Conformité des ESN : RGPD, AI Act, NIS2 & DORA

Pourquoi le secteur « Entreprises de services numériques (ESN) » est concerné

L’ESN est simultanément exposée par sa propre activité et par celle de ses clients. Lorsqu’elle infogère un système d’information ou assure une TMA, elle accède à des données personnelles pour le compte du client : elle est sous-traitant RGPD. Lorsqu’elle développe une brique d’IA livrée sous sa marque, elle devient fournisseur au sens de l’AI Act. Lorsqu’elle opère des services gérés, elle relève de la « gestion de services TIC » explicitement visée par NIS2.

La position de fournisseur de services aggrave la responsabilité : une ESN est un point d’entrée privilégié des attaques de la chaîne d’approvisionnement, précisément le risque que NIS2 cherche à réduire. Un incident chez l’ESN se propage mécaniquement à l’ensemble de ses clients.

Enfin, dès qu’une ESN compte des banques, assureurs ou autres entités financières parmi ses clients, DORA s’invite par voie contractuelle : ces clients doivent encadrer leurs prestataires TIC par des clauses précises, tenir un registre d’information et, pour les plus critiques, faire l’objet d’une supervision européenne directe.

NIS2 — la gestion de services TIC en première ligne

NIS2 vise nommément les fournisseurs de services gérés et la gestion de services TIC (B2B). Au-delà du seuil « entité moyenne » (≥ 50 salariés ou > 10 M€), une ESN relève des entités importantes, voire essentielles selon son rôle. Elle doit déployer les mesures de gestion des risques de l’article 21, notifier les incidents et impliquer sa direction.

Le sujet le plus sensible pour une ESN est la sécurité de la chaîne d’approvisionnement, dont elle est elle-même un maillon critique pour ses clients.

Obligations clés

• Mesures de gestion des risques (art. 21) : accès, chiffrement, MFA, continuité.
• Notification des incidents significatifs par étapes.
• Sécurisation de la chaîne d’approvisionnement.
• Implication et responsabilité de la direction.

RGPD — l’ESN comme sous-traitant

En infogérance, TMA ou hébergement, l’ESN traite des données personnelles pour le compte de ses clients : elle est sous-traitant et doit signer un DPA conforme à l’article 28, sécuriser les traitements, encadrer ses sous-traitants ultérieurs et les transferts hors UE.

Pour ses propres traitements (personnel, recrutement, prospection), elle est responsable de traitement.

Obligations clés

• DPA article 28 avec chaque client.
• Traitement sur instruction documentée.
• Encadrement des sous-traitants ultérieurs et transferts hors UE.
• Assistance du client pour les droits et les violations.

AI Act — fournisseur ou déployeur selon le livrable

Une ESN qui développe et livre une solution d’IA sous sa marque est fournisseur et supporte les obligations lourdes (documentation technique, gestion des risques, transparence, évaluation de conformité). Si elle se contente d’exploiter des outils tiers, elle est déployeur, aux obligations plus légères.

La qualification s’apprécie livrable par livrable : une même ESN peut être fournisseur sur un projet et déployeur sur un autre.

Obligations clés

• Qualifier le statut (fournisseur/déployeur) par projet.
• Documentation technique pour les systèmes livrés.
• Transparence et supervision humaine.
• Traçabilité contractuelle des responsabilités IA avec le client.

DORA — prestataire TIC d’entités financières

Lorsque l’ESN sert des entités financières, elle devient prestataire TIC tiers au sens de DORA. Ses clients doivent encadrer la relation par des clauses contractuelles précises (sécurité, audit, réversibilité, sous-traitance) et l’inscrire à leur registre d’information. Une ESN jugée critique peut être placée sous la supervision directe des autorités européennes.

Anticiper ces exigences est devenu un avantage commercial : les entités financières sélectionnent en priorité les prestataires « DORA-ready ».

