Sécurité de l’information ou protection des données

Les formations à la protection des données enseignent comment traiter licitement les données personnelles selon le RGPD. Les formations à la sécurité de l’information ont une portée plus large et protègent toutes les informations et tous les systèmes d’une entreprise, même sans lien avec des personnes. Depuis décembre 2025, NIS2 s’applique en plus – mais seulement à environ 29 500 entités. Après cet article, vous saurez si votre entreprise a besoin d’une ou de deux formations – et quand une formation au RGPD suffit.

De la rédaction de Provimedia · Date : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Quelle est la différence entre la sécurité de l’information et la protection des données ?

La protection des données est un droit fondamental : elle protège les personnes contre un usage abusif de leurs données personnelles. La base juridique dans l’UE est le RGPD, complété par la loi fédérale allemande sur la protection des données (BDSG). Au centre se trouve toujours la question de savoir si les données sont traitées de manière licite, limitée à une finalité et sûre.

La sécurité de l’information a un autre objet de protection : elle protège toutes les informations dignes de protection d’une entreprise – plans de construction, recettes, données financières, code source, secrets d’affaires – qu’il y ait ou non un lien avec des personnes. L’objectif est la triade classique des objectifs de sécurité : confidentialité, intégrité et disponibilité. Une fuite de données portant sur de pures données machine est le plus souvent sans importance au regard de la protection des données, mais constitue un incident grave sur le plan de la sécurité de l’information.

Où les deux domaines se recoupent-ils ?

Le plus grand recoupement se situe là où des données personnelles sont traitées techniquement. L’art. 5, par. 1, point f, du RGPD exige comme principe « l’intégrité et la confidentialité » du traitement. L’art. 32 du RGPD le concrétise sous la forme d’une obligation de sécurité du traitement : des mesures techniques et organisationnelles appropriées comme le chiffrement, les contrôles d’accès, la résilience des systèmes et une procédure d’évaluation régulière de leur efficacité. Qui remplit cette obligation pratique de fait la sécurité de l’information pour les données personnelles.

C’est pourquoi les contenus de base d’une obligation de formation au RGPD pour les collaborateurs et d’une formation générale de sensibilisation à la sécurité se recoupent fortement. Quatre thèmes servent simultanément les deux objectifs :

Mots de passe et identifiants sûrs
La reconnaissance des e-mails de phishing
L’utilisation des appareils mobiles
Des circuits de signalement clairs en cas d’incident de sécurité

La différence n’apparaît que lorsqu’il s’agit d’informations sans lien avec des personnes ou de processus structurés de gestion des risques – la simple sensibilisation à la protection des données n’y suffit pas.

Que demande NIS2 en plus – et à qui s’applique-t-elle ?

Vérifiez d’abord si vous relevez seulement de NIS2 – pour la plupart des PME, la réponse est : non. Le 6 décembre 2025 est entrée en vigueur la loi allemande de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG), qui a profondément remanié la loi sur l’Office fédéral de la sécurité des techniques de l’information (BSI-Gesetz, BSIG). Selon le BSI, environ 29 500 entités au lieu d’environ 4 500 auparavant seront désormais soumises aux nouvelles règles. Sont concernés :

Les exploitants d’infrastructures critiques – automatiquement, quelle que soit leur taille
Les entreprises de certains secteurs (par exemple énergie, transports, santé, infrastructure numérique, secteur financier) au-dessus de seuils fixés en matière d’effectifs, de chiffre d’affaires ou de total de bilan
Aucun délai transitoire : l’enregistrement se déroule déjà en deux étapes via « Mein Unternehmenskonto » et, depuis le 6 janvier 2026, en plus dans le portail du BSI

Pour la pratique, l’élément central est le § 38 BSIG : les directions des entités particulièrement importantes et importantes doivent suivre régulièrement des formations afin de reconnaître et d’évaluer les risques liés à la sécurité de l’information et d’apprécier leurs effets sur leurs propres services. Cette obligation est non délégable et liée personnellement à la direction. En cas de manquement, une responsabilité personnelle de la direction, de droit des sociétés, s’applique pour les dommages causés par sa faute. Important pour bien situer les choses : cette obligation de formation ne concerne expressément que les directions des entités NIS2 soumises à enregistrement – en dehors de ce champ d’application, la loi n’oblige aucune entreprise à une formation particulière de ses collaborateurs.

