Innovation
Faire entrer des investisseurs au capital : étapes juridiques pour structurer l'ouverture
Sécurité du SI : définition juridique et obligations en entreprise
Points clés de l'article
- La sécurité du SI désigne l'ensemble des mesures techniques, organisationnelles et juridiques protégeant les systèmes d'information d'une entreprise.
- Le cadre réglementaire repose sur le RGPD, la directive NIS2, le règlement DORA et les recommandations de l'ANSSI.
- Le DSI porte des obligations de moyens documentées : cartographie des risques, politique de sécurité, gestion des accès, plan de continuité.
- Les contrats IT (SaaS, cloud, infogérance) doivent intégrer des clauses de sécurité des systèmes d'information précises et auditables.
- En cas d'incident, des délais de notification stricts s'appliquent (72 h RGPD, 24 h NIS2), assortis de sanctions financières.
- La gouvernance de la sécurité du SI suppose une coordination étroite entre DSI et direction juridique.
Besoin d'un juriste freelance ou d'un avocat ?
Accédez en -24h à un avocat d'affaires sélectionné parmi les meilleurs, à des honoraires maîtrisés.
✓ 250+ spécialistes✓ 500+ clients satisfaits✓ -30 à -50% moins cher qu'un cabinet
Sommaire
Définition de la sécurité du SI : technique, juridique, organisationnelle
Cadre réglementaire applicable : RGPD, NIS2, DORA, ANSSI
Obligations concrètes de l'entreprise et du DSI
Sécurité du SI dans les contrats IT et cloud
Gestion d'incident : notification, responsabilités, sanctions ANSSI
Articulation avec la gouvernance et la direction juridique
Définition de la sécurité du SI : technique, juridique, organisationnelle
La sécurité du SI désigne la protection de l'ensemble des ressources informatiques — matériels, logiciels, réseaux, données — contre les atteintes à leur confidentialité, leur intégrité et leur disponibilité. Cette trilogie, souvent résumée par l'acronyme CID, constitue le socle de toute politique de sécurité.
Sur le plan technique, elle recouvre le chiffrement des données, la gestion des accès, la détection d'intrusions et la sauvegarde. Sur le plan organisationnel, elle implique des procédures internes : classification des actifs, sensibilisation des collaborateurs, plans de continuité d'activité. Sur le plan juridique, elle traduit une obligation de moyens renforcée. L'article 32 du RGPD impose ainsi des « mesures techniques et organisationnelles appropriées » proportionnées au risque. La sécurité des systèmes d'information n'est donc pas un sujet exclusivement IT : c'est une exigence légale dont le non-respect engage la responsabilité de l'entreprise.
Pour le DSI, cette triple dimension signifie qu'un pare-feu ne suffit pas. Sans documentation des mesures prises, sans politique formalisée, la conformité juridique reste fragile, même si l'infrastructure technique est robuste.
Cadre réglementaire applicable : RGPD, NIS2, DORA, ANSSI
Plusieurs textes encadrent la sécurité du SI en France et en Europe. Leur articulation détermine les obligations du DSI.
| Texte | Périmètre | Obligation principale | Sanction maximale |
|---|---|---|---|
| RGPD (2018) | Toute entreprise traitant des données personnelles | Mesures techniques et organisationnelles adaptées au risque (art. 32) | 4 % du CA mondial ou 20 M€ |
| NIS2 (transposition 2024-2025) | Entités essentielles et importantes (énergie, santé, numérique, transports…) | Gestion des risques cyber, notification d'incidents sous 24 h | Jusqu'à 10 M€ ou 2 % du CA |
| DORA (janv. 2025) | Secteur financier (banques, assurances, prestataires IT critiques) | Résilience opérationnelle numérique, tests de pénétration | Sanctions administratives sectorielles |
| Référentiels ANSSI | Opérateurs d'importance vitale (OIV), administrations | Conformité aux règles de sécurité fixées par arrêtés sectoriels | Sanctions pénales possibles |
Le RGPD s'applique à toutes les entreprises. NIS2 élargit le périmètre de la directive NIS1 : environ 10 000 entités seront concernées en France, contre 500 auparavant, selon l'ANSSI. DORA cible spécifiquement la résilience du secteur financier. Ces textes se cumulent : une banque traitant des données personnelles doit respecter le RGPD, NIS2 et DORA simultanément.
La conformité réglementaire en cybersécurité exige une lecture croisée de plusieurs textes. Un accompagnement juridique spécialisé permet d'identifier les obligations applicables à chaque organisation.
Découvrir les avocats en cybersécurité sur Swim Legal
Obligations concrètes de l'entreprise et du DSI
Le DSI est le premier responsable opérationnel de la sécurité du SI. Ses obligations se déclinent en 4 axes :
- Cartographie des risques : identifier les actifs critiques, évaluer les menaces (ransomware, fuite de données, défaillance fournisseur) et documenter les mesures de réduction.
- Politique de sécurité (PSSI) : formaliser les règles d'accès, de chiffrement, de sauvegarde et de gestion des incidents. L'ANSSI recommande de structurer cette politique selon son guide d'hygiène informatique (42 mesures).
- Plan de continuité et de reprise d'activité (PCA/PRA) : garantir la disponibilité des systèmes critiques en cas de sinistre. NIS2 impose explicitement un plan de gestion de crise cyber.
- Sensibilisation et formation : 74 % des violations de données impliquent un facteur humain, selon le Data Breach Investigations Report 2023 de Verizon. Former les équipes reste la mesure la plus rentable.
Ces obligations sont des obligations de moyens documentées. En cas de contrôle ou de contentieux, l'entreprise doit prouver qu'elle a mis en œuvre des mesures proportionnées au risque identifié.
Sécurité du SI dans les contrats IT et cloud
Les contrats SaaS, d'infogérance ou de cloud computing constituent le prolongement contractuel de la sécurité des systèmes d'information. Le DSI doit s'assurer que les engagements du prestataire couvrent les exigences réglementaires.
| Clause | Contenu attendu | Risque en cas d'absence |
|---|---|---|
| Niveau de service (SLA) | Taux de disponibilité, temps de rétablissement | Aucune garantie de continuité |
| Localisation des données | Hébergement UE, transferts hors UE encadrés | Non-conformité RGPD (chapitre V) |
| Audit et droit d'accès | Droit d'audit annuel, accès aux logs | Impossibilité de vérifier la conformité |
| Notification d'incident | Délai de notification au client (ex. : 24 h) | Retard dans la notification réglementaire |
| Réversibilité | Format de restitution des données, délai | Dépendance fournisseur (vendor lock-in) |
| Sous-traitance | Liste des sous-traitants, clause d'agrément | Perte de contrôle sur la chaîne de traitement |
En pratique, les contrats cloud standard proposés par les éditeurs contiennent rarement des clauses d'audit ou de réversibilité adaptées. La négociation de ces clauses relève d'un travail conjoint entre le DSI et la direction juridique.
La négociation des clauses de sécurité dans les contrats IT nécessite une expertise juridique et technique combinée.
Consulter un avocat spécialisé en cybersécurité
Gestion d'incident : notification, responsabilités, sanctions ANSSI
Lorsqu'un incident de sécurité survient, le DSI doit activer un processus de réponse structuré. Les délais de notification varient selon le cadre applicable :
- RGPD : notification à la CNIL dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles (art. 33). Si le risque est élevé pour les personnes concernées, celles-ci doivent aussi être informées.
- NIS2 : alerte précoce à l'autorité compétente (ANSSI en France) dans les 24 heures, suivie d'un rapport détaillé sous 72 heures et d'un rapport final sous 1 mois.
- DORA : notification aux autorités de supervision financière selon un calendrier similaire.
Le non-respect de ces délais expose l'entreprise à des sanctions. En 2023, la CNIL a prononcé 42 sanctions, dont plusieurs liées à des défauts de sécurité. Le montant cumulé des amendes RGPD en Europe a dépassé 4 milliards d'euros depuis 2018, selon le GDPR Enforcement Tracker.
La responsabilité peut être partagée entre le responsable de traitement et ses sous-traitants. D'où la nécessité de clauses contractuelles précises sur la répartition des rôles en cas d'incident.
Articulation avec la gouvernance et la direction juridique
La sécurité du SI ne peut être pilotée par le DSI seul. Elle implique une gouvernance transversale associant direction générale, direction juridique, DPO et, le cas échéant, RSSI.
Le DSI apporte la vision technique et opérationnelle : état du parc, vulnérabilités, capacité de détection. La direction juridique qualifie les obligations légales, rédige ou négocie les clauses contractuelles et pilote les déclarations réglementaires. Le DPO assure la conformité des traitements de données personnelles.
Cette articulation se traduit concrètement par :
- Un comité de sécurité réunissant DSI, DJ et DPO, à fréquence trimestrielle au minimum.
- Une revue contractuelle conjointe des contrats IT critiques avant signature.
- Un plan de réponse aux incidents co-construit, précisant qui notifie, qui communique et qui documente.
NIS2 renforce cette exigence : la directive prévoit que les organes de direction de l'entité approuvent les mesures de gestion des risques cyber et peuvent voir leur responsabilité personnelle engagée en cas de manquement. Le sujet quitte définitivement le périmètre exclusif de la DSI pour devenir un enjeu de gouvernance d'entreprise.
L'alignement entre DSI et direction juridique sur la sécurité du SI conditionne la conformité réglementaire et la maîtrise des risques contractuels.
Trouver un avocat en cybersécurité sur Swim Legal
FAQ
Quelle est la différence entre sécurité du SI et cybersécurité ?
La sécurité du SI englobe la protection de l'ensemble du système d'information : données, applications, infrastructures, processus organisationnels et obligations juridiques. La cybersécurité se concentre sur la protection contre les menaces d'origine numérique (attaques, intrusions, malwares). La sécurité du SI est donc un périmètre plus large, incluant la cybersécurité comme composante technique.
Le DSI est-il personnellement responsable en cas de faille de sécurité ?
Le DSI n'est pas, en principe, personnellement responsable au sens juridique. La responsabilité incombe à l'entreprise en tant que responsable de traitement (RGPD) ou entité régulée (NIS2). Toutefois, NIS2 prévoit que les dirigeants approuvant les mesures de sécurité peuvent être tenus responsables. Le DSI peut aussi engager sa responsabilité contractuelle vis-à-vis de son employeur en cas de faute caractérisée.
Quels contrats IT doivent inclure des clauses de sécurité du SI ?
Tous les contrats portant sur des systèmes ou données critiques : contrats SaaS, cloud, infogérance, maintenance applicative, hébergement. Les clauses de sécurité doivent couvrir la disponibilité, la confidentialité, la notification d'incidents, l'audit et la réversibilité. Le RGPD impose en outre un contrat de sous-traitance conforme à l'article 28 pour tout prestataire traitant des données personnelles.
Comment savoir si mon entreprise est concernée par NIS2 ?
NIS2 s'applique aux entités essentielles et importantes dans 18 secteurs (énergie, transports, santé, numérique, eau, alimentation, etc.). Le critère principal est la taille : les entreprises de plus de 50 salariés ou réalisant plus de 10 M€ de chiffre d'affaires dans ces secteurs sont présumées concernées. L'ANSSI publiera la liste définitive des entités régulées lors de la transposition française.
Quel est le rôle de l'ANSSI dans la sécurité du SI des entreprises ?
L'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'autorité nationale en matière de cybersécurité. Elle publie des référentiels (guide d'hygiène, référentiel SecNumCloud), qualifie des prestataires de confiance et sera l'autorité de contrôle pour NIS2 en France. Elle intervient aussi en appui lors d'incidents cyber touchant des opérateurs critiques.
Pour aller plus loin
Cybersécurité des systèmes d'information - ANSSI
Guide de la sécurité des données personnelles - CNIL
Projet de loi résilience infrastructures critiques cybersécurité - Vie-publique.fr
SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.
