Conformité cybersécurité : normes, exigences et comment démarrer (guide 2026)
%20(1).png)
DPO Consulting Rejoint Grant Thornton
La conformité cybersécurité désigne le processus qui aligne les contrôles, politiques et procédures de sécurité d'une organisation sur les exigences des lois, règlements et normes applicables, avec la capacité de le démontrer par des preuves documentées. Elle couvre la protection des systèmes et des données, la détection et la réponse aux incidents, et la documentation de l'ensemble pour les auditeurs et les régulateurs.
L'enjeu financier est mesurable. Selon le rapport Cost of a Data Breach 2025 d'IBM, le coût moyen mondial d'une violation de données atteint 4,44 millions de dollars (IBM, 2025). En Europe, une défaillance de sécurité peut aussi déclencher une sanction au titre de la protection des données. L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées, et les manquements aux principes fondamentaux du RGPD exposent à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (Règlement (UE) 2016/679, articles 32 et 83).
La GRC cybersécurité, pour gouvernance, risques et conformité, est la structure de pilotage qui relie les décisions de sécurité au risque métier et aux obligations réglementaires. La conformité échoue rarement faute d'outils. Elle échoue parce que personne ne porte les obligations, et la GRC existe précisément pour attribuer cette responsabilité.
La gouvernance définit qui décide, qui est responsable et comment la performance de sécurité est rapportée à la direction. Elle fixe les politiques, attribue les rôles et donne au comité de direction une visibilité sur le risque cyber, première brique d'une démarche de gouvernance risque et conformité solide. Le NIST a consacré cette évolution en 2024 en faisant de la fonction Gouverner l'une des six fonctions du CSF 2.0 (NIST, 2024).
La gestion des risques cyber transforme une obligation abstraite en plan de travail priorisé. Une analyse structurée identifie les actifs critiques, les menaces qui les visent, et la probabilité et l'impact de chaque scénario, afin d'appliquer les contrôles là où l'exposition est la plus forte plutôt que là où la mise en œuvre est la plus simple.
La conformité est la couche de preuve de la démarche. La gouvernance risque et conformité fonctionne comme un système unique, où la gouvernance fixe les règles, la gestion des risques priorise le travail et la conformité démontre aux auditeurs, régulateurs et clients que l'ensemble reste aligné. Traiter la GRC cybersécurité comme un tout évite le mode de défaillance classique où les politiques existent sur le papier sans qu'aucun contrôle n'y soit rattaché.
Les normes cybersécurité les plus adoptées sont le NIST CSF 2.0, l'ISO 27001, le SOC 2 et le PCI DSS, auxquelles s'ajoutent dans l'UE la directive NIS2 et le règlement européen DORA. La plupart des organisations répondent à plusieurs d'entre elles à la fois. Le tableau ci-dessous compare les référentiels traités dans cette section.
Le NIST CSF est un référentiel volontaire fondé sur le risque, publié par le National Institute of Standards and Technology américain. La version 2.0, publiée le 26 février 2024, organise les résultats de sécurité en six fonctions, Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir, réparties en 22 catégories et 106 sous-catégories (NIST, 2024). Il n'existe pas de certification. Les organisations s'auto-évaluent par rapport à un profil cible, ce qui en fait une colonne vertébrale fréquente pour des programmes soumis à plusieurs régimes.
L'ISO/IEC 27001:2022 est la norme internationale pour construire un système de management de la sécurité de l'information (SMSI) certifiable. Son Annexe A recense 93 mesures réparties en thèmes organisationnels, humains, physiques et technologiques (ISO, 2022). Parce que la certification ISO 27001 est délivrée par un organisme accrédité, c'est le référentiel le plus demandé dans les appels d'offres des grands comptes européens.
Le SOC 2 est un rapport d'attestation, et non une certification, dans lequel un auditeur indépendant évalue les contrôles d'un prestataire selon les Trust Services Criteria de l'AICPA (sécurité, disponibilité, intégrité des traitements, confidentialité et vie privée). Un rapport Type I évalue la conception des contrôles à un instant donné, tandis qu'un Type II teste leur efficacité sur une période, raison pour laquelle les acheteurs demandent le plus souvent un Type II.
