Le Cybersecurity Act 2 a reçu le 18 mars 2026 l’avis conjoint 4/2026 des autorités européennes de protection des données. Les signataires sont le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (EDPS). Tous deux soutiennent la réforme. Ils posent toutefois des conditions précises, car la cybersécurité ne doit pas progresser aux dépens des personnes dont les données circulent dans les systèmes protégés.
L’avis vise deux textes publiés par la Commission européenne le 20 janvier 2026. Le premier est la proposition de règlement Cybersecurity Act 2 (CSA2). Le second modifie la directive NIS 2.
Ce que changent le Cybersecurity Act 2 et la révision de NIS 2
Le CSA2 renforce le rôle de l’Agence de l’Union européenne pour la cybersécurité (ENISA). Il facilite aussi l’adoption des certifications de cybersécurité. De son côté, la révision de NIS 2 encadre mieux les risques liés aux chaînes d’approvisionnement numériques, y compris les risques non techniques.
En France, la question reste concrète. Le délai de transposition de NIS 2 a expiré le 17 octobre 2024, et aucune loi n’est encore votée. Le gouvernement annonce l’examen du projet de loi Résilience à l’Assemblée nationale pour juillet 2026.
En attendant, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a diffusé le 17 mars 2026 la version 2.5 du référentiel ReCyF. L’agence le qualifie de document de travail. Les organismes concernés n’ont donc aucune raison d’attendre le vote pour aligner leur sécurité sur le futur cadre.
Les garanties demandées sur le Cybersecurity Act 2
Une ENISA encadrée lorsqu’elle traite des données personnelles
D’abord, les autorités veulent limiter ce que le conseil d’administration de l’ENISA décide seul. Selon l’avis, il ne doit fixer que des détails techniques du traitement de données personnelles. De plus, il doit consulter l’EDPS avant d’adopter ces règles. L’avis propose enfin que l’EDPS puisse saisir directement l’ENISA pour avis, comme le CEPD.
Des certifications de cybersécurité articulées avec le RGPD
Ensuite, l’ENISA doit consulter le CEPD avant d’adopter un schéma de certification qui touche à la sécurité des traitements de données. Ces schémas intègrent, dans la mesure du possible, des mesures utiles pour démontrer le respect du RGPD. L’avis vise en particulier l’article 32, qui porte sur la sécurité du traitement. Il demande aussi à la Commission de clarifier le lien entre ces certifications et celles du RGPD.
Une certification muette sur l’article 32 oblige l’entreprise à prouver deux fois la même sécurité. Nous approuvons donc cette demande sans réserve.
Un point d’entrée unique pour notifier les incidents
La mesure la plus attendue concerne les incidents. Les deux autorités soutiennent un point d’entrée unique pour notifier les incidents qui touchent des données personnelles.
Aujourd’hui, une organisation soumise à NIS 2 victime d’une cyberattaque notifie d’abord la Commission nationale de l’informatique et des libertés (CNIL), au titre de l’article 33 du RGPD. Elle signale ensuite l’incident à l’autorité NIS 2, en France l’ANSSI. Résultat : un seul incident, deux formulaires et deux délais à suivre.
Sécurité et protection des données : une relation à double sens
L’avis rappelle que la cybersécurité protège les données personnelles contre les accès non autorisés. En retour, les contrôles de sécurité ne doivent pas porter atteinte aux droits des personnes. Les mesures restent donc nécessaires et proportionnées. Elles respectent aussi le principe de minimisation de l’article 5 du RGPD.
Par exemple, un outil de surveillance du réseau qui garde tout, sans durée ni finalité définies, pose un problème RGPD. Il améliore pourtant la sécurité.
Les autorités saluent enfin un ajout. Les fournisseurs de portefeuilles européens d’identité numérique deviennent des « entités essentielles » au sens de NIS 2. Le texte vise aussi les portefeuilles européens pour les entreprises. Ces acteurs relèveront ainsi des obligations de sécurité les plus strictes.
Ce que le DPO peut préparer dès maintenant
L’avis confirme une convergence déjà visible sur le terrain. En effet, la conformité RGPD et la conformité NIS 2 reposent sur les mêmes preuves de sécurité. Votre organisme figure parmi les entités essentielles ou importantes ? Intégrez alors la dimension NIS 2 dans vos analyses d’impact (AIPD).
Le guichet unique n’existe pas encore. Vérifiez donc dès aujourd’hui votre procédure de violation. Elle désigne la personne chargée de notifier la CNIL sous 72 heures et celle qui informe les personnes au titre de l’article 34. Le signalement à l’ANSSI y figure aussi, avec les informations communes aux deux démarches.
Notre tutoriel sur la notification d’une violation détaille le circuit côté CNIL. Dans DPO Suite, le registre des violations réunit ces éléments au même endroit. Vous évitez ainsi de reconstituer l’incident pour chaque autorité.
Documentez enfin cette articulation dans votre registre des traitements, en particulier pour les traitements de sécurité eux-mêmes : journaux, supervision, filtrage.
Sources
Le CEPD met en ligne l’avis complet : EDPB-EDPS Joint Opinion 4/2026 on the Proposal for a Cybersecurity Act 2 and the Proposal on amendments to the NIS 2 Directive.
Son communiqué résume les recommandations : EDPB and EDPS support strengthening EU’s cybersecurity and easing compliance while protecting individuals’ personal data.
Next décrit la transposition française et le ReCyF : NIS 2 : l’ANSSI publie son ReCyf, la CSNP s’impatiente et le fait savoir.
