Directive NIS2 : comment protéger vos systèmes et données RH ?

La directive NIS2, publiée au Journal Officiel de l’Union européenne en décembre 2022, marque un tournant pour les organisations qui gèrent des données RH. Le texte introduit de nouvelles obligations sur la sécurité des systèmes, la gestion des accès et la continuité d’activité. Pour les équipes RH et SIRH, l’enjeu est d’adapter leurs pratiques pour garantir la fiabilité des informations et limiter les risques liés aux nouveaux usages numériques.

La digitalisation des RH a multiplié les points d’accès aux données collaborateurs : SIRH, cloud, applications mobiles, portails salariés… Autant d’opportunités que de portes ouvertes aux cyberattaques. Or ces données telles que les salaires, contrats, évaluations ou encore dossiers personnels figurent parmi les plus sensibles de l’entreprise.

Avec l’arrivée de la directive NIS2, la protection des systèmes RH ne dépend plus seulement de bonnes pratiques internes. Les obligations réglementaires se renforcent et touchent désormais les organisations comme leurs prestataires. Voici les principes clés et les bonnes pratiques pour renforcer la sécurité informatique de votre écosystème RH.

Comprendre la directive européenne NIS2 : origines, calendrier et périmètre

Initiée par la Commission européenne, la directive NIS2 remplace la précédente directive NIS pour apporter un cadre de protection beaucoup plus robuste à vos systèmes d’information. Voici les repères fondamentaux de cette nouvelle directive NIS pour bien appréhender ce son cadre réglementaire :

• Un calendrier précis : publiée au Journal officiel de l’Union européenne en décembre 2022, la nouvelle directive fixe un délai d’application clair. Les États membres ont jusqu’au 17 octobre 2024 pour achever sa transposition en droit national.
• Un périmètre élargi : le texte cible désormais un éventail beaucoup plus large de secteurs critiques. L’assujettissement repose sur des critères précis de taille et de chiffre d’affaires, avec une attention particulière portée sur les moyennes entreprises et les grandes structures.
• Une classification claire : la réglementation catégorise les organisations en deux groupes distincts : les entités essentielles et les entités importantes. Cette approche permet d’adapter les exigences au niveau de criticité de chaque structure.

Parallèlement à ces lignes directrices, des cadres spécifiques comme le Digital Operational Resilience Act (DORA) s’articulent avec NIS2 pour couvrir les acteurs financiers. Ces exigences partagent un objectif commun : maintenir la continuité de vos opérations et garantir une protection des données personnelles optimale.

La gouvernance évolue également de manière significative. Désormais, les entités telles que le conseil d’administration et la direction générale portent une responsabilité directe et personnelle en cas de non-respect des règles. Pour éviter toute sanction, les équipes dirigeantes doivent valider et piloter un plan d’action exhaustif, plaçant la cybersécurité (et la politique de sécurité) au cœur de la stratégie d’entreprise.

En cas de manquement, des sanctions administratives et financières peuvent être prononcées : les autorités compétentes peuvent infliger des amendes pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel de l’entité, selon le montant le plus élevé. De plus, des mesures restrictives ou correctives – telles qu’une mise sous surveillance, des injonctions ou la suspension temporaire de certaines activités – peuvent être ordonnées. Ces sanctions sont conçues pour protéger l’écosystème, mais elles peuvent aussi porter atteinte à la réputation et à la viabilité de l’organisation sur le long terme.

L’importance de la sécurité informatique dans l’écosystème RH

La sécurité informatique ne consiste pas seulement à protéger un serveur ou à installer un antivirus. C’est tout un ensemble de pratiques, d’outils et de réflexes destinés à garantir que les données restent entre de bonnes mains.

Une vision globale, pas seulement technique

Sécuriser un SIRH correspond à la fois à une question d’infrastructure et d’organisation. Cela suppose de contrôler les accès, d’encadrer les habilitations, de chiffrer les échanges et d’assurer des sauvegardes fiables. Mais surtout, cela demande une culture partagée de la sécurité : un mot de passe trop simple ou un fichier envoyé par mail peut parfois suffire à créer une faille.

Sécurité informatique et cybersécurité : deux facettes d’un même sujet

La cybersécurité et la sécurité informatique sont souvent confondues :

• La cybersécurité se concentre sur la réponse aux menaces extérieures (virus, phishing, ransomwares).
• La sécurité informatique, elle, englobe tout le reste : la gouvernance, les processus internes, la conformité RGPD et la formation des utilisateurs. Dans un environnement RH, elle vise autant à prévenir les attaques qu’à garantir la continuité des services et la confiance des collaborateurs.

Les fondamentaux de la sécurité informatique à connaître

Trois principes guident toute démarche :

• La confidentialité : seules les personnes autorisées doivent accéder aux données collaborateurs.
• L’intégrité : les informations ne doivent pas être altérées ou supprimées sans contrôle.
• La disponibilité : les outils RH doivent rester opérationnels à tout moment, surtout la paie.

A retenir

La conformité NIS2 ne concerne pas uniquement la DSI. Les équipes RH et SIRH jouent un rôle central : elles maîtrisent les données, les accès et les usages quotidiens. Structurer ces pratiques, documenter les incidents et collaborer avec la DSI devient indispensable pour répondre aux obligations du texte et protéger la fiabilité des données collaborateurs