Réglementation numérique européenne : vers une conformité intégrée, proportionnée et transfrontalière

L’Union européenne s’appuie principalement sur deux types d’instruments juridiques.

Les règlements, tels que le RGPD, DORA, ou l’IA Act, sont directement applicables dans les États membres. Ils constituent un cadre commun, applicable sans qu’une loi nationale de transposition soit nécessaire. Leur mise en œuvre peut néanmoins requérir des mesures nationales, notamment pour désigner les autorités compétentes, organiser les contrôles ou préciser le régime des sanctions.

Les directives, comme NIS2 et la directive REC, doivent, quant à elles, être transposées dans le droit de chaque État membre. Elles fixent un objectif commun, mais permettent aux États de déterminer les secteurs et entités qui s’avèrent importantes, ou essentielles, selon la structure du tissu économique du pays.

Cette différence est déterminante pour les organisations. Un règlement impose un socle juridique directement applicable à l’échelle européenne, tandis qu’une directive nécessite de suivre attentivement les textes nationaux de transposition et les orientations des autorités compétentes.

La directive NIS2 illustre particulièrement bien les difficultés de mise en œuvre rencontrées par les groupes internationaux. Elle étend le champ des organisations concernées et distingue notamment les entités essentielles et les entités importantes.

Cette qualification ne résulte pas uniquement du secteur d’activité ou de la criticité perçue d’une organisation. Elle dépend de plusieurs facteurs : la nature des services fournis, le secteur ou sous-secteur concerné, la taille de l’entité, les critères nationaux applicables et, dans certains cas, une désignation par l’autorité compétente.

Au sein des multinationales présentes dans plusieurs pays, une filiale peut ainsi être soumise à un régime différent de celui d’une autre filiale exerçant une activité proche. De même, une holding ou une maison mère, ne relève pas automatiquement du même statut que ses entités opérationnelles. L’analyse doit donc être conduite au niveau de chaque entité juridique, de ses activités réelles, de ses services et de son implantation géographique.

Cette situation n’est pas exclusive aux directives européennes. Les multinationales notamment le secteur bancaire sont soumis à des règlements extraterritoriaux tels que le FATCA, le Cloud Act ou encore de DFS 500 (législations des Etats-Unis).

Cette situation impose de concilier deux exigences : construire un cadre groupe homogène, tout en conservant la capacité de prendre en compte les spécificités réglementaires locales.

Notre conviction :

Dans ce contexte réglementaire de plus en plus étoffé et complexe, une proposition d’approche serait de distinguer les directives et règlements que l’on pourrait qualifier de sectoriels des autres réglementations que l’on pourrait qualifier à destination de projets.

La distinction entre réglementations sectorielles et réglementations applicables aux projets constitue une première grille de lecture utile, mais elle ne suffit pas à couvrir la réalité des obligations européennes.

Certains textes visent prioritairement des entités ou des secteurs spécifiques. C’est notamment le cas de NIS2, de la directive REC et de DORA. Ces textes s’intéressent à la continuité, à la résilience, à la gestion des risques, à la sécurité des systèmes d’information et à la supervision de certaines organisations.

D’autres textes ont une portée plus transverse. Le RGPD concerne les traitements de données personnelles, qu’ils soient mis en œuvre dans le cadre d’un projet, d’un processus métier, d’une relation client, d’une activité de ressources humaines ou d’une relation avec un fournisseur. De la même manière, le règlement IA peut concerner à la fois des produits, des systèmes d’intelligence artificielle développés en interne, des solutions achetées auprès de fournisseurs et des projets de déploiement.

Une approche pertinente consiste donc à analyser les obligations selon plusieurs axes complémentaires :

• les entités juridiques et les secteurs d’activité concernés ;
• les activités, produits et services fournis ;
• les données collectées, utilisées ou transférées ;
• les systèmes d’information et les technologies mobilisées ;
• les projets et processus métiers ;
• les fournisseurs, sous-traitants et prestataires critiques ;
• les pays dans lesquels le groupe exerce ses activités.

La multiplication des réglementations européennes ne doit pas conduire à la création de dispositifs indépendants et redondants. L’objectif doit être de bâtir une conformité intégrée, fondée sur une cartographie des risques et des obligations applicables.

Cette démarche suppose notamment de proportionner les mesures de sécurité et de conformité à la criticité des activités, aux impacts potentiels, aux ressources disponibles et aux exigences réglementaires.

Elle implique également de rationaliser les processus. L’intégration de la sécurité, de la protection des données, de la gestion des risques et de la conformité dans les projets doit intervenir dès les phases de conception. La gestion des tiers doit, elle aussi, être renforcée : contractualisation, évaluation de sécurité, exigences de continuité, suivi des sous-traitants et gestion des dépendances critiques deviennent des composantes centrales de la conformité.

Enfin, cette gouvernance ne peut pas relever des seuls services de cybersécurité. Elle doit associer les directions métiers, juridique, conformité, risques, achats, systèmes d’information, protection des données et direction générale. La conformité réglementaire devient ainsi un enjeu de gouvernance d’entreprise, au même titre que la maîtrise des risques financiers ou opérationnels.

Le droit européen du numérique évolue vers un modèle plus exigeant, dans lequel protection des données, cybersécurité, résilience opérationnelle, maîtrise des fournisseurs et gouvernance des technologies sont étroitement liés.

Pour les organisations, l’enjeu ne consiste plus seulement à identifier les textes applicables. Il s’agit de les traduire en un cadre opérationnel cohérent, proportionné et adapté à la réalité de chaque entité, activité, projet et territoire. Cette approche intégrée est indispensable pour répondre efficacement aux exigences européennes tout en évitant une conformité fragmentée, coûteuse et difficile à piloter.