La sécurité économique ne se pense plus sans son cadre légal, celui-ci s’étant considérablement densifié ces dernières années au niveau européen comme national. Je consigne ici les textes qui structurent le plus directement l’activité d’une organisation.
RGPD : protéger les données personnelles
Le Règlement Général sur la Protection des Données encadre le traitement des données personnelles des résidents de l’Union européenne, autour de principes fermes : licéité, loyauté et transparence du traitement (consentement libre, spécifique, éclairé, univoque) ; minimisation des données collectées au strict nécessaire ; limitation de leur durée de conservation ; et un faisceau de droits pour les personnes concernées — accès, rectification, effacement, portabilité, opposition, et le droit de ne pas être soumis à une décision entièrement automatisée.
Les obligations qui en découlent pour les organisations sont substantielles : un DPO devient obligatoire dans certains cas (organismes publics, traitement à grande échelle de données sensibles) ; un registre des traitements doit être tenu à jour ; une analyse d’impact (PIA/DPIA) s’impose pour les traitements à risque élevé (biométrie, surveillance systématique) ; toute violation de données doit être notifiée à la CNIL sous 72 heures. Les sanctions peuvent atteindre 4 % du chiffre d’affaires mondial ou 20 millions d’euros.
NIS 2 : la cybersécurité des entités critiques
Cette directive européenne renforce les exigences de cybersécurité pour les entités essentielles (au moins 250 salariés et 50 M€ de chiffre d’affaires) et importantes (au moins 50 salariés et 10 M€) opérant dans des secteurs critiques — énergie, santé, transport, infrastructures numériques.
Les obligations couvrent la mise en place de mesures techniques et organisationnelles (gestion des risques, chiffrement, MFA, sauvegardes, sécurité de la chaîne d’approvisionnement), une gouvernance impliquant directement la direction, et un régime de notification des incidents majeurs en trois temps : une alerte précoce sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final. Les sanctions peuvent atteindre 2 % du chiffre d’affaires mondial ou 10 millions d’euros.
Cyber Resilience Act : sécuriser les produits numériques
Ce règlement européen cible directement la sécurité des produits numériques — objets connectés, logiciels, systèmes embarqués. Il impose aux fabricants, importateurs et distributeurs d’évaluer les risques de cybersécurité de leurs produits, de fournir une documentation technique complète, d’assurer des mises à jour de sécurité pendant au moins cinq ans, et de notifier toute vulnérabilité découverte. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial.
AI Act : une approche par niveau de risque
Entré en vigueur le 1er août 2024, avec une application progressive, le règlement européen sur l’intelligence artificielle structure ses obligations en quatre catégories de risque.
Le risque inacceptable est purement et simplement interdit : notation sociale généralisée, IA manipulatrice envers les enfants, reconnaissance faciale en temps réel dans l’espace public (sauf exceptions étroitement encadrées). Le risque élevé — IA touchant à la santé, à la sécurité ou aux droits fondamentaux (diagnostic médical, recrutement, infrastructures critiques, justice) — est fortement réglementé : analyse des risques, qualité des données, documentation, traçabilité, supervision humaine, cybersécurité, enregistrement dans un registre européen. Le risque limité impose de simples obligations de transparence — signaler qu’un chatbot ou un deepfake est généré par IA. Le risque minimal, enfin, reste d’usage libre, avec de simples bonnes pratiques recommandées.
LPM 2024-2030 : la cybersécurité au cœur de la défense nationale
La Loi de Programmation Militaire française place explicitement la cybersécurité parmi ses priorités : protection des infrastructures critiques, renforcement des moyens de l’ANSSI, obligations accrues pour les Opérateurs d’Importance Vitale (plans de réponse, audits, coopération renforcée avec l’ANSSI), développement d’une souveraineté technologique, et budget dédié à la recherche, à la formation et aux infrastructures cyber.
Loi Sapin II : lutter contre la corruption
Bien que centrée sur l’anticorruption, cette loi rejoint directement la sécurité économique par sa logique de cartographie des risques et de culture d’intégrité. Elle impose une cartographie des risques de corruption, un code de conduite intégré au règlement intérieur, des contrôles comptables internes et externes, un dispositif d’alerte interne (whistle-blowing), une procédure de vérification des tiers, un programme de formation pour les personnels exposés, et des sanctions disciplinaires en cas de manquement.
NOTE
La corruption est elle-même une menace stratégique au sens de l’intelligence économique : elle expose à la perte de marchés, à des sanctions, et à une atteinte durable à l’image — exactement les conséquences que la sécurité économique cherche par ailleurs à prévenir.