En 2025, 32 % des ETI françaises ont subi au moins une cyberattaque significative, et le coût moyen pour une PME dépasse 466 000 euros — un montant suffisant pour précipiter certaines structures vers la liquidation judiciaire. La cybersécurité n'est plus un sujet réservé aux directions informatiques : elle est devenue un enjeu juridique, financier et de gouvernance que chaque dirigeant doit intégrer à sa stratégie. Plusieurs textes européens et nationaux imposent désormais des règles de cybersécurité aux entreprises, avec des obligations précises qui varient selon la taille, le secteur et la nature de l'activité. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en droit des affaires, accompagne les entreprises dans la compréhension et la mise en conformité face à ce cadre réglementaire en constante évolution. Cet article fait le point sur les textes applicables, les mesures concrètes à déployer et les risques encourus en cas de manquement.
Ce qu'il faut retenir
Toute entreprise qui traite des données personnelles — c'est-à-dire, en pratique, la quasi-totalité d'entre elles — est soumise à l'article 32 du Règlement général sur la protection des données (RGPD). Celui-ci impose au responsable de traitement et à ses sous-traitants de mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque. Celles-ci peuvent notamment inclure le chiffrement ou la pseudonymisation des données, le contrôle des accès, ainsi que des dispositifs garantissant la disponibilité, l'intégrité et la capacité de rétablissement des systèmes après un incident. Pour les entreprises souhaitant un accompagnement juridique en cybersécurité, la première étape consiste précisément à auditer la conformité à cet article fondamental, et plus largement au RGPD.
En cas de violation de données, la notification à la CNIL doit intervenir sous 72 heures. L'amende maximale atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. En 2025, la CNIL a prononcé 83 sanctions pour un total de près de 487 millions d'euros, dont 14 pour défaut de sécurité et de confidentialité des données — avec des motifs récurrents tels que des mots de passe insuffisamment robustes ou des comptes partagés entre utilisateurs.
Le signal envoyé pour 2026 est sans ambiguïté : la CNIL consacrera la moitié de ses contrôles à la sécurité des données, sur le fondement de l'article 32. Les PME ne sont pas épargnées par cette dynamique. L'affaire France Travail en est l'illustration la plus frappante : en janvier 2026, l'organisme a été sanctionné à hauteur de 5 millions d'euros pour avoir identifié des mesures de sécurité dans ses analyses d'impact sans jamais les déployer effectivement, à la suite d'une attaque ayant compromis les données de 43 millions de personnes.
Les chiffres publiés par la CNIL pour l'année 2025 confirment l'ampleur du phénomène : 6 167 notifications de violations de données ont été enregistrées (soit une hausse de 20 % par rapport à 2023), accompagnées de 20 150 plaintes (+10 %), dont 1 900 directement liées à des violations de données. Plus préoccupant encore, le nombre d'incidents touchant plus d'un million de personnes a doublé en un an. Il convient de préciser que ces chiffres correspondent aux notifications reçues par la CNIL et non aux seules sanctions prononcées — ils témoignent de la réalité statistique du risque cyber pesant sur les entreprises de toute taille.
Par ailleurs, le rapport d'activité 2025 de Cybermalveillance.gouv.fr fait état d'une augmentation de 73 % du nombre d'entreprises assistées en un an. Le piratage de comptes en ligne représente 21 % des parcours d'assistance des professionnels (+52 %), et l'hameçonnage représente 16 % des diagnostics (+29 %). Ces données ne correspondent pas à des entreprises sanctionnées, mais à des structures ayant sollicité une assistance après un incident — elles illustrent néanmoins l'ampleur et la progression de la menace, en particulier pour les PME.
À noter : La combinaison de la hausse des notifications de violations (6 167 en 2025) et de l'augmentation massive des entreprises assistées par Cybermalveillance.gouv.fr (+73 %) indique que la menace ne touche plus seulement les grandes organisations. La formation et la sensibilisation des collaborateurs au phishing et au piratage de comptes restent le levier de prévention le plus efficace et le moins coûteux à déployer, y compris dans les structures de moins de 50 salariés.
Adoptée le 14 décembre 2022 et applicable depuis le 18 octobre 2024, la directive NIS2 remplace la première directive NIS de 2016. Son champ d'application est considérablement élargi : environ 15 000 entités sont concernées en France, contre environ 500 sous NIS1. Elle s'applique aux entités essentielles et importantes exerçant leur activité dans l'un des 18 secteurs couverts — parmi lesquels l'énergie, la santé, les transports, le numérique, l'agroalimentaire ou encore la chimie. Sont notamment concernées les entités importantes employant au moins 50 salariés ou présentant un chiffre d'affaires annuel et un bilan supérieurs à 10 millions d'euros, ainsi que les entités essentielles dépassant 250 salariés ou 50 millions d'euros de chiffre d'affaires et 43 millions d'euros de bilan.
Les obligations imposées par NIS2 sont substantielles. Elles comprennent notamment l'élaboration d'un plan de gestion des risques cyber formalisé, la réalisation d'audits réguliers, la notification à l'ANSSI sous 24 heures en cas d'incident significatif (suivie d'un rapport final dans un délai d'un mois après la résolution de l'incident), et l'évaluation de la sécurité de toute la chaîne de sous-traitance. Ce dernier point crée un véritable « effet domino » : les grandes entreprises soumises à NIS2 exigeront de leurs fournisseurs un niveau de sécurité documenté et vérifiable.
Point crucial : l'article 20 de NIS2 engage la responsabilité personnelle des dirigeants. Ceux-ci doivent approuver les mesures de sécurité, superviser leur mise en œuvre et suivre une formation obligatoire à la cybersécurité. En cas de manquement grave, une interdiction temporaire d'exercer des fonctions dirigeantes peut être prononcée. La transposition en droit français s'effectue via le projet de loi « Résilience », dont l'examen en séance publique à l'Assemblée nationale est prévu en juillet 2026. Toutefois, les organisations susceptibles d'être concernées peuvent d'ores et déjà se préenregistrer sur MonEspaceNIS2 de l'ANSSI afin d'anticiper leur mise en conformité ; il est donc inutile d'attendre la promulgation définitive de la loi pour se préparer.
Sur ce point, la France accuse un retard significatif : au moment de la rédaction, 19 États membres sur 27 ont déjà transposé NIS2 en droit national. Une fois la loi Résilience promulguée, viendront les décrets d'application, puis un référentiel technique de l'ANSSI et un label de conformité, assortis d'une période de transition de trois ans. Cela signifie que les exigences techniques stabilisées ne s'appliqueront pas immédiatement à l'adoption de la loi. Pour autant, cette marge ne doit en aucun cas conduire les entreprises à différer leur mise en conformité : les conseils d'un avocat compétent en droit du numérique permettent d'anticiper concrètement les obligations à venir tout en sécurisant les pratiques actuelles.
Conseil : Les entreprises déjà certifiées ISO 27001 disposent d'une longueur d'avance sur la conformité NIS2, car cette norme couvre une grande partie des exigences de l'article 21 de la directive (gestion des risques, mesures techniques et organisationnelles). Toutefois, ISO 27001 ne suffit pas à satisfaire l'intégralité des obligations NIS2. Quatre écarts résiduels doivent impérativement être comblés : l'obligation de notification d'incidents dans les délais réglementaires (24h/72h), la responsabilité personnelle des dirigeants (formation obligatoire et approbation formelle des mesures), les exigences spécifiques sur la chaîne d'approvisionnement, et l'inscription auprès de l'ANSSI via la plateforme MonEspaceNIS2.
