Guides · Mis à jour en août 2026
NIS 2 et RGPD : quelle différence, et pourquoi DPO et RSSI travaillent ensemble
Réponse courte : le RGPD protège les données personnelles — celles de vos clients, salariés, usagers — où qu'elles soient. NIS 2 protège la sécurité de vos systèmes et la continuité de vos activités, données personnelles ou non. Deux objets différents, deux autorités différentes (la CNIL d'un côté, l'ANSSI de l'autre), mais une même méthode de fond : analyser ses risques, prendre des mesures proportionnées, pouvoir en rendre compte. C'est pour cela que la comparaison revient sans cesse — et qu'elle est utile plutôt que confuse, si on la fait proprement.
La comparaison vient du régulateur lui-même
Ce n'est pas une image de consultant : Emmanuel Naëgelen, directeur adjoint de l'ANSSI, présentait NIS 2 en ces termes : « l'esprit est d'aller vers une cybersécurité de masse […] C'est une directive aussi ambitieuse que le RGPD. » Et l'échelle suit : « nous allons passer de 500 opérateurs régulés, que nous suivons de manière assez fine à l'ANSSI, à plus de 10 000 ». Comme le RGPD en 2018, NIS 2 fait passer un sujet d'expert au statut d'obligation ordinaire d'entreprise — avec la période d'apprentissage collectif que cela suppose.
Ce qui les distingue, côte à côte
| RGPD | NIS 2 | |
|---|---|---|
| Ce qui est protégé | Les données personnelles et les droits des personnes | La sécurité des réseaux et systèmes, la continuité de l'activité |
| Qui est concerné | Quiconque traite des données personnelles, quelle que soit sa taille | Les entités des 18 secteurs visés, au-dessus de seuils de taille — le détail des seuils |
| Autorité en France | CNIL | ANSSI |
| Figure interne | DPO (délégué à la protection des données) | RSSI, ou la personne qui en tient le rôle |
| Logique commune | Approche par les risques, mesures proportionnées, gouvernance impliquée, capacité à rendre compte | |
Un même incident peut d'ailleurs relever des deux : une intrusion qui paralyse la production (sujet NIS 2) et exfiltre un fichier clients (sujet RGPD). C'est le sens de la formule de Naëgelen : « DPO et RSSI ont sacrément intérêt à se serrer les coudes s'ils ne veulent pas se faire passer par-dessus bord par les pirates. »
La bonne nouvelle : votre RGPD a déjà déblayé le terrain
Si votre entreprise a fait sérieusement son RGPD, une partie de la méthode NIS 2 existe déjà : une cartographie de vos traitements et systèmes, une habitude de l'analyse de risques, une gouvernance qui a appris à documenter, un réflexe de notification d'incident. Ce capital méthodologique se réutilise — ce que le DPO a appris à faire pour les données, il sait l'expliquer au RSSI pour les systèmes, et réciproquement. Le point de départ côté NIS 2, sans gros budget : par où commencer l'analyse de risque.
Reste le socle technique, que le RGPD n'imposait qu'indirectement — et sur lequel l'ANSSI est lucide : « ce sont des mesures basiques, mais qui ne sont pas, hélas, complètement généralisées ». C'est là que NIS 2 mord réellement.
Deux conformités, une seule discipline de preuve
Dans les deux cas, la conformité qui compte est celle qui se montre : datée, documentée, opposable à un tiers qui la demande. NewShield applique cette discipline au versant NIS 2 — progression structurée sur le référentiel public, et attestation vérifiable quand un client, un assureur ou une administration pose la question.
Découvrir NewShield et voir une attestation type →
Pour aller plus loin
Ce guide est informatif et ne constitue ni un conseil juridique ni une certification officielle ; pour l'articulation précise des deux régimes dans votre situation, rapprochez-vous d'un conseil spécialisé. Citations issues de la presse professionnelle citée, propos datés. Contenus rédigés avec assistance IA, revus avant publication par l'éditeur.