Le PCI DSS s'applique à toute entité qui stocke, traite ou transmet des données de cartes de paiement. La version en vigueur est la v4.0.1, et toutes les exigences, y compris celles initialement différées, sont obligatoires depuis le 31 mars 2025 (PCI SSC, 2024). La norme définit douze domaines d'exigences couvrant la sécurité réseau, le contrôle d'accès, la surveillance et les tests.
La directive NIS2 impose des mesures de gestion des risques et de notification d'incidents aux entités essentielles et importantes de 18 secteurs, avec une échéance de transposition fixée au 17 octobre 2024 (Directive (UE) 2022/2555). Le règlement DORA s'applique quant à lui directement aux entités financières depuis le 17 janvier 2025 (Règlement (UE) 2022/2554). Notre guide ISO 27001, NIS2 et DORA détaille comment articuler les trois. Hors UE, des cadres sectoriels comme le HIPAA américain pour la santé ou le CMMC pour la défense complètent le paysage.
Les exigences qui reviennent d'un référentiel à l'autre se regroupent en cinq familles de contrôles. Les intitulés varient selon les normes, mais un auditeur travaillant sur le NIST, l'ISO 27001 ou NIS2 testera globalement les mêmes points, ce qui explique qu'un socle de contrôles bien cartographié puisse servir plusieurs régimes à la fois.
Les mesures organisationnelles regroupent les politiques, analyses de risques et formations qui pilotent le programme. Les mesures techniques sont les contrôles déployés dans les systèmes, comme les pare-feu, la journalisation et la protection des postes. Les mesures physiques restreignent l'accès aux locaux et au matériel. Une politique de cybersécurité documentée est le point d'ancrage organisationnel que les auditeurs examinent en premier.
Les exigences de contrôle d'accès reposent sur le moindre privilège, l'identification unique des utilisateurs et l'authentification multifacteur (MFA). Le PCI DSS v4.0.1, par exemple, impose la MFA pour tout accès à l'environnement des données de cartes. Les revues d'accès régulières et la désactivation rapide des comptes des partants restent les contrôles les plus souvent jugés déficients en audit.
Les référentiels exigent la protection des données sensibles au repos et en transit, avec une gestion des clés documentée. L'article 32 du RGPD cite le chiffrement et la pseudonymisation comme exemples de mesures techniques appropriées pour les données personnelles (Règlement (UE) 2016/679). La classification des données vient en premier, car on ne protège pas correctement des données que l'on n'a pas identifiées.
Chaque référentiel majeur exige un plan de réponse aux incidents de cybersécurité testé, avec des rôles définis, des chaînes d'escalade et des procédures de notification. Les délais sont stricts. Le RGPD impose de notifier les violations de données personnelles à la CNIL dans les 72 heures suivant leur constat lorsque c'est possible (article 33), et NIS2 prévoit une alerte précoce sous 24 heures pour les incidents importants.
Les référentiels vous rendent de plus en plus responsable de la sécurité de vos prestataires. NIS2 fait de la sécurité de la chaîne d'approvisionnement une mesure explicite de gestion des risques cyber, et le PCI DSS exige le suivi de la conformité des prestataires tiers. Concrètement, cela passe par une diligence avant contractualisation, des clauses de sécurité et une réévaluation périodique des fournisseurs critiques.
La France n'a pas encore achevé la transposition de NIS2 en juillet 2026, mais les outils de préparation existent déjà et la conformité NIS2 peut se construire sans attendre la loi. L'échéance européenne du 17 octobre 2024 a été manquée, et la Commission européenne a saisi la Cour de justice de l'UE le 8 juillet 2026 pour défaut de transposition.
Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit loi Résilience, transpose en un texte unique NIS2, la directive REC et le volet directive de DORA. Adopté par le Sénat le 12 mars 2025, il attend son examen en séance à l'Assemblée nationale, désormais annoncé au plus tôt pour septembre 2026. Le projet désigne l'ANSSI comme autorité nationale et prévoit des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Depuis le 17 mars 2026, l'ANSSI met à disposition le Référentiel Cyber France (ReCyF), qui recense les mesures recommandées pour atteindre les objectifs de sécurité de NIS2, gradué selon que l'entité est essentielle ou importante (ANSSI, 2026). Le portail MonEspaceNIS2 permet de qualifier son statut et de s'auto-évaluer. Notre guide ReCyF et NIS2 explique comment en faire une feuille de route de conformité NIS2 opérationnelle avant même la promulgation de la loi.