Le règlement DORA (Digital Operational Resilience Act) est applicable depuis le 17 janvier 2025 dans l'ensemble de l'Union européenne, sans transposition nationale nécessaire. Il concerne les banques, assurances, sociétés de gestion et leurs prestataires de services TIC critiques — soit plus de 22 000 entités financières en Europe. DORA impose un cadre de résilience numérique documenté, des tests de pénétration avancés, une supervision contractuelle des fournisseurs et une notification d'incident majeur en 4 heures maximum. Les sanctions peuvent atteindre 10 millions d'euros ou 5 % du chiffre d'affaires annuel total. En outre, les prestataires de services TIC critiques s'exposent à des astreintes journalières pouvant représenter jusqu'à 1 % du chiffre d'affaires quotidien moyen mondial en cas de non-respect d'une injonction de l'autorité compétente.
Exemple : Mathilde Renaudin dirige une PME de 35 salariés éditrice d'un logiciel de gestion de trésorerie utilisé par une banque régionale. En mars 2025, la banque notifie à la PME qu'elle est qualifiée de prestataire de services TIC au sens de DORA. Le contrat en cours est amendé pour inclure des clauses d'audit annuel, un droit d'accès pour l'ACPR (autorité de contrôle prudentiel), une obligation de notification d'incident en 4 heures et une stratégie de sortie documentée. Faute de pouvoir répondre à ces exigences dans les délais, la PME risque concrètement de perdre ce client — qui représente 40 % de son chiffre d'affaires. En se faisant accompagner par un avocat compétent en droit du numérique, elle parvient à structurer les clauses contractuelles, à formaliser un plan de résilience opérationnelle et à négocier un calendrier de mise en conformité réaliste avec son client.
Le Cyber Resilience Act (CRA), entré en vigueur le 11 décembre 2024, s'applique quant à lui aux éditeurs de logiciels et fabricants de tout produit comportant des éléments numériques. Son principe fondateur est la « sécurité by design » : intégrer la cybersécurité dès la phase de conception. À partir du 11 septembre 2026, les fabricants et éditeurs devront notifier toute vulnérabilité activement exploitée directement à l'ENISA (Agence de l'Union européenne pour la cybersécurité) dans un délai de 24 heures — et non uniquement à l'ANSSI ou à une autorité nationale, ce qui implique d'anticiper dès maintenant une procédure de remontée spécifique vers cette agence européenne. L'application pleine est fixée au 11 décembre 2027. L'ANSSI, autorité de référence en France, publie des outils essentiels — le Guide d'Hygiène Informatique, la méthode d'analyse de risques EBIOS RM et, depuis mars 2026, le Référentiel Cyber France (ReCyF). Publié le 17 mars 2026, le Référentiel Cyber France (ReCyF) constitue un cadre méthodologique destiné à aider les organisations à mettre en œuvre de bonnes pratiques de cybersécurité. Bien qu'il ne soit pas juridiquement contraignant, il est susceptible d'être pris en considération par l'ANSSI comme élément d'appréciation du niveau de maturité d'une organisation ou de la pertinence des mesures de sécurité mises en œuvre, notamment lors d'un contrôle fondé sur une réglementation applicable.
Le déploiement de l'authentification multifacteur (MFA) sur tous les accès sensibles constitue aujourd'hui une exigence non négociable. Depuis 2026, son absence sur des systèmes traitant des données personnelles sensibles est qualifiable de manquement direct à l'article 32 du RGPD lors d'un contrôle CNIL. La MFA doit couvrir en priorité les accès administrateurs, la messagerie professionnelle, les bases de données clients et les connexions à distance via VPN.
