CRA, NIS2, RGPD : quelle différence, et lequel me concerne ?
Trois sigles, trois règlements européens, une seule question qui revient sans cesse : « est-ce que ça s'applique à moi, et lequel exactement ? »
La confusion est normale — les trois textes parlent de cybersécurité et de données. Mais ils ne régulent pas la même chose, et la différence change tout pour savoir qui est concerné.
L'objet réglementé change tout
Le plus simple pour s'y retrouver : chaque texte protège quelque chose de différent.
- RGPD → protège les données personnelles des individus, quel que soit votre secteur ou votre taille
- NIS2 → régule la cybersécurité des organisations, dans certains secteurs critiques et à partir d'une certaine taille
- CRA → régule la cybersécurité des produits numériques que vous vendez, quel que soit votre secteur ou votre taille
Trois angles différents. Une entreprise peut être concernée par un seul, deux, ou les trois — ce n'est pas un choix entre eux.
RGPD — qui est concerné
Quasiment tout le monde. Dès que vous traitez des données personnelles — une liste de clients, un formulaire de contact, des comptes utilisateurs — le RGPD (règlement (UE) 2016/679) s'applique, peu importe votre taille ou votre secteur.
Ce n'est pas une question de produit vendu — c'est une question de données traitées.
NIS2 — qui est concerné
Plus restrictif qu'on ne le pense souvent. La directive NIS2 (UE) 2022/2555 cible les organisations qui opèrent dans l'un des 18 secteurs jugés critiques (énergie, santé, transport, infrastructures numériques, administrations publiques…), et qui dépassent généralement un seuil de taille — environ 50 salariés ou 10 millions d'euros de chiffre d'affaires pour le seuil le plus bas.
Quelques exceptions existent pour certains fournisseurs (DNS, infrastructures numériques critiques) quelle que soit leur taille — mais ce sont des cas particuliers, pas la norme.
Conséquence concrète pour un petit éditeur de logiciel : sauf à opérer spécifiquement dans un de ces secteurs et à dépasser ces seuils, NIS2 ne s'applique généralement pas. C'est un texte souvent mal évalué dans les deux sens : certains se croient concernés par excès de prudence, en le confondant avec le RGPD ou le CRA ; d'autres s'excluent à tort, faute de connaître précisément la liste des 18 secteurs couverts.
À noter : contrairement au RGPD et au CRA, NIS2 est une directive, pas un règlement — chaque État membre la transpose dans sa propre loi nationale. Les détails peuvent donc varier légèrement d'un pays à l'autre.
CRA — qui est concerné
Aucun seuil de taille, aucune restriction sectorielle. Le Cyber Resilience Act (règlement (UE) 2024/2847) s'applique à tout produit comportant des éléments numériques, connecté, distribué dans le cadre d'une activité commerciale — dès la plus petite structure. Même un logiciel gratuit peut être concerné, voir notre article dédié. Attention toutefois : encore faut-il qu'il s'agisse d'un produit installable (application, extension, objet connecté) — un SaaS pur, accessible uniquement via navigateur, en sort généralement (voir notre article sur les éditeurs de logiciels pour le détail du critère).
C'est le texte qui touche le plus directement les petits éditeurs de logiciels, précisément parce qu'il ne prévoit pas d'exception liée à la taille de l'entreprise. (Détail complet dans notre premier article sur le sujet.)
Le cas typique d'un petit éditeur SaaS
Pour situer les trois d'un coup d'œil :
| Règlement | Petit éditeur SaaS classique |
|---|---|
| RGPD | Concerné — dès qu'il y a des comptes utilisateurs ou une liste de clients |
| NIS2 | Généralement non concerné — sauf secteur critique et taille suffisante |
| CRA | Dépend du mode de diffusion — concerné si un composant est installé chez l'utilisateur (desktop, mobile, extension) ; probablement hors champ si SaaS pur, 100 % navigateur |
Dès qu'il y a un composant installé chez l'utilisateur, l'éditeur doit composer avec RGPD et CRA en parallèle — deux textes complémentaires, pas concurrents. Le RGPD encadre ce que vous faites des données ; le CRA encadre la sécurité du produit qui les traite. Un éditeur en SaaS pur, lui, reste soumis au RGPD mais sort généralement du champ du CRA — à vérifier plutôt du côté de NIS2, selon la taille de l'entreprise.
Et s'ils se chevauchent ?
Les trois textes sont conçus pour coexister, pas pour s'annuler. Une entreprise soumise à NIS2 qui vend aussi un produit numérique reste soumise au CRA pour ce produit. Un éditeur qui respecte le CRA doit quand même respecter le RGPD séparément pour les données qu'il traite — l'un ne dispense pas de l'autre.
Toujours un doute sur votre cas CRA précis ?
RGPD et NIS2 dépassent le cadre de cet article — mais pour le CRA, spécifiquement, le diagnostic gratuit CRA Kit répond en 10 minutes, sur la base de votre situation réelle.
Démarrer le diagnostic gratuit →Cet article est fourni à titre informatif et ne constitue pas un avis juridique.
Retour au guide