Glossaire MAFATE

18+ définitions cybersécurité & conformité

Définitions courtes, sources officielles (CNIL, ANSSI, NIST, EUR-LEX, ENISA), termes liés. Le glossaire de référence pour comprendre le RGPD, HDS, DORA, le CLOUD Act et le chiffrement applicatif.

AI Act: Le règlement européen sur l'intelligence artificielle (UE 2024/1689), entré en vigueur le 1er août 2024, est le premier cadre juridique horizontal mondial sur l'IA. Il classifie les systèmes par niveau de risque : interdits (ex : notation sociale), haut risque (RH, éducation, justice), à transparence (chatbots, deepfakes) ou risque minimal. Pour les modèles à usage général (GPAI), il impose documentation technique, traçabilité d'entraînement et évaluation des risques systémiques. Application échelonnée : pratiques interdites en février 2025, GPAI en août 2025, IA à haut risque en août 2026.
CLOUD Act (Loi américaine, 2018): Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 qui oblige les fournisseurs de services cloud sous juridiction US (AWS, Azure, Google Cloud, Oracle, IBM, Salesforce) à fournir les données qu'ils détiennent, qu'elles soient stockées aux États-Unis ou à l'étranger, sur demande des autorités américaines. Crée un conflit direct avec le RGPD européen (Schrems II, 2020). H1 2025 : 6 288 requêtes US sur des données cloud. MAFATE, opéré par UNIVILE SAS (France), n'est PAS soumis au CLOUD Act. Ce que le texte permet vraiment, sans les exagérations habituelles : il autorise les autorités américaines à exiger d'un fournisseur soumis au droit des États-Unis la communication de données qu'il détient ou contrôle, où qu'elles soient stockées. Le critère est le rattachement juridique du fournisseur, jamais la localisation des serveurs. Un centre de données à Paris, opéré par une filiale européenne d'un groupe américain, entre dans le champ. C'est précisément ce que la localisation seule ne résout pas, et ce que beaucoup d'offres appellent pourtant souveraineté. Ce que le texte ne permet pas mérite autant d'attention. Il ne donne pas d'accès direct aux systèmes, ne suspend pas le chiffrement, et prévoit un mécanisme de contestation quand la divulgation violerait le droit d'un pays ayant conclu un accord bilatéral. La France n'en a pas signé, ce qui rend ce recours théorique pour une entreprise française. La conséquence pratique porte sur les clés plutôt que sur les données. Un fournisseur qui ne détient que des données chiffrées, sans les clés correspondantes, ne peut communiquer qu'un contenu inexploitable. C'est ce raisonnement que suit la CNIL lorsqu'elle recommande de confier l'hébergement des données sensibles à des sociétés non soumises au droit américain, et c'est aussi ce qui fait de la séparation des clés un argument juridique et pas seulement technique.
CRA (Cyber Resilience Act): Le Cyber Resilience Act (règlement UE 2024/2847) impose aux fabricants et éditeurs de "produits comportant des éléments numériques" (logiciels, IoT, matériel) des obligations de cybersécurité dès la conception : gestion documentée des vulnérabilités, signalement des incidents 24h/72h, fourniture de mises à jour de sécurité pendant la durée de support attendue. Entré en vigueur le 10 décembre 2024, ses obligations principales s'appliquent à partir de décembre 2027 (signalement vulnérabilités dès septembre 2026). Sanctions jusqu'à 15 M€ ou 2,5 % du CA mondial.
DMA (Digital Markets Act): Le Digital Markets Act (règlement UE 2022/1925), pleinement applicable depuis le 7 mars 2024, encadre les "contrôleurs d'accès" (gatekeepers), grandes plateformes dont l'activité conditionne l'accès au marché numérique européen. Sept entreprises sont désignées (Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft, Booking). Il impose interopérabilité (messageries), interdit l'auto-préférencement, donne aux utilisateurs le droit de désinstaller les applications préinstallées. Sanctions jusqu'à 10 % du chiffre d'affaires mondial, 20 % en récidive. Pouvoir de désinvestissement structurel en cas de violations répétées.
