RGPD, NIS2 et ISO 27001 : comment articuler ces référentiels ?

Trois finalités différentes

Le RGPD protège les personnes. Sa logique est celle des droits : information, consentement lorsqu'il est requis, accès, rectification, effacement, portabilité. Il s'applique dès qu'une donnée personnelle est traitée, quelle que soit la taille de l'organisation, et son instrument central est le registre des traitements.

NIS2 protège la continuité des services essentiels à l'économie et à la société. Sa logique est celle du risque et de la résilience : maîtriser ses risques, savoir détecter et notifier un incident, être capable de reprendre son activité. Elle s'applique par secteur et par seuil de taille.

ISO 27001 ne protège rien en soi : c'est un cadre de management volontaire qui organise la sécurité de l'information de manière cyclique, avec une analyse de risques, des mesures, des indicateurs, des audits et une amélioration continue. Sa valeur tient à la preuve qu'elle apporte auprès des tiers.

Confondre ces trois finalités conduit à des dispositifs bancals : un registre RGPD utilisé comme analyse de risques, ou une certification présentée comme une conformité réglementaire, ce qu'elle n'est pas.

Un socle commun très large

Malgré ces différences, l'essentiel du travail est commun. L'inventaire des actifs et des traitements sert aux trois. L'analyse de risques nourrit l'article 32 du RGPD, les obligations de gestion des risques de NIS2 et la clause 6 d'ISO 27001. La procédure de gestion des incidents couvre à la fois la notification à l'autorité de protection des données sous soixante-douze heures et l'alerte précoce NIS2 sous vingt-quatre heures.

Il en va de même pour la gestion des accès, le chiffrement, la sensibilisation des collaborateurs, la maîtrise des sous-traitants et la continuité d'activité. Ces chapitres se retrouvent, avec des formulations différentes, dans les trois référentiels.

En pratique, une organisation qui construit correctement ce socle couvre entre soixante et quatre-vingts pour cent des exigences des trois textes. Le reste relève de spécificités : les droits des personnes pour le RGPD, la notification sectorielle et la responsabilité de la direction pour NIS2, la déclaration d'applicabilité et l'audit interne pour ISO 27001.

La méthode d'intégration

La première étape consiste à construire une cartographie unique des exigences. Un tableau qui liste chaque obligation, son origine, la mesure qui y répond et la preuve associée évite de traiter trois fois la même chose sous trois noms différents.

La deuxième étape est de mener une seule analyse de risques, suffisamment riche pour intégrer la dimension « atteinte aux droits et libertés des personnes » exigée par le RGPD à côté des impacts métier. C'est une extension modeste de la méthode habituelle, et elle évite un exercice parallèle.

La troisième étape est de mutualiser les instances : un même comité, réuni trimestriellement, peut traiter la protection des données, la sécurité et la conformité réglementaire. Séparer ces instances multiplie les réunions sans améliorer les décisions.

La quatrième étape est de tenir un plan d'action unique, où chaque action indique les référentiels qu'elle sert. Cette simple colonne supplémentaire transforme la lisibilité du dispositif pour la direction et pour les auditeurs.

Et l'AI Act dans tout cela

Le règlement européen sur l'intelligence artificielle s'ajoute à cet ensemble avec une logique encore différente, celle de la classification par niveau de risque des systèmes utilisés ou déployés. Il impose notamment des obligations de transparence, de supervision humaine et de documentation pour les usages considérés comme à haut risque.

Là encore, la bonne approche est intégrative. L'inventaire des usages d'intelligence artificielle prolonge l'inventaire des actifs, l'évaluation de leurs risques prolonge l'analyse de risques existante, et la gouvernance des usages s'inscrit dans les instances déjà en place.

La norme ISO/IEC 42001, qui définit un système de management de l'intelligence artificielle, est précisément conçue pour se greffer sur un système de management existant. Une organisation déjà structurée par ISO 27001 dispose donc d'une avance considérable pour aborder ce nouveau volet.