Droit de l’UE : RGPD, DORA, CRA et AI Act

Le règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, est la loi européenne sur le traitement des informations concernant les personnes. Il s’applique directement dans chaque État membre et couvre tout traitement de données personnelles, c’est-à-dire d’informations qui identifient une personne directement ou indirectement, par des organisations établies dans l’UE et par des organisations hors de l’UE qui proposent des biens ou services à des personnes dans l’UE ou suivent leur comportement. Ses idées centrales sont simples : disposer d’une base légale pour chaque usage, n’utiliser que le nécessaire, garder des données exactes et pas plus longtemps que nécessaire, les protéger, informer les personnes concernées et pouvoir démontrer tout cela. Les personnes ont des droits comme l’accès, la rectification et l’effacement. Pour une équipe de sécurité, le RGPD compte deux fois : les journaux de sécurité sont eux-mêmes des données personnelles, et un incident peut être une violation de données personnelles avec sa propre obligation de notification. Le droit national ajoute des règles, par exemple sur les données des salariés : vérifiez le vôtre.

Souvent oui, et dans un contexte de sécurité il faut le supposer. Une donnée personnelle est toute information se rapportant à une personne identifiable directement ou indirectement, et le RGPD cite les identifiants en ligne parmi les exemples. Une adresse IP ne porte pas de nom, mais elle peut généralement y être reliée : dans une entreprise, l’adresse d’un ordinateur portable renvoie à la personne qui l’utilise, et un fournisseur d’accès peut relier une adresse publique à un abonné. La Cour de justice de l’UE a jugé qu’une adresse IP dynamique peut être une donnée personnelle pour un exploitant de site qui dispose de moyens légaux d’identifier la personne derrière elle. En pratique, traitez journaux réseau, noms d’appareils et relevés de connexion comme des données personnelles : base légale, accès limité, conservation strictement nécessaire et mention dans votre registre des traitements. NetSenX les traite comme des données personnelles selon son accord de traitement des données et les stocke dans l’UE.

Une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à celles-ci, de manière accidentelle ou illicite. C’est plus large qu’une fuite : un rançongiciel qui chiffre une base clients est une violation même si rien n’a été copié, car les données sont devenues indisponibles ; c’est aussi le cas d’un e-mail envoyé aux mauvais destinataires ou d’un ordinateur portable non chiffré perdu. Tout incident de sécurité n’est pas une violation de données personnelles, car certains n’en concernent aucune, et toute violation n’est pas à notifier. Selon l’article 33 du RGPD, le responsable du traitement la notifie à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes ; chaque violation doit être documentée dans tous les cas. Décidez avec votre DPO. À partir de l’offre Starter, NetSenX prépare pour votre DPO un projet de notification au titre de l’article 33 à partir des données de l’incident ; l’évaluation du risque et l’envoi restent de votre ressort.

Le responsable du traitement décide pourquoi et comment les données personnelles sont traitées ; le sous-traitant les traite pour son compte et sur ses instructions. Lorsque votre entreprise recourt à un service de sécurité pour surveiller son réseau, elle est normalement responsable du traitement des données réseau, et l’éditeur est sous-traitant. Le responsable porte les obligations principales : base légale, transparence envers les personnes concernées, réponse à leurs demandes, décision de notifier une violation. Le sous-traitant doit suivre vos instructions documentées, garantir la confidentialité et la sécurité, ne recourir à des sous-traitants ultérieurs qu’avec votre autorisation, vous aider en cas de violation et de demande, et restituer ou supprimer les données à la fin. Un contrat, généralement appelé accord de traitement des données, le prévoit. Les rôles dépendent des faits, pas des étiquettes : un éditeur qui utilise vos données à ses propres fins devient responsable pour cet usage. Pour NetSenX, TriStiX S.L. agit comme sous-traitant et votre organisation comme responsable du traitement, comme l’indique l’accord publié.

Il exige des mesures adaptées au risque, pas une liste fermée. Le responsable du traitement et le sous-traitant doivent mettre en œuvre des mesures techniques et organisationnelles tenant compte de l’état des connaissances, des coûts de mise en œuvre, de la nature et de la finalité du traitement, ainsi que de la probabilité et de la gravité du préjudice pour les personnes. Le RGPD donne des exemples : la pseudonymisation et le chiffrement, la capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir les données après un incident et une procédure pour tester et évaluer régulièrement les mesures. Une entreprise doit donc décider, documenter et réexaminer ce qui convient à ses propres données, et pouvoir le justifier. Savoir remarquer une violation en fait partie, car on ne peut ni notifier ni contenir ce que l’on ne voit pas, et une violation se révèle souvent par une activité réseau inhabituelle. NetSenX peut être l’une de ces mesures : dans chaque offre, il détecte le beaconing, les scans, les mouvements latéraux et les volumes sortants inhabituels. Le caractère adapté de l’ensemble reste votre appréciation.

Selon le RGPD, seulement dans certains cas : les autorités publiques, et les organisations dont les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes ou en un traitement à grande échelle de catégories particulières de données, comme les données de santé. Beaucoup d’entreprises moyennes n’entrent pas dans ces cas, mais le droit national peut en ajouter. En Allemagne, l’article 38 du BDSG impose un délégué lorsque, en règle générale, au moins 20 personnes sont employées en permanence au traitement automatisé de données personnelles, ainsi que dans d’autres cas. Vérifiez le droit de votre pays. Même sans obligation, quelqu’un doit être responsable de la protection des données, et un contact désigné aide quand un délai de notification court. Si vous en désignez un, il doit être associé en temps utile aux questions de protection des données, agir de manière indépendante et rendre compte au plus haut niveau de la direction. Un outil de sécurité ne change rien à l’obligation, même si la surveillance réseau est un sujet qu’il doit examiner. À partir de l’offre Starter, NetSenX prépare un projet de notification de violation au titre du RGPD pour la personne qui tient ce rôle.

En général oui, tant que la surveillance est nécessaire à la sécurité et proportionnée, et que vous documentez la mise en balance. Le RGPD autorise le traitement nécessaire aux intérêts légitimes du responsable, à moins que les droits des personnes concernées ne prévalent, et ses considérants citent la sécurité des réseaux et de l’information comme un tel intérêt, dans la mesure strictement nécessaire et proportionnée. Il s’agit donc de rédiger une courte mise en balance : ce que vous surveillez et pourquoi, pourquoi des moyens moins intrusifs ne suffiraient pas, quelles garanties vous appliquez et combien de temps vous conservez les données. Surveiller des métadonnées à la recherche de signes d’attaque ne pèse pas comme lire le contenu des messages ou observer le comportement d’individus. Informez les salariés dans votre information au personnel et vérifiez le droit du travail national, qui peut exiger une consultation ou un accord avec les représentants du personnel. NetSenX est conçu pour garder cet équilibre du côté prudent : il enregistre des métadonnées, ne déchiffre jamais le trafic et rend compte de l’usage de l’IA par appareil et par programme plutôt que par personne. L’analyse juridique reste la vôtre.

Pour les violations les plus graves, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, selon l’article 83, paragraphe 5, du RGPD. Ce plafond supérieur couvre les manquements aux principes de base, à la base légale, aux droits des personnes et aux transferts internationaux. Un plafond inférieur vise d’autres obligations, comme la sécurité du traitement et la notification des violations, avec des maximums plus bas fixés dans le même article. Ce sont des plafonds, pas un barème : l’autorité décide au cas par cas, en tenant compte de la nature, de la gravité et de la durée du manquement, de son caractère délibéré ou négligent, des mesures prises pour limiter le dommage, des manquements antérieurs et de la coopération. L’amende n’est qu’une conséquence ; l’autorité peut aussi ordonner l’arrêt du traitement, et les personnes peuvent demander réparation. Ce qui réduit l’exposition, c’est une diligence ordinaire et démontrable : connaître ses traitements, des mesures de sécurité documentées, une procédure de violation qui fonctionne et des notifications à temps. NetSenX aide sur un point, repérer tôt une violation et, à partir de l’offre Starter, préparer le projet de notification ; il ne supprime pas le risque d’amende.

Le règlement sur la résilience opérationnelle numérique (DORA), règlement (UE) 2022/2554, est la loi européenne qui vise à rendre les banques, assureurs, entreprises d’investissement, établissements de paiement et autres entités financières capables de résister aux pannes technologiques et aux cyberattaques, et de s’en remettre. Il s’applique directement dans chaque État membre et repose sur quelques piliers : un cadre de gestion du risque lié aux TIC dont l’organe de direction est responsable ; la classification et la notification des incidents majeurs liés aux TIC à l’autorité compétente ; des tests réguliers de résilience opérationnelle numérique, avec des tests de pénétration fondés sur la menace pour certaines entités ; la gestion du risque lié aux prestataires tiers de services TIC, avec des exigences contractuelles et une stratégie de sortie ; et le partage volontaire d’informations sur les menaces. Pour les prestataires désignés comme critiques par les autorités européennes de surveillance, DORA ajoute une surveillance directe. Pour une entité financière, DORA est la règle spéciale et prime sur les règles générales de NIS2 là où elles se recoupent. Si vous fournissez des services TIC à des entités financières, attendez-vous à voir DORA arriver par les contrats et les questionnaires. NetSenX n’est pas un outil DORA en soi ; sa détection peut soutenir le volet surveillance d’un cadre de gestion du risque TIC.

Il fait peser la responsabilité ultime de la gestion du risque lié aux TIC sur l’organe de direction, qui ne peut pas la transférer à un service informatique ou à un prestataire. Selon DORA, l’organe de direction définit, approuve et supervise le cadre de gestion du risque lié aux TIC et répond de sa mise en œuvre. Concrètement, il approuve la stratégie de résilience opérationnelle numérique et les politiques qui la sous-tendent, fixe et réexamine le budget, approuve les accords avec les prestataires tiers de services TIC et la politique de recours à ceux-ci, est informé des incidents majeurs et de leurs conséquences, et tient à jour ses propres connaissances par la formation. Pour les dirigeants, c’est une obligation de gouvernance qu’un superviseur peut examiner : procès-verbaux, documents approuvés et preuves que les rapports ont été lus et suivis d’effet. Demandez à votre fonction conformité comment votre organisation documente ces décisions et reportez-vous aux orientations du superviseur national pour le détail. NetSenX ne joue aucun rôle dans cette gouvernance, mais ses alertes et ses rapports de conformité PDF, à partir de l’offre Starter, peuvent être l’une des sources d’information de l’organe de direction.

Le règlement sur la cyberrésilience (CRA), règlement (UE) 2024/2847, est la loi européenne sur la sécurité des produits comportant des éléments numériques : matériels et logiciels qui se connectent à un appareil ou à un réseau, des routeurs et caméras aux applications et systèmes d’exploitation vendus dans l’UE. Il impose des obligations aux fabricants, et des obligations plus légères aux importateurs et distributeurs. Les produits doivent être conçus en pensant à la sécurité, mis sur le marché sans vulnérabilité exploitable connue et avec une configuration sûre par défaut, et recevoir des mises à jour de sécurité pendant une période d’assistance définie par le fabricant. Les fabricants doivent traiter les vulnérabilités de façon structurée, documenter les composants utilisés et signaler les vulnérabilités activement exploitées et les incidents graves, comme le prévoit l’article 14. Certaines catégories, comme les produits de sécurité et les équipements réseau, relèvent d’une évaluation de la conformité plus stricte, et les produits qui satisfont aux exigences portent le marquage CE. Les dates d’application de chaque partie figurent dans ses dispositions finales. Si vous ne faites qu’acheter et utiliser des produits, le CRA vous aide surtout : attendez des fournisseurs des durées d’assistance et des engagements de mise à jour plus clairs.

Oui, s’ils mettent un logiciel sur le marché de l’UE en tant que produit : applications installables, micrologiciels, systèmes d’exploitation, bibliothèques commercialisées et applications mobiles sont des produits comportant des éléments numériques, et la société qui les met à disposition sous son nom est le fabricant. Les obligations comprennent une évaluation des risques, la sécurité dès la conception et par défaut, le traitement et la correction des vulnérabilités pendant la période d’assistance, la documentation des composants, des informations et instructions de sécurité pour les utilisateurs et le signalement des vulnérabilités activement exploitées et des incidents graves au titre de l’article 14. Les logiciels libres et open source développés ou fournis en dehors d’une activité commerciale sont en grande partie hors du champ du règlement, et les organisations qui soutiennent des projets open source destinés à un usage commercial, appelées gestionnaires de logiciels open source, ont des obligations plus légères. Un logiciel développé uniquement pour votre usage interne n’est pas mis sur le marché. Si vous vendez des logiciels, commencez par recenser vos produits, leurs périodes d’assistance et votre processus de traitement des vulnérabilités, et lisez le règlement pour le détail. NetSenX n’évalue pas la conformité de vos logiciels.

En général pas à un service en ligne pur, mais il peut atteindre la partie cloud d’un produit. Le CRA vise les produits comportant des éléments numériques mis sur le marché. Un logiciel fourni uniquement comme service sur internet, sans produit installé par le client, en est en principe exclu ; la sécurité de ces services relève surtout de NIS2 lorsque le fournisseur y est soumis. Le CRA couvre toutefois aussi le traitement de données à distance qu’un fabricant conçoit comme partie d’un produit, lorsque le produit ne pourrait pas remplir l’une de ses fonctions sans lui : le back-end cloud d’une caméra connectée ou d’une sonde réseau livrée avec un agent en sont des exemples typiques. Une société qui vend à la fois un composant installable et un service cloud peut donc avoir des obligations CRA pour l’ensemble. Distinguez les parties de votre offre installées chez les clients de celles qui ne tournent que chez vous, et lisez attentivement les définitions du règlement. NetSenX, qui livre des agents avec un service cloud, se pose la même question.

Une nomenclature logicielle (SBOM, software bill of materials) est une liste lisible par machine des composants d’un logiciel, comme les bibliothèques et leurs versions, un peu comme une liste d’ingrédients. Elle permet à un fabricant, et à toute personne à qui il la transmet, de savoir rapidement si une vulnérabilité nouvellement publiée touche un produit. Le CRA impose aux fabricants d’identifier et de documenter les composants de leurs produits, notamment en établissant une SBOM dans un format couramment utilisé et lisible par machine, couvrant au moins les dépendances de premier niveau. Elle fait partie de la documentation technique ; le règlement n’impose pas au fabricant de la publier, mais les autorités peuvent la demander. Si vous achetez des logiciels, demandez aux fournisseurs s’ils tiennent une SBOM et comment ils s’en servent pour suivre les vulnérabilités, plutôt que d’exiger le fichier lui-même. Les formats courants sont CycloneDX et SPDX. NetSenX ne génère pas de SBOM pour vos produits, et une sonde réseau ne voit pas quelles bibliothèques se trouvent dans une application.

Le règlement sur l’intelligence artificielle, règlement (UE) 2024/1689, est la loi européenne qui encadre les systèmes d’IA selon le risque qu’ils présentent. Quelques pratiques sont interdites, comme la notation sociale et certains usages de la reconnaissance des émotions au travail. Les systèmes à haut risque, listés par domaine, comme l’IA utilisée pour le recrutement, la gestion des travailleurs, les décisions de crédit ou comme composant de sécurité d’infrastructures critiques, doivent satisfaire à des exigences de gestion des risques, de qualité des données, de documentation, de contrôle humain, d’exactitude et de sécurité, avant et après leur mise sur le marché. Certains systèmes sont soumis à des obligations de transparence, par exemple indiquer qu’on parle à un agent conversationnel. La plupart des autres IA, comme les filtres anti-spam, n’ont pas d’obligation particulière. Des règles distinctes visent les modèles d’IA à usage général. Les obligations pèsent sur les fournisseurs, qui développent et mettent les systèmes sur le marché, et sur les déployeurs, qui les utilisent à titre professionnel. Depuis le 2 février 2025, l’article 4 impose aux uns et aux autres de prendre des mesures concernant la maîtrise de l’IA de leur personnel, ce qui, depuis sa modification en juillet 2026, signifie la favoriser plutôt que garantir un niveau précis pour chaque personne ; les autres parties s’appliquent par étapes. Vérifiez auprès de votre fournisseur dans quelle catégorie entre son système.

En général non, mais cela dépend de ce que l’outil décide et à propos de qui. Les catégories à haut risque se définissent par l’usage, pas par la technologie : l’IA utilisée notamment pour recruter, promouvoir, surveiller ou évaluer des travailleurs, apprécier la solvabilité ou servir de composant de sécurité dans la gestion d’infrastructures critiques. Un outil qui repère le trafic d’un logiciel malveillant entre appareils ne relève pas en soi de ces usages. Il s’en rapproche lorsque ses résultats servent à évaluer le comportement ou la performance de salariés individuels, ou lorsqu’il sert de composant de sécurité, par exemple d’un réseau énergétique. Posez donc deux questions à chaque outil de sécurité : évalue-t-il des personnes ou des machines, et que se passe-t-il automatiquement à partir de ses résultats ? Demandez au fournisseur sa propre classification et son raisonnement. NetSenX est conçu pour observer des appareils et des connexions plutôt qu’évaluer des personnes, et rend compte de l’usage de l’IA par appareil et par programme, pas par personne. Sa page sur la transparence de l’IA décrit où il utilise l’IA et ce qui reste sous votre contrôle ; utiliser les alertes pour juger le personnel serait votre décision et demanderait sa propre analyse.

Quelques-unes, et elles s’appliquent quelle que soit la catégorie de risque. Les personnes doivent être informées qu’elles interagissent avec un système d’IA, comme un agent conversationnel de service client, sauf si c’est évident. Les fournisseurs de systèmes qui génèrent du son, des images, des vidéos ou du texte synthétiques doivent marquer les résultats dans un format lisible par machine, afin qu’ils soient détectables comme générés artificiellement. Les déployeurs qui publient des hypertrucages doivent indiquer que le contenu est artificiel, et ceux qui publient des textes générés par IA sur des questions d’intérêt public doivent aussi le signaler, sauf si une personne les a relus et en assume la responsabilité éditoriale. Les déployeurs de systèmes de reconnaissance des émotions ou de catégorisation biométrique doivent informer les personnes exposées. Pour une entreprise, les étapes pratiques sont un inventaire des endroits où l’IA dialogue avec les clients ou produit des contenus publiés, une mention claire à ces endroits et la vérification que les fournisseurs marquent leurs résultats. Ces obligations s’appliquent à la date fixée dans les dispositions finales du règlement. NetSenX publie sa propre page de transparence sur l’IA pour les fonctions d’IA de son service.

Que la protection de la vie privée doit être intégrée à la façon dont vous configurez un système et à ses réglages par défaut, et non ajoutée après une plainte. Dès la conception signifie que lorsque vous choisissez et paramétrez un outil, vous mettez en place des mesures adaptées au risque, comme la pseudonymisation, la minimisation des données et le contrôle d’accès. Par défaut signifie que, dès l’installation, seules les données personnelles nécessaires à chaque finalité sont traitées, conservées pas plus longtemps que nécessaire et non rendues accessibles à un nombre indéterminé de personnes. Pour un outil de sécurité, les questions pratiques sont : collecte-t-il du contenu ou seulement des métadonnées, pouvez-vous limiter qui voit quoi, combien de temps les relevés sont-ils conservés, et des personnes extérieures à l’équipe de sécurité voient-elles les noms des appareils des salariés ? L’obligation pèse sur le responsable du traitement : documentez vos choix au déploiement. Les réglages par défaut de NetSenX vont dans le même sens : il enregistre des métadonnées plutôt que du contenu, ne déchiffre jamais le trafic, conserve les alertes pendant l’historique de l’offre et rend compte de l’usage de l’IA par appareil et par programme plutôt que par personne ; les rôles d’équipe sont disponibles dès l’offre Starter.

Les responsables du traitement et les sous-traitants doivent tenir un registre écrit, éventuellement électronique, de leurs activités de traitement et le mettre à disposition de l’autorité de contrôle sur demande. Pour un responsable, chaque entrée décrit les finalités, les catégories de personnes et de données personnelles, les destinataires, les éventuels transferts hors de l’UE avec leurs garanties, si possible les délais d’effacement prévus et une description générale des mesures de sécurité. Les sous-traitants tiennent un registre plus court des traitements qu’ils effectuent pour chaque responsable. Les organisations plus petites, sous un seuil d’effectif fixé par le RGPD, sont dispensées dans certains cas, mais pas lorsque le traitement n’est pas occasionnel, ce qui vaut pour presque toute surveillance réseau continue, ni lorsqu’il est susceptible de comporter un risque ou porte sur des catégories particulières de données. Inscrivez donc la surveillance de sécurité comme une activité de traitement à part entière : finalité, données collectées, qui y accède, l’éditeur comme sous-traitant, lieu et durée de conservation. L’accord de traitement des données de NetSenX et sa liste de sous-traitants ultérieurs vous donnent les informations sur l’éditeur pour cette entrée ; le registre lui-même reste à tenir par vous.

Chacun vise un objet différent, si bien qu’une même entreprise peut relever de plusieurs à la fois. NIS2 porte sur la cybersécurité des organisations de secteurs listés : mesures de gestion des risques, responsabilité de la direction et notification des incidents importants selon l’article 23. Le RGPD porte sur les données personnelles, où qu’elles soient traitées, y compris l’obligation de notifier les violations selon l’article 33. DORA est la règle spéciale des entités financières et prime sur NIS2 là où ils se recoupent. Le CRA porte sur les produits comportant des éléments numériques et oblige les sociétés qui les fabriquent et les vendent. Le règlement sur l’IA porte sur les systèmes d’IA et oblige leurs fournisseurs et déployeurs selon le risque. Une attaque par rançongiciel contre un fournisseur d’hôpital peut donc déclencher le même jour une notification NIS2 et une notification RGPD, et la faille de produit en cause peut faire l’objet du signalement CRA du fabricant. Établissez quelles lois vous concernent, qui pilote chacune et comment un même dossier d’incident peut alimenter plusieurs notifications. NetSenX suit les délais NIS2 par incident et, à partir de l’offre Starter, prépare un projet RGPD ; il n’envoie rien.