DORA (Règlement UE 2022/2554): DORA (Digital Operational Resilience Act) est le règlement européen sur la résilience opérationnelle numérique du secteur financier, en vigueur depuis le 17 janvier 2025. Il s'applique à environ 22 000 entités financières (banques, mutuelles, assurances, gestionnaires d'actifs) et leurs prestataires TIC critiques. L'Article 9 impose le chiffrement bout-en-bout des données au repos et en transit, la MFA, et un audit trail complet. L'ACPR intensifie ses contrôles en 2026. Sanctions : 10 M€ ou 5% CA. Ce que le règlement change pour un éditeur qui n'est pas une banque : DORA s'applique aux entités financières, mais son article 28 leur impose de contractualiser avec leurs prestataires informatiques et de tenir un registre d'information les décrivant. L'obligation redescend donc mécaniquement sur les éditeurs de logiciels, les hébergeurs et les prestataires de services numériques, qui doivent fournir à leurs clients financiers des éléments qu'ils n'avaient jamais eu à produire : localisation des données, chaîne de sous-traitance, conditions de réversibilité, droits d'audit. Le calendrier est passé, ce qui déplace la question. Le texte s'applique depuis le 17 janvier 2025 et les registres devaient être transmis aux autorités nationales avant le 15 avril 2025 ; les contrôles ont commencé au second semestre. Un éditeur sollicité aujourd'hui ne prépare donc pas une échéance, il répond à un client déjà en défaut ou sur le point de l'être, ce qui raccourcit considérablement les cycles de décision. L'erreur d'interprétation la plus fréquente consiste à lire DORA comme un référentiel technique. Il ne prescrit ni algorithme ni longueur de clé : il exige une politique écrite, fondée sur une analyse de risque, et la capacité à démontrer que les choix faits sont proportionnés et réexaminés. Ce qui coûte cher en audit n'est presque jamais la cryptographie, c'est l'incapacité à produire la documentation qui l'entoure.
DSA (Digital Services Act): Le Digital Services Act (règlement UE 2022/2065) impose aux intermédiaires en ligne et plateformes des obligations harmonisées de modération de contenu, transparence et protection des utilisateurs européens. Pleinement applicable depuis le 17 février 2024, il distingue les très grandes plateformes (VLOPs, > 45 M utilisateurs UE) soumises à des obligations renforcées : audits indépendants annuels, évaluation des risques systémiques, transparence des recommandations algorithmiques. Sanctions jusqu'à 6 % du chiffre d'affaires mondial. La Commission supervise directement les VLOPs ; les autres relèvent des coordinateurs nationaux (Arcom en France).
eIDAS: Le règlement eIDAS (UE 910/2014) établit le cadre européen de l'identification électronique et des services de confiance : signatures électroniques, cachets, horodatages, recommandés électroniques, certificats d'authentification de sites web. Il définit trois niveaux de signature : simple, avancée, qualifiée (eIDAS qualifiée = équivalence légale à la signature manuscrite). Sa révision eIDAS 2 (en cours d'adoption 2024-2026) introduit le portefeuille européen d'identité numérique (EUDI Wallet) et étend les obligations d'interopérabilité transfrontière. Les TSP qualifiés doivent être certifiés ETSI et listés au "Trusted List" national (ANSSI en France).
ePrivacy: La directive ePrivacy (2002/58/CE, révisée 2009/136/CE) régit la confidentialité des communications électroniques dans l'Union européenne : consentement aux cookies, secret des communications, géolocalisation, prospection commerciale par voie électronique. Elle est l'origine de l'obligation des bandeaux cookies. Sa refonte en règlement ePrivacy est en discussion depuis 2017 mais reste bloquée au Conseil européen, retardant l'harmonisation avec le RGPD. En attendant, les autorités nationales (CNIL en France) en assurent une lecture coordonnée RGPD-ePrivacy.