Au-delà du MFA, plusieurs mesures structurantes doivent être mises en œuvre :
La procédure de notification d'incidents ne se limite pas à l'alerte initiale. NIS2 impose également la remise d'un rapport final à l'ANSSI dans un délai d'un mois après la notification de l'incident, détaillant les causes, l'impact et les mesures correctives mises en place. Afin de démontrer que cette procédure est réellement opérationnelle, un exercice de crise simulé (table-top exercise) réalisé au moins une fois par an constitue une bonne pratique pouvant servir d'élément démontrant la maturité du dispositif lors d'un contrôle de l'ANSSI. Ce type d'exercice permet de tester la chaîne de décision, les délais de notification et la coordination entre les équipes techniques, juridiques et la direction générale.
Conseil : Pour rendre votre exercice de crise simulé réellement probant, documentez-le de manière rigoureuse : date, participants (y compris les dirigeants), scénario retenu, chronologie des décisions prises, écarts constatés et plan de correction. Ce compte rendu pourra être produit comme preuve de diligence en cas de contrôle de l'ANSSI ou d'audit de conformité NIS2.
DORA impose également des obligations de notification d'incidents aux entités financières soumises au règlement. En cas d'incident majeur lié aux TIC, celles-ci doivent informer leur autorité compétente selon une procédure structurée comprenant une notification initiale, des mises à jour intermédiaires et un rapport final. L'objectif est de permettre aux autorités de supervision d'évaluer rapidement l'impact d'un incident et la capacité de résilience opérationnelle de l'entité.
Le Cyber Resilience Act (CRA) prévoit également des obligations de notification, mais elles concernent les fabricants et éditeurs de produits comportant des éléments numériques. À partir du 11 septembre 2026, ils devront signaler les vulnérabilités activement exploitées et certains incidents graves affectant la sécurité des produits via le mécanisme européen prévu sous la coordination de l'ENISA. Ces obligations imposent aux éditeurs de structurer en amont leurs processus de détection, d'analyse et de remontée des vulnérabilités.
NIS2 et DORA engagent directement les organes de direction — PDG, directeur général, membres du conseil d'administration. Ces derniers doivent approuver les mesures de sécurité, superviser leur déploiement effectif et suivre une formation spécifique aux risques cyber. Cette obligation est personnelle et non délégable.
En cas de manquement grave, les conséquences sont lourdes : responsabilité civile et potentiellement pénale pour négligence, interdiction temporaire d'exercer, publication nominative de la sanction (« name and shame »). L'affaire France Travail illustre parfaitement ce risque : les mesures de sécurité avaient été identifiées dans les analyses d'impact, mais jamais déployées. La conformité documentaire seule ne suffit pas.
Le principe d'accountability (responsabilisation) exige que chaque mesure mise en place puisse être prouvée lors d'un contrôle. La documentation doit refléter la réalité effective : registre des traitements, rapports d'audits, comptes rendus de formations, procédures d'accès et de gestion des incidents. Un dirigeant qui ne peut pas démontrer qu'il a compris les risques cyber, pris les décisions appropriées et alloué les ressources nécessaires s'expose personnellement.
Les amendes administratives atteignent des montants considérables : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial sous NIS2, et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial sous le RGPD. En 2025, le Conseil d'État a confirmé 97,5 % des décisions de la CNIL contestées, rendant les recours quasi systématiquement infructueux.
Les risques ne se limitent pas aux amendes. Sur le plan contractuel, un manquement peut entraîner l'exclusion d'appels d'offres ou la rupture de contrats avec des clients eux-mêmes soumis à NIS2 ou DORA. Sur le plan réputationnel, 65 % des clients reconsidèrent leur relation après une violation de données, et 29 % ne reviennent jamais. Sur le plan opérationnel, le coût moyen d'un ransomware oscille entre 250 000 et 4,7 millions d'euros (en incluant l'interruption d'activité, les frais forensiques et les conséquences juridiques), avec en moyenne trois semaines d'arrêt partiel ou total. À ce coût global s'ajoute le montant de la rançon elle-même : selon Sophos, la rançon moyenne demandée dépasse désormais 1 million de dollars, un chiffre distinct du coût total de l'attaque mais qui représente à lui seul une menace existentielle pour la majorité des PME. Plus préoccupant encore : les assureurs peuvent refuser l'indemnisation si les mesures socles — MFA, PSSI, sauvegardes — ne sont pas en place.
