Règlements, directives, normes, référentiels et certifications : AI Act, RGPD, NIS 2, DORA, CRA, ISO 27001, ANSSI, PCI DSS et FIPS, lus pour ce qu'ils imposent vraiment.
Un texte réglementaire se lit rarement par plaisir. On le lit parce qu’un client l’exige, parce qu’un auditeur arrive, ou parce qu’une amende a été évoquée en réunion par quelqu’un qui ne l’avait pas lu non plus. Cette rubrique rassemble les pages du site qui partent d’un texte précis (un règlement, une directive, une norme, une certification) et disent ce qu’il impose, à qui, à partir de quand, et ce qu’il ne garantit pas.
Tous ces textes n’ont pas la même force, et les confondre est la première erreur. Un règlement européen s’applique tel quel dans tous les États membres : c’est le cas du RGPD, de l’AI Act, de DORA et du Cyber Resilience Act. Une directive, comme NIS 2, fixe un résultat et laisse chaque État écrire sa loi de transposition ; il faut donc lire aussi le droit national. Une norme, comme ISO 27001, n’est obligatoire pour personne tant qu’un contrat ou un donneur d’ordre ne l’exige pas, ce qui arrive plus souvent qu’on ne le souhaiterait. Une certification, délivrée au regard d’une norme comme ISO 27001, atteste qu’un organisme tiers a vérifié un périmètre donné, à une date donnée, et rien au-delà.
Cinq ensembles composent la rubrique. L’AI Act y a son dossier complet, article par article, du calendrier d’application aux sanctions. Le RGPD est abordé par ce qu’il change à l’architecture : les contrôles techniques qu’il impose et l’analyse d’impact. Le dernier groupe réunit NIS 2, DORA, le Cyber Resilience Act et ISO 27001, avec les délais de notification d’incident qui les traversent tous. Une organisation relève souvent de plusieurs textes à la fois : la page sur l’articulation entre l’AI Act, NIS 2, le CRA et le RGPD sert à ne pas faire quatre fois le même travail, ni à en oublier un quart.
Les référentiels de l’ANSSI forment le quatrième : le guide d’hygiène informatique et ses 42 mesures, socle que personne ne conteste et que peu appliquent en entier, la méthode d’analyse de risque EBIOS RM, et la qualification SecNumCloud des prestataires d’informatique en nuage. Ce sont des référentiels et non des lois : ils ne s’imposent que lorsqu’un texte, un donneur d’ordre ou un contrat y renvoie. La fiche de l’agence reste rangée avec les autres organismes. Le cinquième ensemble traite des certifications qu’on lit sur une fiche produit : ce qu’un audit PCI DSS vérifie autour d’un module cryptographique matériel, et ce qu’un certificat FIPS 140-3 ou Critères Communs garantit, à savoir une version précise d’un produit précis, ce qui est déjà quelque chose.
Une précision de méthode : aucune de ces pages ne remplace le texte. Elles citent les articles, datent ce qui est entré en application et signalent ce qui ne l’est pas encore. Un texte change, un calendrier glisse, une transposition tarde : la référence reste le Journal officiel, qui a sur cette rubrique l’avantage décisif de faire foi.
Une organisation qui ne sait pas de quels textes elle relève l’apprend par un tiers : un client qui joint un questionnaire au contrat, une autorité qui demande une notification déjà hors délai, un auditeur qui réclame une preuve que personne n’a conservée. Les obligations découvertes à ce moment-là portent sur une architecture déjà construite, et chaque mise en conformité revient alors à défaire avant de refaire. L’erreur inverse coûte aussi cher : prendre une norme volontaire pour une obligation légale, ou un certificat pour une garantie de sécurité, conduit à financer des documents plutôt que des contrôles, et à se croire couvert par un périmètre de certification qui ne contenait pas le système compromis.
Cette rubrique rassemble les pages qui expliquent des textes officiels sur l’informatique. Il en existe plusieurs sortes. Un règlement européen est une loi qui s’applique de la même façon dans tous les pays de l’Union européenne : le RGPD protège les données personnelles, l’AI Act encadre les systèmes d’intelligence artificielle, DORA concerne la solidité informatique des banques et des assurances, et le Cyber Resilience Act la sécurité des produits connectés. Une directive, comme NIS 2, fixe un objectif commun, puis chaque pays écrit sa propre loi pour l’atteindre. Une norme, comme ISO 27001, est une méthode rédigée par un organisme de normalisation : personne n’est obligé de la suivre, sauf si un client ou un contrat le demande. Une certification est une vérification faite par un organisme indépendant, qui confirme qu’une entreprise respecte une liste d’exigences sur une partie précise de son activité. Chaque page de la rubrique dit qui est concerné par le texte, ce qu’il oblige à faire, à partir de quelle date, et ce qu’il ne promet pas. Aucune page ne remplace le texte officiel : en cas de doute, c’est lui qu’il faut lire.