HDS v2 (Hébergeur de Données de Santé): HDS v2 est la nouvelle certification française pour les hébergeurs de données de santé, obligatoire depuis le 16 mai 2026 (référentiel ANS-HDS-001 v2). Elle remplace l'agrément HDS de 2018 et durcit les exigences : chiffrement obligatoire au repos et en transit (algorithmes ANSSI niveau Renforcé), authentification 2FA, journalisation complète, et notification incident sous 24h. Concerne ~500 établissements hospitaliers + cliniques + GHT + laboratoires. MAFATE est intégrable dans toute architecture HDS pour fournir la couche chiffrement. Ce que le référentiel exige concrètement du chiffrement : les données de santé à caractère personnel doivent être chiffrées au repos ET en transit, avec des algorithmes du niveau Renforcé de l'ANSSI, ce qui exclut en pratique AES-128, SHA-1 et RSA-1024. La gestion des clés doit être séparée de l'hébergement des données : un hébergeur qui détient à la fois la donnée chiffrée et la clé n'apporte aucune garantie supplémentaire en cas de réquisition ou de compromission. L'erreur la plus fréquente en audit est le chiffrement de disque seul : il protège contre le vol physique d'un serveur, pas contre un accès applicatif détourné ni contre une requête SQL malveillante, qui restent les deux vecteurs réels. Un chiffrement au niveau du champ, où chaque donnée sensible est chiffrée individuellement avant d'atteindre la base, répond aux deux. Qui est concerné, au-delà des hôpitaux : la certification s'impose à tout hébergeur, mais l'obligation contractuelle redescend sur les éditeurs de logiciels de santé, les plateformes de téléconsultation, les laboratoires et les mutuelles, dont les clients exigent la preuve avant de signer. C'est là que la certification devient un sujet commercial et plus seulement réglementaire : un éditeur incapable de répondre au questionnaire sécurité de son client hospitalier perd l'affaire, quelle que soit la qualité de son produit.
LCEN: La Loi pour la Confiance dans l'Économie Numérique (loi n° 2004-575 du 21 juin 2004) constitue le socle juridique français du commerce électronique et de la responsabilité des hébergeurs et fournisseurs d'accès. Elle pose le principe de responsabilité limitée des hébergeurs avant notification de contenus manifestement illicites, organise la publicité par voie électronique (opt-in pour la prospection), et encadre les obligations de conservation des données par les opérateurs. Plusieurs articles ont été partiellement remplacés par le RGPD (2018) et le DSA (2024), mais la LCEN reste le texte de base pour les questions de responsabilité éditoriale.
Loi Résilience: La Loi Résilience est le véhicule législatif français destiné à transposer simultanément la directive NIS2 (cybersécurité), la directive REC (résilience entités critiques) et certains aspects du règlement DORA. Initialement déposée en 2024, son adoption a connu plusieurs phases parlementaires et son décret d'application est attendu en 2026. Elle élargit le périmètre des entités assujetties (~15 000 organisations en France contre 500 sous NIS1), impose obligations de gouvernance, déclaration d'incidents 24h/72h, gestion des risques fournisseurs et sanctions jusqu'à 10 M€ ou 2% du chiffre d'affaires mondial.
NIS2 (Directive UE 2022/2555): NIS2 (Network and Information Security 2) est la deuxième directive européenne sur la cybersécurité, entrée en vigueur en janvier 2023, transposée en droit français via la Loi Résilience (été 2026). Elle élargit le périmètre des entités régulées de 300 à environ 15 000 entreprises françaises dans 18 secteurs critiques. Impose : gestion des risques, notification d'incidents (24h), gouvernance avec responsabilité personnelle des dirigeants, et mesures techniques dont le chiffrement (Art. 21). Sanctions : 10 M€ ou 2% CA mondial (entités essentielles). Qui est réellement concerné, au-delà des listes : la directive vise dix-huit secteurs et distingue entités essentielles et importantes, mais le mécanisme qui touche le plus d'entreprises est indirect. L'article 21 impose aux entités régulées d'évaluer la sécurité de leur chaîne d'approvisionnement, ce qui transforme chaque fournisseur en objet de contrôle. Un éditeur de logiciel qui ne relève d'aucun secteur listé reçoit malgré tout les questionnaires de ses clients hôpitaux, énergéticiens ou transporteurs, et perd l'affaire s'il ne sait pas y répondre. L'état du droit français mérite d'être connu avant d'affirmer quoi que ce soit. La transposition est portée par la loi Résilience, dont le parcours parlementaire a été retardé, et l'ANSSI a publié le ReCyF, référentiel de vingt-cinq objectifs de sécurité, en version bêta au premier trimestre 2026. Les entités ne sont donc pas encore soumises aux sanctions, mais les exigences contractuelles, elles, circulent déjà. Sur le chiffrement, le texte reste à son habitude : l'article 21(2)(h) demande des politiques relatives à l'usage de la cryptographie, sans imposer d'algorithme. C'est l'objectif M08 du ReCyF qui donne le contenu opérationnel, et c'est aussi celui qui offre le meilleur rapport entre coût et progrès pour une organisation qui démarre.