Selon le Panorama de la cybermenace 2025 publié par l'ANSSI, quatre secteurs ont été particulièrement visés par les cyberattaques : l'éducation et la recherche (34 % des incidents), les ministères et collectivités territoriales (24 %), la santé (10 %) et les télécommunications. Ces données orientent la priorisation des mesures de sécurité pour les entreprises opérant dans ces périmètres ou en relation contractuelle avec des acteurs de ces secteurs. Une entreprise prestataire d'un centre hospitalier ou d'une collectivité territoriale doit intégrer cette réalité dans son analyse de risques et renforcer en conséquence ses dispositifs de protection.
Exemple : Arnaud Lefèvre est gérant d'une société de maintenance informatique de 20 salariés basée à Limoges, sous-traitante de trois établissements hospitaliers. En septembre 2025, l'un de ses clients hospitaliers subit une attaque par ransomware. L'enquête révèle que le vecteur d'entrée a été un compte de maintenance mal sécurisé (mot de passe partagé, absence de MFA). Bien que la société d'Arnaud ne soit pas directement assujettie à NIS2 du fait de sa taille, l'hôpital — entité essentielle au sens de la directive — engage sa responsabilité contractuelle. Le contrat prévoyait des clauses de sécurité que la société n'avait pas respectées. Résultat : rupture des trois contrats hospitaliers, représentant 60 % du chiffre d'affaires, et assignation en réparation du préjudice subi. Cet exemple illustre l'effet domino de NIS2 sur toute la chaîne de sous-traitance.
Face à cette complexité, une démarche structurée s'impose. La première étape consiste à vérifier son assujettissement à NIS2 via le simulateur gratuit disponible sur cyber.gouv.fr, puis à s'inscrire sur la plateforme MonEspaceNIS2, accessible depuis novembre 2025. Vient ensuite l'identification précise des textes applicables selon la taille et le secteur de l'entreprise — RGPD, NIS2, DORA, CRA pouvant se cumuler.
Le déploiement des mesures prioritaires — MFA, PSSI, sauvegardes, procédure de notification d'incidents — doit être documenté méthodiquement à chaque étape. La formation de l'ensemble des collaborateurs et des dirigeants est tout aussi essentielle : l'erreur humaine reste le premier vecteur d'attaque.
Enfin, se faire accompagner par un avocat compétent en droit du numérique permet de sécuriser les contrats avec les sous-traitants, gérer juridiquement un incident, vérifier la conformité documentaire avant un audit et assurer une veille réglementaire continue face aux évolutions en cours.
À noter : Les entreprises qui ont déjà engagé une démarche de certification ISO 27001 peuvent s'en servir comme socle pour structurer leur conformité NIS2. Cependant, il est essentiel de réaliser une analyse d'écart formalisée pour identifier précisément les exigences non couvertes par la norme — en particulier la notification d'incidents dans les délais réglementaires, la responsabilité personnelle des dirigeants, les obligations relatives à la chaîne d'approvisionnement et l'inscription sur MonEspaceNIS2. Cette analyse d'écart constitue un livrable utile à présenter en cas de contrôle.
CONNECT AVOCATS accompagne les entreprises sur l'ensemble du territoire français dans ces démarches de mise en conformité. Le cabinet intervient tant en conseil qu'en contentieux, avec une connaissance approfondie des enjeux numériques — cybersécurité, conformité RGPD, protection des données sensibles — et une capacité à sécuriser les relations contractuelles dans des environnements réglementaires complexes et évolutifs. Si vous êtes dirigeant ou responsable d'une entreprise concernée par ces obligations, n'hésitez pas à solliciter CONNECT AVOCATS pour un accompagnement adapté à votre situation et à votre secteur d'activité.