Au-delà des référentiels transverses, chaque secteur régulé ajoute ses propres obligations. Les quatre secteurs ci-dessous concentrent l'essentiel de l'activité d'audit, chacun associant un cadre légal à un référentiel privilégié.
Les données de santé sont une catégorie particulière au sens de l'article 9 du RGPD, ce qui relève l'exigence de sécurité des traitements. En France, la certification HDS (Hébergeur de Données de Santé) est obligatoire pour héberger des données de santé à caractère personnel. Les organisations exposées au marché américain ajoutent le HIPAA à leur périmètre. Notre guide sur la conformité des données de santé détaille l'articulation de ces régimes.
Les entités financières de l'UE appliquent le règlement DORA pour la gestion du risque TIC, les tests de résilience et la notification d'incidents. Les groupes cotés aux États-Unis y ajoutent les obligations SOX de contrôle interne et les règles de la SEC, qui imposent de déclarer les incidents cyber significatifs sous quatre jours ouvrés (SEC, 2023). Notre article sur la conformité de la sécurité des données financières couvre le secteur en détail.
Énergie, transport, santé, infrastructure numérique, administration publique, agroalimentaire ou industrie manufacturière, la directive NIS2 soumet 18 secteurs à des obligations de sécurité et de notification, avec une responsabilité directe des organes de direction. En France, environ 15 000 entités seront concernées, contre environ 500 sous NIS1.
Tout commerçant ou prestataire manipulant des paiements par carte doit se valider contre le PCI DSS v4.0.1. Les exigences entrées en vigueur le 31 mars 2025 renforcent notamment le contrôle des scripts de pages de paiement et les mécanismes anti-hameçonnage, ce qui place les interfaces e-commerce au cœur du périmètre (PCI SSC, 2024).
Les modèles de maturité mesurent la constance avec laquelle vos pratiques de sécurité fonctionnent, ce qui est différent de l'existence d'un contrôle. Croiser une vue de maturité cybersécurité avec vos obligations montre non seulement ce que vous respectez aujourd'hui, mais la solidité de cette position dans le temps.
Un modèle de maturité note vos capacités sur une échelle, généralement d'initial ou ad hoc jusqu'à optimisé, en passant par géré et défini. Le ReCyF de l'ANSSI adopte une logique proche en graduant ses mesures selon le statut de l'entité, et les référentiels contractuels comme le CMMC américain écrivent directement un niveau de maturité requis dans les contrats.
La mesure commence par une évaluation structurée qui note chaque domaine de contrôle par rapport au niveau cible exigé par vos régulateurs, clients et contrats. Le résultat est une cartographie des domaines où la pratique est en retard sur l'obligation, qui devient la feuille de route de remédiation priorisée.
Les programmes réactifs préparent les audits. Les programmes proactifs surveillent les contrôles en continu, si bien que les preuves d'audit deviennent un sous-produit du fonctionnement normal. Les organisations qui atteignent ce stade fixent des objectifs annuels de maturité cybersécurité avec des responsables et des budgets, plutôt que de traiter des constats après chaque évaluation.
La plupart des programmes de conformité butent sur les quatre mêmes obstacles. Les reconnaître tôt coûte moins cher que de les découvrir pendant un audit, et chacun a une parade connue.
Une ETI peut faire face à l'ISO 27001, au SOC 2, au PCI DSS et au RGPD en même temps, chacun avec son cycle d'audit. La parade est un socle de contrôles commun, où chaque contrôle interne est cartographié une seule fois vers toutes les exigences externes qu'il satisfait, si bien qu'une même preuve sert plusieurs audits.
On ne sécurise pas et on ne certifie pas des actifs que l'on ne voit pas. Services cloud non gérés, shadow IT et flux de données non documentés sont les angles morts habituels. L'étude 2025 d'IBM chiffre le phénomène, l'usage non encadré d'outils d'IA ajoutant en moyenne 670 000 dollars au coût d'une violation (IBM, 2025).
Le travail de conformité concurrence le travail de production, et les compétences seniors en sécurité et en conformité informatique restent rares. Externaliser des rôles définis, comme un DPO externe ou un CISO en tant que service, est souvent plus rapide que de recruter, en particulier quand des preuves prêtes pour l'audit sont attendues à date fixe.
