Cybersécurité : les règles et les bons réflexes pour protéger vos données

« Aujourd'hui tout est numérique, et ce qui ne l'est pas le sera bientôt. »

C'est par cette formule que l'Agence nationale de la sécurité des systèmes d'information (ANSSI) alertait sur la protection des données lors du Mois de la cybersécurité 2018. Elle n'avait pas tort. Fin septembre 2018, Facebook venait de subir une cyberattaque touchant près de 29 millions d'utilisateurs, et le RGPD était entré en application quelques mois plus tôt.

Chaque mois d'octobre, le Cybermois, piloté en France par Cybermalveillance.gouv.fr, revient sur ces enjeux. Mais la sécurité numérique ne se limite pas à un mois de sensibilisation : les règles se sont multipliées, et les attaques visent désormais autant les PME que les grands groupes. Faisons le point sur ce que la loi impose, et sur les réflexes à adopter toute l'année.

Le RGPD : késaco ?

Le Règlement général sur la protection des données (RGPD) s'applique depuis le 25 mai 2018 dans toute l'Union européenne. Et d'ailleurs, il concerne qui ? Vous d'abord, dès que vous visitez un site qui collecte des données personnelles à votre sujet : un site e-commerce, un blog qui vous envoie sa newsletter, un service de livraison de repas, une plateforme administrative… Et bien évidemment toutes les entreprises qui éditent ces fameux sites.

Et ça sert à quoi ?

Dans l'absolu, à protéger toutes les informations personnelles vous concernant qui se baladent sur internet. Plus précisément, le RGPD vous donne le contrôle sur ces informations, autrefois recueillies de manière très floue via une minuscule case à cocher. Vous devez désormais être informé de manière claire et précise, et pouvoir accéder à vos données. Le RGPD impose aussi aux entreprises des obligations strictes en matière de collecte, de traitement, de conservation et de sécurité des données.

Du côté des utilisateurs

• Lorsque la collecte repose sur votre consentement, celui-ci doit être obtenu de manière claire, sans ambiguïté.
• Vous pouvez accéder aux données qui vous concernent et faire corriger celles qui sont erronées.
• Vous pouvez demander la limitation du traitement et récupérer vos données pour les transmettre à un autre service (droit à la portabilité).
• Vous pouvez vous opposer à certains traitements, notamment à la prospection commerciale.
• Vous pouvez retirer votre consentement à tout moment et demander l'effacement de vos données, le fameux « droit à l'oubli ».

Du côté des entreprises

• Répertoriez les données que vous collectez, les moyens de collecte et les traitements associés : c'est le rôle du registre des traitements.
• Assurez-vous que ces informations sont réellement nécessaires à votre activité, et ne les conservez pas plus longtemps que nécessaire.
• Informez vos visiteurs : pourquoi collectez-vous ces données ? Combien de temps sont-elles conservées ? Comment peuvent-ils exercer leurs droits ?
• Assurez la sécurité des données. Vous êtes responsable de leur protection, y compris lorsqu'elles sont hébergées ou traitées par un prestataire.
• En cas de violation de données présentant un risque pour les personnes, prévenez la CNIL dans les 72 heures.

De la directive NIS à NIS 2

Autre grand chantier européen : la directive NIS (Network and Information System Security). Adoptée en 2016 et transposée en France en 2018, elle visait à harmoniser les politiques de cybersécurité des États membres et à renforcer la protection des acteurs les plus sensibles : les opérateurs de services essentiels et certains fournisseurs de services numériques.

Sa remplaçante, la directive NIS 2, adoptée fin 2022, change d'échelle. Elle concerne des milliers d'entités en France, réparties dans 18 secteurs, classées en entités essentielles et importantes. Les entreprises d'au moins 50 salariés ou réalisant plus de 10 millions d'euros de chiffre d'affaires dans un secteur visé sont généralement concernées. Parmi les obligations prévues :

• des mesures de gestion des risques, y compris pour la sécurité de la chaîne d'approvisionnement ;
• le signalement des incidents importants, avec une première alerte sous 24 heures ;
• l'implication de la direction, qui doit valider et superviser les mesures de sécurité.

En France, la transposition passe par le projet de loi dit « Résilience », adopté par le Sénat en 2025 mais toujours en discussion à l'Assemblée nationale en octobre 2026. Vérifiez où en est le texte, et testez dès maintenant votre situation avec le simulateur MonEspaceNIS2 de l'ANSSI. Et même si votre entreprise n'est pas directement visée, vos clients concernés vous demanderont sans doute des garanties de sécurité dans leurs contrats.

Le Cyber Resilience Act, pour les logiciels et les objets connectés

Dernier texte en date, le règlement européen sur la cyberrésilience (Cyber Resilience Act) vise les produits comportant des éléments numériques : objets connectés, logiciels, applications mobiles… Depuis le 11 septembre 2026, leurs fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves. La plupart des autres obligations, comme la sécurité dès la conception ou la fourniture de mises à jour de sécurité, s'appliqueront à partir du 11 décembre 2027.

Les bons réflexes pour sécuriser votre site ou votre application

Les règles fixent des objectifs. Sur le terrain, la sécurité repose sur quelques réflexes simples, et surtout réguliers :

• Mettez à jour votre CMS, vos modules et vos composants. Une grande partie des attaques exploite des failles connues, déjà corrigées par les éditeurs. Une maintenance applicative régulière évite de laisser s'installer une dette technique risquée.
• Protégez les accès : double authentification sur les comptes d'administration, droits limités au strict nécessaire, suppression des accès des anciens collaborateurs et prestataires.
• Sauvegardez, de préférence hors du serveur principal, et testez régulièrement la restauration.
• Surveillez votre trafic. Lors d'un audit de sécurité d'une boutique Prestashop, nous avons relevé jusqu'à 285 000 requêtes par jour, dont plusieurs dizaines de milliers provenaient de robots et de scanners de vulnérabilités. Les journaux du serveur en disent souvent long.
• Collectez moins : une donnée que vous ne stockez pas ne peut pas fuiter. C'est aussi l'esprit du RGPD.
• Faites auditer votre site ou votre application, surtout après un incident ou avant une évolution importante. C'est le cœur de notre accompagnement en sécurité applicative.

En bref

Correctement appliqués, ces règlements se complètent pour mieux protéger vos données personnelles. Aucune protection n'est toutefois infaillible, et certains réflexes restent indispensables, côté utilisateurs comme côté entreprises. Et la lecture des fameuses « conditions d'utilisation » n'échappe pas à la règle !

Pour aller plus loin, le site de l'ANSSI propose des guides de bonnes pratiques, pour les particuliers comme pour les entreprises. Cybermalveillance.gouv.fr accompagne les victimes et propose des fiches pratiques, et Francenum.gouv.fr aide les TPE et PME dans leur transformation numérique.