Si vous vivez dans l'UE, trois lois déterminent la rapidité avec laquelle une entreprise doit admettre avoir été piratée. Une comparaison 2026 de NIS2, DORA et du RGPD examine le champ d'application, les délais d'incident de 24 heures et de 72 heures, les amendes dans une fourchette de 10 M€ à 20 M€, et les États membres qui avaient agi en novembre 2026. Cet article traduit cela en langage clair. La version courte de la notification des violations NIS2 DORA RGPD : les délais sont serrés, les sanctions sont lourdes, et les règles ne s'appliquent pas de la même manière dans chaque pays.

Ce que signifient réellement les délais de notification des violations NIS2, DORA et RGPD

Les deux chiffres qui ressortent de la comparaison sont 24 heures et 72 heures. Ce sont des délais qui commencent à courir dès qu'une organisation prend connaissance d'un incident grave. Ce ne sont pas des promesses que vous serez informé dans un délai d'un jour ou de trois.

En pratique, ces délais concernent principalement la notification par l'entreprise à un régulateur ou à une autorité de surveillance. Ce premier rapport permet aux responsables de voir si une attaque touche plusieurs organisations à la fois. Un premier délai plus court (24 heures) signifie généralement une alerte précoce, tandis qu'un délai plus long (72 heures) laisse le temps d'obtenir une vision plus complète de ce qui s'est passé. La comparaison source ne détaille pas chaque aspect de la manière dont chaque loi attribue ses délais, alors vérifiez le texte officiel de chaque règlement ou auprès de votre autorité nationale pour la formulation exacte.

Les trois lois couvrent également des domaines différents :

  • Le RGPD concerne les données personnelles et s'applique aux organisations qui traitent les données des personnes dans l'UE.
  • NIS2 concerne la sécurité des réseaux et des systèmes d'information dans des secteurs considérés comme importants pour la société.
  • DORA concerne la résilience opérationnelle numérique dans le secteur financier.

En raison de ce chevauchement, un seul incident peut déclencher plusieurs lois en même temps. Une cyberattaque contre une entreprise financière qui expose des données clients pourrait soulever des questions au titre des trois.

Quand une entreprise doit vous informer d'une violation : ce que cela signifie pour vous

C'est ici que les attentes doivent être ajustées. Un délai de 24 ou 72 heures ne signifie pas que votre boîte de réception s'illuminera le lendemain. Le premier rapport va généralement aux autorités, et la notification des personnes concernées est une étape distincte avec ses propres conditions. Ces conditions dépendent de la loi concernée et de la gravité du risque pour vous.

Ce que vous pouvez raisonnablement retenir du cadre :

  • Les régulateurs sont informés en premier. Attendez-vous à ce que le délai formel s'applique au rapport à l'autorité, et non à une annonce publique.
  • Les notifications précoces peuvent être incomplètes. Un premier rapport court peut omettre la cause, l'ampleur ou si vos données étaient concernées.
  • Vos droits découlent principalement du RGPD. C'est la loi centrée sur les données personnelles, donc c'est celle à consulter lorsque vous voulez savoir ce à quoi vous avez droit d'être informé.
  • Le secteur compte. Si votre banque, un prestataire de paiement ou un service essentiel est touché, les obligations NIS2 ou DORA peuvent s'appliquer en plus du RGPD.

Rien de tout cela ne remplace votre propre prudence. Même un système de notification bien géré laisse un écart entre un incident et votre notification, il est donc utile de changer les mots de passe, d'activer l'authentification multifacteur et de surveiller vos comptes pour détecter toute activité inhabituelle dès que vous entendez parler d'une violation.

Comment se comparent les amendes NIS2, DORA et RGPD

La comparaison présente les sanctions comme une fourchette allant de 10 M€ à 20 M€. Cette fourchette indique le sérieux avec lequel les législateurs traitent les délais manqués et la sécurité faible. Ne pas notifier à temps est en soi un manquement à la conformité, distinct de la violation.

Une mise en garde sur la précision. Le résumé source donne la fourchette globale mais pas une répartition ligne par ligne montrant quelle loi fixe quel chiffre. Nous n'allons pas deviner les montants par loi, car les structures de sanctions peuvent inclure différents plafonds, pourcentages du chiffre d'affaires et choix de mise en œuvre nationaux. Pour DORA en particulier, les détails peuvent dépendre de la manière dont chaque État membre fixe ses sanctions. Si vous avez besoin de chiffres exacts pour une loi particulière, lisez le règlement lui-même ou les orientations de votre autorité nationale.

Ce que la fourchette vous dit, c'est que les régulateurs disposent d'un véritable levier. Pour les entreprises qui doivent respecter plusieurs obligations qui se chevauchent, un incident mal géré peut créer plus d'un problème de conformité à la fois.

Comment vérifier si votre pays de l'UE a transposé NIS2 et DORA

La comparaison suit également quels États de l'UE avaient agi en novembre 2026, ce qui rappelle que les règles de l'UE n'entrent pas toujours en vigueur partout en même temps. NIS2 est une directive, chaque État membre doit donc la transposer en droit national, et les progrès peuvent varier d'un pays à l'autre. Des moyens pratiques de vérifier où en est le vôtre :

  1. Consultez l'autorité de cybersécurité de votre gouvernement national. Elle publie généralement l'état de la législation nationale NIS2 et indique qui doit s'enregistrer ou notifier.
  2. Regardez votre régulateur financier. Pour DORA, le superviseur financier national est la meilleure source sur la manière dont les règles s'appliquent aux banques, assureurs et entreprises de paiement.
  3. Vérifiez votre autorité de protection des données. Pour le RGPD, elle explique comment déposer une plainte et quels droits de notification vous avez.
  4. Lisez les textes officiels de l'UE. Les règlements et directives eux-mêmes sont le dernier mot sur les délais et le champ d'application.

Si votre pays a été lent, cela ne supprime pas le RGPD. Il s'applique dans toute l'UE depuis des années et reste votre outil le plus direct lorsque des données personnelles sont exposées.

Points clés à retenir

Comprendre la notification des violations NIS2 DORA RGPD se résume à quelques points : les délais de 24 heures et 72 heures régissent principalement les rapports aux régulateurs, les amendes sont substantielles, et la transposition nationale varie. Prenez quelques minutes cette semaine pour vérifier le statut NIS2 et DORA de votre propre pays, et révisez vos droits au titre du RGPD d'être informé et de déposer une plainte auprès de votre autorité de protection des données.

Si vous voulez voir comment un régime non européen traite des questions similaires, lisez notre article sur le UK Cyber Security Resilience Bill, qui intègre les infrastructures critiques dans un cadre national formel et traite ses propres obligations de notification d'incidents. Le comparer avec l'approche de l'UE montre comment différents gouvernements convergent vers une divulgation des violations plus rapide et plus structurée.