Le socle réglementaire ne cesse de bouger. Entre 2024 et 2026, le NIST CSF 2.0 est paru, les exigences différées du PCI DSS sont devenues obligatoires, DORA est entré en application et la transposition française de NIS2 suit son parcours parlementaire. Une veille réglementaire avec des responsables nommés est désormais un contrôle à part entière.
Un programme de conformité cybersécurité se construit en cinq étapes séquentielles. Chacune produit un livrable concret, registre des obligations, rapport d'écarts, socle de contrôles, preuves de formation et tableau de bord de surveillance, qui forment ensemble votre base de preuves d'audit.
Figure 1. Les cinq étapes d'un programme de conformité cybersécurité et le livrable de preuve produit à chaque étape.
Listez chaque régime qui s'applique à vous par juridiction, secteur, type de données et contrat. Un éditeur SaaS français vendant à des hôpitaux peut cumuler RGPD, exigences HDS, conformité NIS2 à venir et demandes clients de certification ISO 27001. Consignez chaque obligation et son responsable dans un registre des obligations.
Comparez vos contrôles actuels à chaque exigence pour produire un rapport d'écarts priorisé. Un audit de conformité en matière de cybersécurité ou un audit de conformité RGPD mené par un tiers vous donne une base indépendante, plus défendable devant les régulateurs et les clients qu'une auto-évaluation seule.
Comblez les écarts par ordre de priorité, en commençant par les contrôles qui réduisent le plus de risque par unité d'effort, typiquement la MFA, la journalisation, les sauvegardes et les revues d'accès. Documentez chaque contrôle au fil du déploiement, car un contrôle non documenté échoue en audit même quand il fonctionne.
Du RGPD à NIS2, les référentiels exigent une sensibilisation à la sécurité documentée, y compris pour les organes de direction dans le cas de NIS2. Adaptez-la aux métiers. Les développeurs ont besoin de développement sécurisé, la finance de sensibilisation à la fraude, et tout le monde de la reconnaissance de l'hameçonnage, avec des preuves de réalisation conservées.
Planifiez les audits internes, les tests de contrôles et les revues de direction sur un calendrier récurrent. Une liste de contrôle des audits de cybersécurité structurée maintient la cohérence des revues internes entre deux évaluations externes, et les constats alimentent le cycle suivant du programme.
La conformité en cybersécurité et la conformité RGPD se recoupent mais répondent à des régulateurs différents et protègent des objets différents. Les référentiels de sécurité protègent les systèmes et toutes les données qu'ils contiennent. Le RGPD protège les personnes, à travers des règles de licéité, de droits individuels et de transferts qu'aucun pare-feu ne peut satisfaire.
Le recoupement est la sécurité des traitements. L'article 32 du RGPD et des normes comme l'ISO 27001 exigent tous deux des mesures techniques proportionnées au risque, si bien qu'un même chiffrement ou contrôle d'accès sert les deux. Les différences tiennent au périmètre. Seul le droit de la protection des données régit le consentement, la conservation, les droits des personnes et les transferts internationaux, et seuls les référentiels de sécurité précisent la profondeur des contrôles sur l'ensemble du SI.
Une entreprise peut être certifiée ISO 27001 et enfreindre le RGPD en traitant des données sans base légale. À l'inverse, une entreprise conforme au RGPD mais aux contrôles faibles reste à un incident d'une violation notifiable à la CNIL. Traiter la conformité informatique et la conformité RGPD dans un programme unique est la direction que prennent les organisations matures.
Le pôle cybersécurité de DPO Consulting associe l'expertise sécurité à plus de dix ans de pratique de la protection des données auprès de plus de 800 organisations clientes. L'accompagnement couvre quatre volets, chacun rattaché aux référentiels de ce guide.
Un audit de cybersécurité indépendant établit où se situent vos contrôles par rapport à vos obligations, et produit un plan de remédiation priorisé plutôt qu'une liste de constats générique.
Les consultants cartographient votre socle de contrôles une seule fois vers le NIST CSF 2.0, l'ISO 27001, le SOC 2 et les régimes européens applicables, NIS2 et DORA, si bien que les preuves collectées pour une évaluation servent aux autres.
Des analyses de risques structurées identifient vos actifs et scénarios les plus exposés, et l'accompagnement à la mise en œuvre transforme les priorités en contrôles déployés et documentés.