Formation à la protection des données et formation à la sécurité de l’information : comparaison

Caractéristique	Formation à la protection des données	Formation à la sécurité de l’information
Objet de protection	Données personnelles, droits des personnes concernées	Toutes les informations et tous les systèmes, avec ou sans lien avec des personnes
Cadre juridique	RGPD, BDSG	Volontaire (ISO/IEC 27001, BSI-IT-Grundschutz) ; pour les entités NIS2, en plus le BSIG
Contenus typiques	Licéité du traitement, droits des personnes concernées, obligations de notification, sous-traitance	Reconnaissance du phishing, hygiène des mots de passe, gestion des risques, bases d’un SMSI
Public visé	Tous les collaborateurs ayant accès aux données	Tous les collaborateurs ; NIS2 en plus obligatoire pour la direction
Justificatif	Certificat de participation / attestation de formation	Selon le référentiel : procès-verbal interne, documentation du SMSI ou certification

De quelle formation mon entreprise a-t-elle besoin ?

Pour la plupart des petites et moyennes entreprises non soumises à l’obligation d’enregistrement NIS2, une solide formation de base à la protection des données est la bonne première étape. Elle couvre les obligations juridiques issues du RGPD et transmet en même temps les bases de sécurité de l’art. 32 du RGPD : mots de passe sûrs, reconnaissance du phishing et bon usage des données au quotidien. Cela suffit comme sensibilisation de base pour la grande majorité des effectifs.

Les entreprises soumises à l’obligation d’enregistrement NIS2 ont besoin de plus en complément : un système de management de la sécurité de l’information structuré, en général aligné sur la norme internationale ISO/IEC 27001 ou sur le BSI-IT-Grundschutz (le référentiel de base de sécurité informatique du BSI). Ce sont deux référentiels volontaires, et non des certifications imposées par la loi. S’y ajoute la formation spécifique de la direction selon le § 38 BSIG. Une formation générale à la protection des données ne peut pas remplacer ces obligations et n’est pas conçue pour cela.

Questions fréquentes (FAQ)

Une formation à la protection des données est-elle la même chose qu’une formation à la sécurité de l’information ?

Non. Les deux se recoupent sur des bases comme la reconnaissance du phishing ou l’hygiène des mots de passe, mais ont un objet de protection différent : la protection des données protège les personnes et leurs données, la sécurité de l’information protège l’ensemble des informations et des systèmes d’une entreprise.

Une formation au RGPD couvre-t-elle aussi les exigences de l’art. 32 du RGPD ?

Une bonne formation de base à la protection des données transmet la sensibilisation que l’art. 32 du RGPD attend des collaborateurs, par exemple l’usage sûr des données et des systèmes. Les mesures techniques et organisationnelles elles-mêmes, comme le chiffrement, les concepts d’accès ou les plans d’urgence, l’entreprise doit en outre les mettre en œuvre techniquement et les documenter.

Chaque entreprise doit-elle satisfaire aux exigences de NIS2 ?

Non, selon l’estimation du BSI, NIS2 ne concerne qu’environ 29 500 entités : automatiquement les infrastructures critiques, sinon seulement les entreprises de certains secteurs au-dessus de seuils fixés. Pour savoir si sa propre entité est concernée, on peut le vérifier via l’obligation d’enregistrement auprès du BSI.

Une formation des collaborateurs remplace-t-elle un SMSI selon ISO 27001 ou BSI-IT-Grundschutz ?

Non. Une formation de sensibilisation est un élément d’un système de management de la sécurité de l’information, mais non un substitut. ISO/IEC 27001 et BSI-IT-Grundschutz comprennent en outre des analyses de risques, des mesures techniques, des processus et, en règle générale, une certification ou une attestation par des organismes indépendants.

Comme première étape proche de la pratique, Provimedia propose une formation de base au RGPD avec certificat de participation – elle couvre la sensibilisation des collaborateurs à la protection des données, mais ne remplace ni un SMSI ni la formation de la direction NIS2 selon le § 38 BSIG.

Sources

Restez informé

Recevez les derniers articles, analyses et actualités du secteur directement dans votre boîte mail.

Décidez vous-même ce que Google vous montre

Google vous laisse choisir quelles sources apparaissent en priorité dans vos résultats de recherche : dans les actualités et dans les réponses IA. Deux clics, et vous voyez les sites auxquels vous faites confiance.

Ajouter provimedia.de à mes sources préférées

Formation à la sécurité de l’information ou à la protection des données : ce dont les entreprises ont besoin