DORA
(DIGITAL
OPERATIONAL
RESILIENCE ACT)

Accord provisoire le 11 mai 2022, elle rentrera en vigueur au plus tard en janvier 2025 en France. Règlement UE 2020-0266

• Obligation pour toutes les entités financières de veiller à pouvoir résister à tous les types de perturbations et de menaces liées aux technologies de l’information.
• Obligation pour toutes les entités financières d’assurer un cadre très solide. Elles seront testées grâce à des tests de pénétrations réalisés par les états membres de l’UE.

NIS2
(NETWORK AND
INFRASTRUCTURE
SECURITY 2)

Adoptée le 10 novembre 2022, elle rentrera en vigueur en juillet 2024 en France au plus tard. Règlement UE 2022-2555.

• Obligation pour les entreprises des secteurs critiques de mettre en place une politique d’analyse des risques et de sécurité des systèmes d’information.
• Obligation pour les entreprises des secteurs critiques de signaler tous les incidents importants dans les 24h aux équipes nationales de sécurité informatique après avoir pris connaissance de l’incident.

Décret NIS
(NETWORK AND
INFRASTRUCTURE
SECURITY)

Décret n°2018-384 du 23 mai 2018.

• Définition de la liste des services essentiels. Ces entreprises doivent alors déclarer leurs réseaux et systèmes d’informations, respecter les règles de sécurité définit, déclarer les incidents et sont contrôlés par l’état.
• Définition de la liste des fournisseurs de services numériques. Ces entreprises doivent définir des représentants sur le territoire national, respecter les règles de sécurité définit, déclarer les incidents et sont contrôlés par l’état.

HDS
(HEBERGEMENT DE DONNéES DE SANTé
à caractère personnel)

Décret n°2018-137 du 26 février 2018.

• Définitions des règles sur les données de santé. Il précise le champ des activités d’hébergement qui sont soumises à un agrément délivré par le ministre ou à une certification :
• Toute personne morale à l’origine de la production ou du recueil de ces données doit recourir à un hébergeur certifié ou agréé lorsqu’il externalise la conservation des données dont il est responsable.
• L’hébergeur doit assurer une protection et un maintien en condition opérationnelle des sites physiques.

NIS
(NETWORK AND
INFRASTRUCTURE
SECURITY)

Adoptée le 6 juillet 2016. Elle rentrera en vigueur progressivement pour tous les états membres. Règlement UE 2016-1148.

• Obligation de définition d’une stratégie nationale commune entre tous les états membres en matière de sécurité des réseaux et des systèmes d’information.
• Création d’un réseau des centres de réponses aux incidents de sécurité informatique (CSIRT) pour renforcer la confiance entre les états membres.
• Liste les exigences en matière de sécurité et de notification pour les opérateurs de services essentiels et les fournisseurs de service numérique.

RGPD
(Réglement général sur la protection des données)

Adoptée le 27 avril 2016. Réglement UE 2016-679.

• Protection des droits fondamentaux et en particulier leur droit à la protection des données à caractère personnel.
• Définition des données personnelles : Toutes information se rapportant à une personne physique identifiée ou identifiable.
• Principes de mise en application : Collecter les données vraiment nécessaires, transparence, facilitation de l’exercice des droits des personnes, définition de la durée de conservation, sécurisation et identification des risques.

RGS
(Référentiel général de sécurité)

Adoptée le 8 décembre 2005, Ordonnance n°2005-1516.

• Définition des autorités administratives : Les collectivités territoriales, les administrations de l’état, les établissements publics à caractère administratif, les organismes gérants des régimes de protection sociale ou de gestion d’un service public administratif et certaines commissions autour du droit au logement.
• Les règles aujourd’hui encore en place et non abrogées définissent la sécurisation des informations échangées par voie électronique et l’interopérabilité des services.

ISO/CEI 27001 (Information security management systems)

Standard créé le 15 octobre 2005 par l’organisme international de normalisation ISO et par la commission électrotechnique internationale CEI.

• Définition de la politique et du périmètre d’application.
• Identification et évaluation des risques pour élaborer une politique de sécurité.
• Définition des quatre traitements possibles de chaque risque identifié.
• Sélection des mesures de sécurité à mettre en place.