Savoir quelles règles de sécurité vous concernent, et s'y préparer
NIS2, RGPD, DORA, ISO 27001, les clauses de sécurité d'un client : QoBot identifie ce qui s'applique à votre entreprise et pourquoi, puis en fait un plan que votre équipe suit pas à pas.
L'activité de Lebrun Transports est probablement hors des secteurs NIS2, mais deux de vos plus gros clients sont concernés et vous répercuteront leurs exigences. Le RGPD s'applique aux données de vos chauffeurs et de vos clients. Premières étapes :
- Paul (DAF): confirmer l'effectif et le chiffre d'affaires du groupe · ~10 minÀ vous
- Inès (informatique): activer la double authentification sur les accès à distance · guide prêt · ~30 minÀ vous
- Vous: approuver la politique de sécurité v1 · ~15 minVotre accord
Se préparer à ses obligations : qui fait quoi
Ce que fait QoBot
- Vous interroge sur votre activité, votre taille, votre groupe, vos pays et vos clients, puis dit ce qui s'applique probablement et pourquoi.
- Présente chaque résultat comme une lecture à confirmer, avec ce qui la ferait changer.
- Fait l'analyse d'écarts à partir de l'existant et rédige les politiques.
- Construit le plan dans l'ordre, chaque action avec un responsable, un effort et une date.
- Prépare la note que la direction approuve, et fait le point chaque semaine.
Ce que fait votre équipe
- Répondre sur les faits : activités, effectifs, structure du groupe, clients.
- La direction approuve le plan et les politiques.
- Votre équipe applique les actions avec les guides pas à pas de QoBot.
- Votre avocat ou votre auditeur confirme les cas limites.
Les règles qui peuvent s’appliquer
| Règle | Ce que c’est | Qui est concerné |
|---|---|---|
| NIS2 | Loi européenne sur la gestion des risques cyber et la notification des incidents | Moyennes et grandes organisations de 18 secteurs listés, certaines plus petites |
| RGPD | Loi européenne sur les données personnelles, dont leur sécurité (article 32) et la notification des violations (articles 33 et 34) | Presque toute organisation qui traite des données personnelles |
| DORA | Loi européenne de résilience numérique, applicable depuis le 17 janvier 2025 | Banques, assureurs, entreprises d’investissement et autres entités financières |
| ISO 27001 | Norme internationale volontaire, certifiée par un organisme indépendant | Les entreprises dont les clients ou les appels d’offres l’exigent |
| SOC 2 | Rapport d’attestation américain sur vos contrôles de sécurité, émis par un cabinet CPA | Les entreprises qui vendent des services à des clients américains |
| TISAX | Évaluation de l’industrie automobile sur le catalogue VDA ISA, gérée par ENX | Les fournisseurs des constructeurs et de leurs équipementiers |
| Cyber Essentials | Certification britannique de cinq contrôles techniques, soutenue par l’État | Les fournisseurs des marchés publics britanniques et du NHS |
| Clauses clients | Exigences de sécurité écrites dans vos contrats | Les fournisseurs de clients exigeants, souvent à cause de NIS2 |
Comment QoBot s’y prend
QoBot pose les questions qui décident de la réponse, une à la fois : ce que vous faites (l’activité réelle, pas l’intitulé), où vous êtes établi, votre taille avec votre groupe, les clients que vous servez. Il rédige le résultat comme une lecture, avec ses raisons, les textes officiels sur lesquels il s’appuie, et ce qui la ferait changer. Pour NIS2, il vous oriente vers le test d’éligibilité de l’ANSSI pour un second avis officiel.
QoBot ne présente jamais une lecture comme une qualification juridique. Les cas limites vont à votre avocat ; QoBot prépare le dossier.
De l’obligation au plan
Une fois ce qui s’applique connu, le travail se ressemble : une analyse d’écarts à partir de l’existant, les politiques manquantes rédigées à partir de ce qui est vrai aujourd’hui, et un plan classé par réduction du risque rapportée à l’effort. Chaque action a un responsable (vous, votre référent informatique, votre prestataire), un effort, un coût indicatif présenté comme une estimation, et une façon de vérifier qu’elle est faite.
La direction approuve le plan. Avec NIS2, cette approbation et la formation des dirigeants sont des obligations en elles-mêmes (article 20) : QoBot leur prépare une note courte.
Limites, en toute honnêteté
QoBot n’est ni avocat, ni auditeur, ni organisme de certification. Il ne certifie pas la conformité et ne vous donnera pas une échéance nationale qui n’existe pas encore. Il vous prépare, documente ce qui est en place et vous dit ce qu’une autorité ou un auditeur regarderait.
Questions fréquentes
NIS2 est-elle obligatoire aujourd'hui ?
Cela dépend de votre pays : NIS2 s'applique par la loi nationale. Au 20 octobre 2026, 24 des 27 pays de l'UE ont leur loi NIS2 en vigueur ; la France, l'Irlande et l'Espagne pas encore. S'y préparer reste raisonnable, car vos clients peuvent déjà l'exiger. Le Royaume-Uni n'est pas concerné par NIS2 et a ses propres règles. Voir NIS2 en clair, avec le statut par pays et un test en 3 questions.
QoBot va-t-il nous rendre conformes ?
QoBot vous prépare : il explique ce qui s'applique, rédige les documents, planifie le travail et suit ce qui est fait. La conformité est appréciée par une autorité ou un auditeur, et un certificat ISO 27001 est délivré par un organisme de certification.
Nous sommes trop petits pour NIS2. Pourquoi s'en occuper ?
Vos clients concernés doivent gérer la sécurité de leurs fournisseurs : leurs questionnaires et leurs contrats vous atteignent quand même. Et le RGPD s'applique quelle que soit la taille dès que vous traitez des données personnelles.
Quels pays QoBot connaît-il ?
Les textes européens, le statut NIS2 de chaque pays de l'UE et les principaux dispositifs britanniques (Cyber Essentials, NIS Regulations). Pour un détail national que nous n'avons pas encore vérifié, QoBot le dit et vous oriente vers l'autorité du pays.
Sources
- Directive (UE) 2022/2555 (NIS2)EUR-Lex · champ (art. 2, 3), mesures (art. 21), notification (art. 23)Texte officiel
- Règlement (UE) 2016/679 (RGPD)EUR-Lex · sécurité du traitement (art. 32), violations de données (art. 33, 34)Texte officiel
- Règlement (UE) 2022/2554 (DORA)EUR-Lex · résilience opérationnelle numérique du secteur financierTexte officiel
- ISO/IEC 27001:2022ISO · systèmes de management de la sécurité de l'informationTexte officiel
- Portail NIS2 de l'ANSSITest d'éligibilité et pré-enregistrement volontairePage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur