Cyber Act 2 & NIS 2 : L'avis EDPB/EDPS décrypté

Focus — Cybersecurity Act 2 et NIS 2 : L'EDPB et l'EDPS tirent la sonnette d'alarme sur la protection des données

Le 19 mars 2026, le Comité européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS) ont publié un avis conjoint très attendu sur deux propositions législatives majeures : le 'Cybersecurity Act 2' et les amendements à la directive sur la sécurité des réseaux et des systèmes d'information (NIS 2). Cette intervention coordonnée des deux plus hautes autorités européennes en matière de données personnelles met en lumière les frictions potentielles entre le renforcement des exigences de cybersécurité et les principes fondamentaux du RGPD.

L'enjeu principal est clair : comment concilier l'impératif de sécurité des infrastructures critiques avec le droit fondamental à la protection des données personnelles ? L'avis conjoint souligne les risques de surveillance accrue, de collecte excessive de données et de confusion des responsabilités si les textes ne sont pas amendés pour garantir une articulation claire et protectrice avec le cadre du RGPD. Pour les Compliance Officers, DPO et CISO, cet avis est un signal fort qui préfigure des défis opérationnels complexes à venir.

💡 Sujet/Concept clé : de quoi parle-t-on ?

La directive NIS 2, entrée en application en 2023, a déjà considérablement élargi le champ des entités soumises à des obligations de cybersécurité. Elle couvre des secteurs 'essentiels' (énergie, transports, santé, banques) et 'importants' (services postaux, gestion des déchets, fabrication de produits chimiques, agroalimentaire), imposant des mesures de gestion des risques, des politiques de sécurité et des obligations de notification d'incidents significatifs auprès des autorités compétentes (ANSSI en France) et des CSIRT.

La proposition de 'Cybersecurity Act 2' (CSA2) viendrait, quant à elle, renforcer le cadre européen de certification de la cybersécurité établi par le premier Cybersecurity Act de 2019. L'objectif serait d'étendre ces schémas de certification à de nouveaux produits, services et processus (IoT, services cloud, IA) et de renforcer le rôle de l'Agence de l'Union européenne pour la cybersécurité (ENISA). Ces deux textes visent à créer un bouclier cyber européen plus robuste, mais leur mise en œuvre implique inévitablement le traitement massif de données, dont une part importante de données à caractère personnel.

La base légale et réglementaire

Le cœur du sujet réside dans l'interaction entre ce nouveau corpus cyber et le Règlement Général sur la Protection des Données (RGPD). L'article 32 du RGPD impose déjà aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les notifications de violations de données personnelles (articles 33 et 34) sont également une obligation centrale, avec un délai de 72 heures pour informer l'autorité de contrôle (la CNIL en France).

La directive NIS 2, transposée en droit national, impose ses propres obligations de notification. Un incident de sécurité doit être signalé à l'autorité compétente (ANSSI) dans des délais très courts (une alerte précoce sous 24h, une notification plus détaillée sous 72h). La friction est évidente : un même incident peut déclencher deux obligations de notification distinctes, avec des destinataires, des formats et des finalités potentiellement différents. L'avis de l'EDPB et de l'EDPS met en garde contre ce double fardeau administratif et le risque de communications incohérentes.

De plus, les mesures de sécurité prévues par NIS 2 et le futur CSA2 (sondes, analyses de flux, etc.) peuvent conduire à la collecte et à l'analyse de données personnelles (adresses IP, logs de connexion, métadonnées). Cette collecte doit reposer sur une base légale valide au sens de l'article 6 du RGPD (souvent l'obligation légale ou l'intérêt légitime), respecter les principes de minimisation et de limitation de la finalité (article 5), et faire l'objet d'une information transparente des personnes concernées (articles 13 et 14).

L'analyse de l'avis conjoint : les points de vigilance majeurs

L'avis conjoint EDPB-EDPS, bien que soutenant l'objectif de renforcement de la cybersécurité, identifie plusieurs zones de risque critiques. Premièrement, il alerte sur le manque de clarté des bases juridiques qui autoriseraient le traitement de données personnelles à des fins de sécurité. Les autorités craignent que des notions trop larges ne servent de prétexte à une surveillance généralisée, en violation des principes de nécessité et de proportionnalité.

Deuxièmement, l'avis insiste sur la nécessité d'un guichet unique ('one-stop-shop') pour la notification des incidents. L'idée serait de créer un mécanisme rationalisé permettant à une entité de notifier un incident une seule fois, l'information étant ensuite partagée entre l'autorité de protection des données et l'autorité de cybersécurité. Cela éviterait les doublons et garantirait une analyse coordonnée de l'incident sous ses deux facettes : sécurité des systèmes et protection des données.

Troisièmement, l'EDPB et l'EDPS soulignent le risque de confusion entre les rôles et responsabilités du Délégué à la Protection des Données (DPO) et ceux du responsable de la sécurité des systèmes d'information (RSSI/CISO). L'avis recommande que les textes clarifient les périmètres d'intervention respectifs et promeuvent une collaboration structurée plutôt qu'une dilution des responsabilités. Le DPO doit rester le garant de la conformité au RGPD, y compris dans le cadre des mesures de cybersécurité.

Enfin, concernant le Cybersecurity Act 2, l'avis plaide pour que les futurs schémas de certification intègrent systématiquement les principes de 'protection des données dès la conception et par défaut' (Privacy by Design & by Default) de l'article 25 du RGPD. Une certification de cybersécurité ne devrait pas pouvoir être délivrée si le produit ou service ne respecte pas, par essence, les exigences fondamentales en matière de protection des données.

Ce que ça change opérationnellement (Plan d'action)

Pour les équipes Conformité et Risques, cet avis est un appel à l'anticipation. Voici un plan d'action pragmatique :

• 1. Cartographier les obligations croisées : Mettre en place une matrice de correspondance entre les exigences du RGPD (notamment l'article 32) et celles de la directive NIS 2. Identifiez les contrôles et les politiques qui répondent aux deux cadres pour éviter la duplication des efforts.

• 2. Unifier la procédure de gestion d'incidents : Refondre la procédure de gestion des incidents pour créer un processus unique qui intègre les critères de qualification et les délais de notification du RGPD et de NIS 2. Définissez un arbre de décision clair : qui est le pilote (DPO ou CISO) selon la nature de l'incident ? Qui doit être informé et quand ?

• 3. Formaliser la gouvernance DPO-CISO : Organiser des ateliers pour rédiger une charte de collaboration ou un RACI (Responsible, Accountable, Consulted, Informed) détaillé entre les fonctions DPO et CISO. Ce document doit préciser le rôle de chacun dans les projets IT, la gestion des incidents, les analyses de risques et les relations avec les autorités.

• 4. Mener des Analyses d'Impact (AIPD) sur les outils de sécurité : Traiter les outils de cybersécurité (SIEM, sondes réseau, EDR) comme des traitements de données à part entière. Si leur déploiement est susceptible d'engendrer un risque élevé pour les droits et libertés, une AIPD doit être menée pour s'assurer de leur conformité au RGPD.

• 5. Auditer les clauses contractuelles des fournisseurs cyber : Revoir les contrats avec les fournisseurs de services de sécurité (SOC, MSSP, etc.) pour s'assurer que les Data Processing Agreements (DPA) sont robustes et qu'ils prévoient une collaboration efficace en cas d'incident nécessitant une double notification.

• 6. Intégrer la Privacy by Design dans les certifications : Lors de l'acquisition de nouveaux produits ou services qui pourraient être soumis à une certification au titre du futur CSA2, exiger des fournisseurs qu'ils démontrent la prise en compte des principes de Privacy by Design, au-delà de la simple conformité sécuritaire.

Sources :

• 📎 EDPB — EDPB-EDPS Joint Opinion 4/2026 on the Proposal for a Cybersecurity Act 2 and the Proposal on amendments to the NIS 2 Directive