier, relire ses contrats
- Cartographier ses données. Distinguer les données sensibles des autres permet de savoir quel texte s’applique à quoi. Des données de santé exigent un hébergeur HDS, ce qui n’est pas le cas des données de gestion courante.
- Se qualifier. L’AI Act ne prévoit pas les mêmes obligations pour un fournisseur d’IA, un déployeur ou un importateur. NIS2 distingue les entités essentielles des entités importantes. Savoir dans quelle catégorie on se trouve détermine ce qu’il faut faire, et quand.
- Relire ses contrats. En cas d’incident grave, NIS2 impose une alerte sous 24 heures, une notification sous 72 heures et un rapport final sous un mois (article 23 de la directive NIS2). Ces délais ne sont tenables que si les prestataires s’y engagent contractuellement.
Le calendrier, lui, reste mouvant. La transposition de NIS2 en droit français devait intervenir avant octobre 2024. En octobre 2026, la loi n’était toujours pas adoptée, et son examen à l’Assemblée nationale a de nouveau été reporté. Beaucoup d’organisations se mettent pourtant déjà en conformité, et les avenants « NIS2 » se multiplient dans les contrats : la mise en conformité prend du temps, et le texte finira par s’appliquer. De même, une partie des dispositions de l’AI Act n’entrera en application qu’en 2027, voire en 2028.
Côté opérationnel : test d’intrusion, SOC et réponse à incident
- Faire réaliser un test d’intrusion chaque année. Des experts attaquent le système d’information pour en révéler les failles. Le budget commence autour de 5 000 euros, et le résultat est souvent sans appel : il faut parfois moins d’une heure pour en prendre le contrôle.
- Surveiller son système d’information en continu. Dans la centaine d’attaques par rançongiciel gérées par AISI en dix ans, les attaquants étaient présents depuis des jours, des semaines ou des mois, sans avoir été repérés. Un centre de supervision de la sécurité (SOC), actif 24 heures sur 24, permet de détecter leurs premiers pas. Encore faut-il choisir un niveau de service à la hauteur des enjeux.
- S’assurer d’une capacité de réponse à incident. Savoir qui appeler en cas d’attaque, et dans quel délai il s’engage à intervenir, renforce directement la résilience exigée par NIS2.
La préparation à la crise compte autant que les outils : une mallette de crise, des moyens de communication qui fonctionnent même si le système d’information est coupé d’Internet, une chaîne de décision claire, des exercices de simulation. Sans cela, l’organisation se retrouve à réunir sa cellule de crise depuis des messageries et des ordinateurs personnels.
« Quand une organisation n’est pas préparée, la première journée de crise peut se passer à boire des cafés : on cherche qui convoquer, avec quels outils communiquer, quelles informations remonter. Une équipe qui s’est entraînée travaille dès la première heure. Et quand les délais légaux courent, chaque heure compte. »
Miguel De Oliveira
Pour débloquer les budgets, l’argument se joue auprès de la direction générale. La cybersécurité ne protège pas des machines, mais des contrats et la continuité de l’activité : un client parti chez un concurrent pendant une crise revient rarement. Une question simple peut ouvrir la discussion : si le chiffre d’affaires progresse, le budget de cybersécurité suit-il ?
Souveraineté numérique : quand devient-elle une obligation ?
Pour certains acteurs, la souveraineté est déjà une exigence réglementaire. C’est le cas de l’État et de ses opérateurs pour leurs données sensibles, avec SecNumCloud. C’est aussi le cas, pour toutes les organisations, des transferts de données personnelles hors de l’Union européenne : réalisés sans les garanties prévues par le RGPD, ils constituent un délit puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-22-1 du Code pénal).
Au-delà de la loi, la souveraineté devient un critère de gestion du risque et d’achat. Les clients l’exigent de plus en plus, et elle se transforme en argument commercial. Le contexte géopolitique pousse aussi les organisations vers des prestataires capables de les protéger d’une coupure de service décidée unilatéralement.
La souveraineté ne se limite d’ailleurs pas aux outils. Elle concerne aussi les équipes qui surveillent les systèmes et interviennent en cas de crise. Confier ces missions à des équipes basées en France permet de garder la maîtrise des accès aux données, et de développer des compétences en cybersécurité qui restent sur le territoire.
Enfin, l’enjeu est également budgétaire, en particulier pour les acteurs publics, qui ne peuvent pas absorber chaque année les hausses de tarifs imposées par des éditeurs étrangers. Disposer d’alternatives souveraines, technologiques comme humaines, leur donne un levier de négociation.
« Personne n’a envie de revivre un épisode VMware sur ses budgets informatiques. Certains acteurs sont devenus leaders grâce à des afflux d’argent gigantesques. Un jour, ils devront le récupérer, et c’est à cela qu’il faut se préparer. »
Miguel De Oliveira
Conformité : toujours revenir au texte
NIS2, AI Act, RGPD, Cloud Act : le cadre est dense, et les interprétations circulent vite. La démarche, pourtant, peut rester simple si on la prend dans l’ordre : savoir ce que l’on protège, savoir qui l’on est au sens de chaque texte, puis vérifier que ses prestataires suivent.
« Quand on veut appliquer une réglementation, il faut lire la réglementation. Pas un site, pas une publication sur LinkedIn : le texte lui-même. C’est la meilleure façon de rester rigoureux et d’éviter de se disperser. »
Alexandra Iteanu
Côté opérationnel, le constat est le même : il est beaucoup plus difficile de défendre que d’attaquer. Toutes ces réglementations visent au fond un même objectif, mieux détecter, mieux répondre et être plus résilient, et cela suppose une démarche d’amélioration continue.
Revoir le webinaire en intégralité
Passionné par le numérique et grand amateur d'écriture qui apprécie tout particulièrement transmettre ses connaissances à d'autres personnes.