Un accompagnement récurrent fait vivre le programme entre deux audits, de la veille réglementaire à la tenue des politiques et au reporting de direction, avec des options de DPO externalisé et de CISO externalisé pour les organisations qui ont besoin des rôles sans les recrutements.
Une conformité cybersécurité durable repose sur un socle de contrôles unique cartographié vers chaque obligation, porté par des responsables nommés et surveillé en continu, si bien que chaque audit s'appuie sur des preuves déjà disponibles. Les organisations qui atteignent cet état dépensent moins à chaque évaluation et réduisent matériellement leur exposition aux violations, chiffrée par IBM à 4,44 millions de dollars en moyenne mondiale (IBM, 2025).
Si vous devez répondre à plusieurs référentiels à la fois, ou anticiper NIS2 avant la promulgation de la loi Résilience, échangez avec un expert DPO Consulting. Demandez un devis pour cadrer une analyse d'écarts, ou découvrez notre pôle cybersécurité pour voir comment fonctionne l'alignement multi-référentiels.
La conformité cybersécurité est la pratique qui consiste à respecter les exigences de sécurité définies par les lois, règlements et normes applicables, et à conserver des preuves documentées que vos contrôles les satisfont.
Les normes cybersécurité les plus courantes sont le NIST CSF 2.0, l'ISO 27001, le SOC 2 et le PCI DSS. Dans l'UE s'y ajoutent la directive NIS2 et DORA pour la finance, et en France le référentiel ReCyF de l'ANSSI comme cadre de préparation à NIS2.
On le sait par l'évaluation. Cartographiez vos obligations, puis commandez une analyse d'écarts ou un audit indépendant sur chaque référentiel applicable. La certification (ISO 27001), l'attestation (SOC 2) ou l'auto-évaluation validée (PCI DSS) apportent ensuite la confirmation d'un tiers.
Pas encore dans sa version nationale. La loi de transposition, dite loi Résilience, adoptée par le Sénat le 12 mars 2025, n'est pas promulguée en juillet 2026 et son examen à l'Assemblée nationale est attendu au plus tôt en septembre 2026. Les entités concernées peuvent toutefois déjà se préparer avec le référentiel ReCyF de l'ANSSI et le portail MonEspaceNIS2 (ANSSI, 2026).
La conformité prouve que vous respectez un référentiel externe défini, à un instant donné. La sécurité est la pratique continue de protection des systèmes et des données contre des menaces réelles. La conformité est une preuve nécessaire de la sécurité, mais réussir un audit ne rend pas, à lui seul, une organisation sûre.
ANSSI. (2026). Référentiel Cyber France (ReCyF). Agence nationale de la sécurité des systèmes d'information. https://cyber.gouv.fr
European Cyber Security Organisation. (2026). NIS2 Directive Transposition Tracker. https://ecs-org.eu/activities/nis2-directive-transposition-tracker/
IBM. (2025). Cost of a Data Breach Report 2025. IBM Corporation. https://www.ibm.com/reports/data-breach
International Organization for Standardization. (2022). ISO/IEC 27001:2022 Sécurité de l'information, cybersécurité et protection de la vie privée. Systèmes de management de la sécurité de l'information. Exigences. https://www.iso.org/standard/27001
National Institute of Standards and Technology. (2024). The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29). U.S. Department of Commerce. https://doi.org/10.6028/NIST.CSWP.29
Parlement européen et Conseil de l'Union européenne. (2016). Règlement (UE) 2016/679 (Règlement général sur la protection des données). EUR-Lex. https://eur-lex.europa.eu/eli/reg/2016/679/oj
Parlement européen et Conseil de l'Union européenne. (2022). Directive (UE) 2022/2555 (directive NIS 2). EUR-Lex. https://eur-lex.europa.eu/eli/dir/2022/2555/oj
Parlement européen et Conseil de l'Union européenne. (2022). Règlement (UE) 2022/2554 (DORA). EUR-Lex. https://eur-lex.europa.eu/eli/reg/2022/2554/oj
PCI Security Standards Council. (2024). Payment Card Industry Data Security Standard v4.0.1. https://www.pcisecuritystandards.org/document_library/
U.S. Securities and Exchange Commission. (2023). Cybersecurity risk management, strategy, governance, and incident disclosure (Release No. 33-11216). https://www.sec.gov/rules/final/2023/33-11216.pdf
.png)
.svg)