Obligations clés

• Clauses contractuelles DORA (audit, réversibilité, sécurité, sous-traitance).
• Coopération au registre d’information du client.
• Notification et coopération en cas d’incident TIC.
• Préparation à une éventuelle supervision (prestataire critique).

Data Act & CRA — selon les services et l’édition

Si l’ESN fournit des services de traitement de données (cloud managé), le Data Act lui impose de faciliter le changement de fournisseur et la portabilité. Si elle édite et met sur le marché des composants logiciels, le Cyber Resilience Act la qualifie de fabricant : sécurité dès la conception, gestion des vulnérabilités, SBOM et notification.

Obligations clés

• Portabilité et switching pour les services cloud (Data Act).
• Sécurité by design et gestion des vulnérabilités pour les composants édités (CRA).

Vue comparée des réglementations

Comment ces réglementations s’articulent

Pour une ESN, tout converge vers la sécurité et la maîtrise de la chaîne d’approvisionnement. Les mesures NIS2 (article 21), les exigences de sécurité du RGPD (article 32), les clauses DORA et, le cas échéant, les obligations CRA partagent un socle commun : politique de sécurité, gestion des accès, journalisation, gestion des vulnérabilités, plan de continuité. Construire ce socle une fois, puis le décliner par texte, évite de multiplier les chantiers.

La difficulté propre à l’ESN est contractuelle : chaque client lui impose ses propres exigences (DPA RGPD, clauses DORA, annexes sécurité NIS2). Standardiser une base contractuelle « conformité » réutilisable est le principal gain d’efficacité.

Calendrier d’application

• 1RGPD. En vigueur depuis mai 2018.
• 2DORA. Applicable depuis le 17 janvier 2025 (impacte l’ESN via ses clients financiers).
• 3AI Act. Interdictions depuis février 2025 ; haut risque à partir d’août 2026.
• 4NIS2. Transposition française en cours de finalisation ; anticiper dès maintenant.
• 5Data Act. Obligations majoritaires depuis le 12 septembre 2025.

Sanctions encourues

Les plafonds varient : NIS2 jusqu’à 10 M€ ou 2 % pour les entités essentielles (7 M€ ou 1,4 % pour les importantes), RGPD jusqu’à 20 M€ ou 4 %, AI Act jusqu’à 35 M€ ou 7 %. NIS2 introduit la responsabilité personnelle des dirigeants. Côté DORA, l’ESN n’est pas directement sanctionnée comme une entité financière, mais un prestataire critique placé sous supervision s’expose à des astreintes pouvant atteindre 1 % de son chiffre d’affaires journalier mondial moyen.

Le risque le plus tangible reste commercial : un défaut de conformité NIS2 ou DORA disqualifie l’ESN des appels d’offres de ses clients les plus régulés.

Feuille de route de mise en conformité

• 1Cartographier. Recenser les prestations (infogérance, TMA, cloud, dev IA), les données traitées et les clients régulés (finance).
• 2Bâtir le socle sécurité. Formaliser politique de sécurité, gestion des accès et des vulnérabilités, journalisation et continuité — servant NIS2, RGPD et DORA.
• 3Standardiser les contrats. Créer une base contractuelle « conformité » : DPA type, clauses DORA, annexes sécurité NIS2 réutilisables.
• 4Qualifier l’IA. Déterminer, par projet, le statut fournisseur/déployeur et produire la documentation requise.
• 5Piloter. Impliquer la direction, désigner DPO et RSSI (internes ou externalisés) et instaurer une revue périodique.

Comment Data Comply One accompagne le secteur

Data Comply One réunit RGPD, AI Act, NIS2 et DORA sur une plateforme unique, avec DPO et RSSI externalisés — une couverture qui correspond exactement au profil réglementaire d’une ESN. L’objectif : un socle de conformité mutualisé et des livrables contractuels réutilisables d’un client à l’autre.

DCO fournit également des modèles (DPA, clauses DORA, mesures NIS2, documentation AI Act) qui accélèrent la réponse aux exigences des clients régulés.

Questions fréquentes