Quelles règles de sécurité vous concernent, et comment vous y préparer
NIS2, RGPD, DORA, ISO 27001, les clauses de sécurité d'un client : QoBot identifie ce qui s'applique à votre entreprise et pourquoi, puis en fait un plan que votre équipe suit pas à pas.
L'activité de Lebrun Transports n'entre probablement pas dans les secteurs visés par NIS2, mais deux de vos plus gros clients sont concernés et vous répercuteront leurs exigences. Le RGPD s'applique aux données de vos chauffeurs et de vos clients. Premières étapes :
- Paul (DAF): confirmer l'effectif et le chiffre d'affaires du groupe · ~10 minÀ vous
- Inès (informatique): activer la double authentification sur les accès à distance · guide prêt · ~30 minÀ vous
- Vous: approuver la politique de sécurité v1 · ~15 minVotre accord
Vos obligations : qui fait quoi
Ce que fait QoBot
- Part de ce qu'il sait de votre entreprise (activité, secteur, sociétés du groupe, pays, clients et fournisseurs), vous demande ce qui manque, puis vous dit ce qui s'applique probablement à chaque société, et pourquoi.
- Donne chaque conclusion comme un avis à confirmer, en précisant ce qui pourrait la changer.
- Fait l'analyse d'écarts à partir de ce que vous avez déjà, et rédige les politiques.
- Construit le plan par ordre de priorité, avec pour chaque action un responsable, un effort et une date.
- Prépare la note à faire approuver par la direction, et fait le point chaque semaine.
Ce que fait votre équipe
- Donner les faits : activités, effectifs, structure du groupe, clients.
- Faire approuver le plan et les politiques par la direction.
- Mettre en place les actions avec votre équipe, en suivant les guides pas à pas de QoBot.
- Faire confirmer les cas limites par votre avocat ou votre auditeur.
Les règles qui peuvent s’appliquer
| Règle | Ce que c’est | Qui est concerné |
|---|---|---|
| NIS2 | Loi européenne sur la gestion des risques cyber et la notification des incidents | Les moyennes et grandes organisations de 18 secteurs listés, et certaines plus petites |
| RGPD | Loi européenne sur les données personnelles, dont leur sécurité (article 32) et la notification des violations (articles 33 et 34) | Presque toutes les organisations qui traitent des données personnelles |
| DORA | Loi européenne de résilience numérique, applicable depuis le 17 janvier 2025 | Banques, assureurs, entreprises d’investissement et autres entités financières |
| ISO 27001 | Norme internationale volontaire, certifiée par un organisme indépendant | Les entreprises dont les clients ou les appels d’offres l’exigent |
| SOC 2 | Rapport d’attestation américain sur vos contrôles de sécurité, émis par un cabinet d’expertise comptable (CPA) | Les entreprises qui vendent des services à des clients américains |
| TISAX | Évaluation de l’industrie automobile selon le catalogue VDA ISA, gérée par ENX | Les fournisseurs des constructeurs et de leurs équipementiers |
| Cyber Essentials | Certification britannique de cinq contrôles techniques, soutenue par l’État | Les fournisseurs des marchés publics britanniques et du NHS |
| Clauses clients | Exigences de sécurité écrites dans vos contrats | Les fournisseurs de clients exigeants, souvent à cause de NIS2 |
Comment QoBot s’y prend
QoBot pose une à une les questions qui changent la réponse : ce que vous faites réellement, quel que soit l’intitulé, où vous êtes établi, votre taille groupe compris, et vos clients. Il rédige sa conclusion comme un avis argumenté : ses raisons, les textes officiels sur lesquels il s’appuie, et ce qui pourrait la changer. Pour NIS2, il vous renvoie aussi vers le test d’éligibilité de l’ANSSI, qui donne un second avis officiel.
Dans un groupe, chaque société a son propre avis : une filiale peut être concernée et une autre non, et une clause client n’engage parfois que la société qui l’a signée. QoBot garde ces cas séparés, puis découpe le travail en plans que chaque société et chaque équipe peut suivre.
QoBot donne un avis, jamais une qualification juridique. Pour les cas limites, votre avocat tranche et QoBot lui prépare le dossier.
De l’obligation au plan
Une fois que vous savez ce qui s’applique, le travail suit toujours le même chemin. QoBot fait l’analyse d’écarts à partir de ce que vous avez déjà (vos politiques, vos outils, les mesures que votre prestataire et vos fournisseurs appliquent déjà), rédige les politiques manquantes d’après votre situation réelle, et construit un plan qui commence par les actions qui réduisent le plus le risque pour le moins d’effort. Chaque action a un responsable (vous, votre référent informatique, votre prestataire), un effort, un coût indicatif signalé comme une estimation, et un moyen de vérifier qu’elle est faite.
La direction approuve le plan. Sous NIS2, cette approbation et la formation des dirigeants sont elles-mêmes des obligations (article 20). QoBot leur prépare donc une note courte.
Les limites, honnêtement
Un avocat conseille, un auditeur évalue, un organisme de certification certifie. QoBot vous prépare : il documente ce qui est en place et vous dit ce qu’une autorité ou un auditeur regarderait. Il ne cite que les échéances nationales déjà fixées par la loi.
Questions fréquentes
NIS2 est-elle obligatoire aujourd'hui ?
Cela dépend de votre pays : NIS2 s'applique à travers la loi nationale. Au 20 octobre 2026, 24 des 27 pays de l'UE ont leur loi NIS2 en vigueur ; la France, l'Irlande et l'Espagne pas encore. Mieux vaut s'y préparer dès maintenant, car vos clients peuvent déjà l'exiger. Le Royaume-Uni n'applique pas NIS2 et a ses propres règles. La page NIS2 en clair donne le statut par pays et un test en 3 questions.
QoBot va-t-il nous rendre conformes ?
QoBot vous prépare : il explique ce qui s'applique, rédige les documents, planifie le travail et suit ce qui est fait. C'est une autorité ou un auditeur qui juge la conformité, et un organisme de certification qui délivre un certificat ISO 27001.
Nous sommes trop petits pour NIS2. Pourquoi s'en occuper ?
Vos clients concernés doivent gérer la sécurité de leurs fournisseurs : leurs questionnaires et leurs contrats vous arrivent quand même. Et le RGPD s'applique quelle que soit votre taille, dès que vous traitez des données personnelles.
Quels pays QoBot connaît-il ?
Les textes européens, le statut NIS2 de chaque pays de l'UE et les principaux dispositifs britanniques (Cyber Essentials, NIS Regulations). Pour un détail national que nous n'avons pas encore vérifié, QoBot le dit et vous oriente vers l'autorité du pays.
Sources
- Directive (UE) 2022/2555 (NIS2)EUR-Lex · champ (art. 2, 3), mesures (art. 21), notification (art. 23)Texte officiel
- Règlement (UE) 2016/679 (RGPD)EUR-Lex · sécurité du traitement (art. 32), violations de données (art. 33, 34)Texte officiel
- Règlement (UE) 2022/2554 (DORA)EUR-Lex · résilience opérationnelle numérique du secteur financierTexte officiel
- ISO/IEC 27001:2022ISO · systèmes de management de la sécurité de l'informationTexte officiel
- Portail NIS2 de l'ANSSITest d'éligibilité et pré-enregistrement volontairePage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur