Cybermois : derrière chaque fuite de données, une vie privée fragilisée

Octobre est le Cybermois, l’occasion de rappeler que la cybersécurité n’est pas uniquement un sujet technique : elle est aussi une condition essentielle de la protection de notre vie privée.

Les fuites de données touchant des organismes publics et privés, à l’image des accès illégitimes au système d’information de la DGFiP révélés à l’été 2026, illustrent une réalité : aucune organisation n’est à l’abri. Et les conséquences d’une cyberattaque ne s’arrêtent pas aux frontières de son système informatique.

Les chiffres de Cybermalveillance.gouv.fr pour 2025 sont éloquents : les demandes d’assistance liées aux violations de données ont augmenté de 107 %, tous publics confondus. De son côté, l’ANSSI indique que 1 366 incidents de sécurité ont été portés à sa connaissance en 2025. À l’échelle européenne, l’ENISA confirme également la persistance de menaces telles que les rançongiciels, les compromissions de systèmes et les attaques visant les organisations.

Derrière ces chiffres, il y a des personnes. Un nom, une adresse, un numéro de téléphone, un identifiant ou un RIB exposés peuvent faciliter des tentatives d’hameçonnage ciblées, des usurpations d’identité ou certaines fraudes financières.

Les conséquences peuvent durer bien après la résolution de l’incident informatique : pertes financières, démarches administratives, inquiétude et perte de confiance.

Une fuite de données n’est donc pas seulement un problème informatique. Elle peut avoir des conséquences très concrètes sur la vie privée des personnes.

RGPD et cybersécurité : une même exigence de protection

Le RGPD est souvent associé au consentement, aux cookies ou aux règles de collecte et de conservation des données. Pourtant, la sécurité constitue l’un de ses piliers fondamentaux.

Son article 32 impose aux organismes de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques. Concrètement, cela signifie notamment contrôler qui peut accéder aux données, sécuriser les systèmes, sensibiliser les équipes et prévoir comment réagir en cas d’incident.

Lorsqu’une violation de données personnelles survient, l’organisme responsable doit la documenter. Si elle est susceptible de présenter un risque pour les droits et libertés des personnes, elle doit également être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais, sauf exceptions prévues par le règlement.

Ces obligations rappellent une chose essentielle : protéger les données personnelles ne consiste pas uniquement à encadrer leur collecte, leur utilisation ou leur conservation. Encore faut-il pouvoir les protéger contre les accès non autorisés, les pertes, les vols ou les destructions.

La protection des données et la cybersécurité sont donc indissociables : la première ne peut être pleinement effective sans la seconde.

Mais les conséquences d’une cyberattaque dépassent la seule question des données personnelles.

Un système informatique indisponible peut paralyser un hôpital, perturber le fonctionnement d’une collectivité, interrompre une chaîne de production ou empêcher l’accès à un service essentiel, même lorsqu’aucune donnée personnelle n’a été compromise.

C’est notamment pour répondre à ces enjeux qu’intervient la directive européenne NIS 2.

Là où le RGPD vise à protéger les droits et libertés des personnes dans le cadre du traitement de leurs données, NIS 2 poursuit un objectif complémentaire : renforcer la cybersécurité et la capacité des organisations à résister aux incidents, à y répondre et à poursuivre leurs activités.

Deux objectifs distincts, mais une même réalité : une organisation ne peut durablement protéger les personnes qu’en étant capable de protéger ses systèmes, ses informations et ses activités.

NIS 2 : qui est concerné et pourquoi ?

La directive NIS 2 élargit les obligations de cybersécurité à de nombreux secteurs : énergie, transports, santé, eau, banques, administrations publiques, infrastructures numériques, mais aussi agroalimentaire, industrie, services postaux ou gestion des déchets.

Son objectif est simple : renforcer la sécurité des organisations dont le fonctionnement joue un rôle important pour l’économie et la société.

En règle générale, elle concerne les entités moyennes et grandes exerçant certaines activités dans les secteurs visés. Mais la taille n’est pas le seul critère : certaines organisations peuvent être concernées indépendamment de leurs effectifs, notamment en raison de leur activité ou de leur importance.

Les organisations entrant dans son champ d’application sont classées en deux catégories : les entités essentielles et les entités importantes.

Cette distinction permet d’adapter les obligations de cybersécurité et les modalités de contrôle à leur catégorie.

Selon les critères applicables, des établissements de santé, des administrations, des entreprises industrielles ou des prestataires numériques peuvent ainsi être concernés.

Au-delà des obligations réglementaires, l’enjeu est surtout de limiter les risques qu’une cyberattaque fasse peser sur les activités et sur les personnes qui en dépendent.

Pourquoi la transposition française est-elle complexe ?

La directive NIS 2 devait être transposée dans les droits nationaux au plus tard le 17 octobre 2024.

En France, sa transposition s’inscrit dans le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont l’examen parlementaire se poursuit en octobre 2026.

Cette démarche nécessite notamment de préciser les organismes concernés, d’articuler les nouvelles obligations avec les réglementations existantes et de définir les modalités concrètes de leur application.

Pour les organisations, le défi est tout aussi opérationnel : identifier les systèmes informatiques essentiels, maîtriser les accès, sécuriser les relations avec les prestataires, prévoir la continuité des activités et se préparer à gérer les incidents.

Ces actions demandent du temps, des compétences et des investissements. Elles doivent aussi être adaptées à la taille de l’organisation, à ses activités et aux risques auxquels elle est exposée.

Pour accompagner cette préparation, l’ANSSI met à disposition le Référentiel Cyber France (ReCyF), actuellement diffusé en version de travail.

Ce référentiel propose des objectifs et des mesures de sécurité pour aider les organisations à anticiper les exigences de NIS 2. Il constitue un outil utile pour structurer leur démarche, même si son contenu peut encore évoluer avec la finalisation du cadre réglementaire français.

Ailleurs en Europe, plusieurs pays ont déjà transposé la directive, selon des calendriers différents.

La Belgique dispose d’une législation entrée en vigueur en octobre 2024 et propose notamment le cadre CyberFundamentals pour accompagner les organisations. L’Italie a adopté son dispositif en 2024, tandis que les principales dispositions allemandes sont entrées en vigueur en décembre 2025.

Ces exemples montrent que la transposition n’est qu’une première étape : l’efficacité du dispositif dépend aussi de la clarté des exigences, des outils mis à disposition et de la capacité des organisations à les appliquer concrètement.

Le retard réglementaire ne doit pas retarder la préparation

Faut-il attendre la finalisation des textes pour améliorer sa cybersécurité ? Certainement pas.

Identifier les risques, sécuriser les accès, maintenir des sauvegardes fiables, mieux encadrer les prestataires, sensibiliser les équipes et préparer la gestion des incidents sont des mesures utiles, indépendamment de toute obligation réglementaire.

Elles permettent de limiter les conséquences d’une cyberattaque, de protéger les informations et de préserver la continuité des services.

Il ne s’agit donc pas simplement d’être conforme à un texte ou de cocher des cases. Il s’agit d’intégrer la cybersécurité dans le fonctionnement quotidien des organisations, leurs décisions budgétaires, leur gouvernance et leurs responsabilités.

Car une cyberattaque n’affecte pas uniquement un service informatique. Elle peut toucher des salariés, des clients, des patients, des usagers, des partenaires et, plus largement, toutes les personnes qui dépendent des services de l’organisation.

Le Cybermois doit nous rappeler une évidence : la cybersécurité est une condition de confiance, de continuité des services et de respect de la vie privée.

Derrière chaque donnée exposée, il y a une personne susceptible de subir les conséquences d’une défaillance qu’elle ne maîtrise pas.

La vraie question n’est donc plus seulement de savoir si notre organisation sera un jour confrontée à un incident, mais si elle sera suffisamment préparée pour en réduire les risques, y répondre et en limiter les conséquences.

Et vous, votre organisation aborde-t-elle encore la cybersécurité comme un sujet informatique, ou comme une responsabilité collective envers les personnes dont elle traite les données ?