ReCyF (Référentiel Cybersécurité France): Le ReCyF est le référentiel ANSSI publié en 2026 qui consolide les exigences cybersécurité applicables aux entités françaises sous NIS2, REC et la Loi Résilience en cours d'adoption. Il s'articule autour de domaines : gouvernance, gestion des risques, gestion des actifs, sécurité physique, sécurité personnel, accès, cryptographie, supply chain, exploitation, sécurité communications, gestion incidents, continuité, conformité. Aligné avec ISO 27001 et NIST CSF mais adapté au cadre juridique français. Les opérateurs visés doivent justifier de leur conformité aux contrôles via auto-évaluation puis audit qualifié.
RGAA: Le Référentiel Général d'Amélioration de l'Accessibilité (RGAA, version 4.1.2 publiée en 2023) est le standard français de mise en conformité aux exigences d'accessibilité numérique du WCAG 2.1 niveau AA. Édité par la DINUM, il décline 106 critères de contrôle organisés en 13 thématiques (images, couleurs, navigation, formulaires, etc.) et fournit la méthodologie d'audit conforme. Son respect est obligatoire pour les services publics numériques en application de la loi du 11 février 2005 ; les manquements peuvent entraîner une sanction de 25 000 € par service non conforme.
RGPD (Règlement UE 2016/679): Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen sur la protection des données personnelles, en vigueur depuis le 25 mai 2018. Il impose des obligations aux responsables de traitement et sous-traitants : licéité, minimisation, sécurité (Art. 32 : chiffrement et pseudonymisation), notification de violation à la CNIL sous 72h (Art. 33), et notification aux personnes concernées (Art. 34) sauf si données chiffrées rendues incompréhensibles. Sanctions : 20 M€ ou 4% CA mondial.
Solvabilité II: Solvabilité II (Directive 2009/138/CE révisée 2019) est le cadre prudentiel européen applicable aux entreprises d'assurance et de réassurance. Il structure les exigences en trois piliers : exigences quantitatives (capital de solvabilité requis SCR, capital minimum MCR), gouvernance et gestion des risques (ORSA), et reporting / transparence. Sous l'autorité de l'EIOPA et localement de l'ACPR en France, il impose notamment des exigences spécifiques de cybersécurité et de continuité opérationnelle qui se combinent désormais avec DORA pour les acteurs financiers.
STORAGE Act: Le Strengthening The Online Restraint Against Generated Exploitation Act (STORAGE Act) est un projet de loi américain visant à renforcer les obligations des fournisseurs de services cloud en matière de stockage et de gouvernance des données. Bien qu'à l'état de proposition au Congrès américain (118e session), il est suivi de près par l'écosystème souveraineté car il complèterait le CLOUD Act et le FISA 702 en matière d'accès gouvernemental américain aux données stockées dans le cloud. Statut 2026 : non promulgué, en navette législative.
USA PATRIOT Act: Le USA PATRIOT Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act, 2001) confère aux agences fédérales américaines des pouvoirs étendus de surveillance et de collecte d'informations. Sa section 215, dite "business records provision", autorisait la collecte massive de métadonnées par la NSA. Bien que cette section ait expiré en mars 2020, le Patriot Act reste l'un des textes fondateurs avec FISA et le CLOUD Act du régime d'accès extraterritorial américain aux données, source du contentieux juridique européen Schrems I/II.

Passer à la pratique

Besoin d'aide pour appliquer ces concepts ?

MAFATE génère vos attestations de chiffrement en 1 clic : RGPD et HDS aujourd'hui, DORA et NIS2 à mesure qu'ils s'appliquent.

Demander une démo →Voir la conformité