{"id":39269,"date":"2025-07-15T10:24:29","date_gmt":"2025-07-15T10:24:29","guid":{"rendered":"https:\/\/2b-advice.com\/?p=39269"},"modified":"2026-04-14T16:03:01","modified_gmt":"2026-04-14T14:03:01","slug":"directive-nis-2-les-protecteurs-de-donnees-veulent-uniformiser-les-voies-de-notification-des-incidents-de-securite-informatique-et-des-violations-de-donnees","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2025\/07\/15\/nis-2-richtlinie-datenschuetzer-wollen-meldewege-fuer-it-sicherheitsvorfaelle-und-datenpannen-vereinheitlichen\/","title":{"rendered":"Directive NIS 2 : les d\u00e9fenseurs des donn\u00e9es veulent uniformiser les voies de notification des incidents de s\u00e9curit\u00e9 informatique et des violations de donn\u00e9es"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L'actuel projet de loi du minist\u00e8re f\u00e9d\u00e9ral de l'Int\u00e9rieur sur la mise en \u0153uvre de la directive NIS-2 suscite de vives critiques de la part des autorit\u00e9s de surveillance de la protection des donn\u00e9es des L\u00e4nder. Les critiques portent essentiellement sur l'insuffisance de l'obligation d'information des autorit\u00e9s de s\u00e9curit\u00e9 informatique vis-\u00e0-vis des autorit\u00e9s de surveillance de la protection des donn\u00e9es ainsi que sur le manque d'interaction entre les obligations de notification de la directive NIS-2 et celles du RGPD. Ce que les autorit\u00e9s de surveillance de la protection des donn\u00e9es demandent maintenant<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Contexte et objectif de la directive NIS 2<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Avec la directive NIS 2 (RL (UE) 2022\/2555), l'Union europ\u00e9enne poursuit l'objectif de renforcer la cybers\u00e9curit\u00e9 des infrastructures critiques et des services num\u00e9riques en Europe. Elle est une \u00e9volution de la directive NIS initiale de 2016. Par rapport \u00e0 la directive pr\u00e9c\u00e9dente, elle \u00e9tend consid\u00e9rablement son champ d'application. Alors que seuls les exploitants d'infrastructures critiques (CRITIS) \u00e9taient concern\u00e9s jusqu'\u00e0 pr\u00e9sent, un grand nombre d'entit\u00e9s dites \"essentielles\" et \"importantes\" seront d\u00e9sormais soumises \u00e0 la directive, notamment celles des secteurs de la sant\u00e9, des services num\u00e9riques, de l'administration publique et de l'industrie manufacturi\u00e8re.<\/p>

Un \u00e9l\u00e9ment central est l'obligation de notifier les incidents de s\u00e9curit\u00e9 importants. Ceux-ci peuvent \u00e9galement concerner des aspects pertinents pour la protection des donn\u00e9es, en particulier lorsque des donn\u00e9es \u00e0 caract\u00e8re personnel sont en jeu.<\/p>

Conseil de lecture : Directive NIS 2 - ces entreprises sont concern\u00e9es<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point critique 1 : obligations d'information limit\u00e9es du BSI<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L'article 35, paragraphe 1, de la NIS-2 oblige les autorit\u00e9s de s\u00e9curit\u00e9 informatique comp\u00e9tentes \u00e0 informer les autorit\u00e9s de contr\u00f4le de la protection des donn\u00e9es lorsque des incidents de s\u00e9curit\u00e9 pourraient avoir des cons\u00e9quences pertinentes pour la protection des donn\u00e9es au sens de l'article 33 du RGPD.<\/p>

Le projet de loi actuel limite toutefois l'obligation d'information de l'Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 des technologies de l'information (BSI) aux violations \"manifestes\" de la protection des donn\u00e9es. Selon les autorit\u00e9s r\u00e9gionales de protection des donn\u00e9es, cela va \u00e0 l'encontre du libell\u00e9 clair de la directive.<\/p>

Les autorit\u00e9s de surveillance de la protection des donn\u00e9es demandent donc une adaptation de l'article 61, paragraphe 11, du projet, de sorte que les violations potentielles de la protection des donn\u00e9es, et pas seulement les violations manifestes, d\u00e9clenchent une obligation de notification de la part du BSI. Cela r\u00e9pondrait aux exigences de l'article 35 NIS-2 et renforcerait l'efficacit\u00e9 de la coop\u00e9ration entre les autorit\u00e9s.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point critique 2 : absence de regroupement des obligations de d\u00e9claration<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Selon le \u00a7 40 du projet de loi, l'Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 des technologies de l'information (BSI) est pr\u00e9vu comme point central de notification des incidents de s\u00e9curit\u00e9 informatique. C'est l\u00e0 que les institutions essentielles et importantes au sens de la NIS-2 devront \u00e0 l'avenir d\u00e9poser leurs notifications conform\u00e9ment au \u00a7 32 de la loi de transposition.<\/p>

Ce que le \u00a7 40 ne pr\u00e9voit toutefois pas : Un lien ou une int\u00e9gration de l'obligation de notification parall\u00e8le de l'article 33 du RGPD. C'est-\u00e0-dire l'obligation de notifier les violations de donn\u00e9es aux autorit\u00e9s de contr\u00f4le de la protection des donn\u00e9es comp\u00e9tentes. Ainsi, la possibilit\u00e9 de traiter deux processus de notification qui co\u00efncident souvent via un portail ou une proc\u00e9dure commune reste inexploit\u00e9e.<\/p>

Cons\u00e9quence : double emploi pour les entreprises<\/strong><\/h3>

Dans la pratique, cela signifie que les entreprises pour lesquelles un incident de s\u00e9curit\u00e9 informatique concerne \u00e9galement des donn\u00e9es \u00e0 caract\u00e8re personnel (ce qui est souvent le cas) doivent envoyer deux notifications distinctes :<\/p>