La secure internal communication n’est plus seulement une question de cybersécurité opérationnelle. Pour un nombre croissant d’organisations, elle est devenue un objet de conformité réglementaire à part entière, soumis à des obligations documentaires, contractuelles et de gouvernance. La question n’est plus « nos communications sont-elles chiffrées ? » mais « pouvons-nous démontrer, preuves à l’appui, qu’elles respectent les exigences applicables ? »
Cadre réglementaire applicable à la sécurité des communications internes
Deux textes structurent aujourd’hui les obligations des organisations en matière de communication interne sécurisée : DORA pour le secteur financier, et NIS2 pour les entités dites déterminantes ou importantes.
Lire également : Quels sont les trois types de protection ?
DORA est entré en application le 17 janvier 2025. Il impose aux entités financières concernées de documenter leurs contrats de services TIC, d’évaluer leurs fournisseurs et de suivre leurs dépendances. Une messagerie d’entreprise ou une plateforme collaborative externalisée peut donc relever du périmètre de conformité fournisseur, indépendamment de la qualité technique du chiffrement utilisé.
NIS2 couvre un spectre sectoriel plus large. En France, les textes de transposition ne sont pas encore promulgués à ce jour, mais les organisations concernées ont intérêt à préparer leur gouvernance et leurs procédures de gestion des incidents sans attendre la publication des décrets.
A voir aussi : Comment vérifier si un certificat est valide ?
| Critère | DORA (secteur financier) | NIS2 (entités déterminantes/importantes) |
|---|---|---|
| Date d’application | 17 janvier 2025 | Transposition française en cours |
| Périmètre communication | Services TIC, y compris messageries externalisées | Mesures de sécurité des systèmes d’information |
| Obligations documentaires | Registre des contrats TIC, évaluation fournisseurs | Procédures d’incident, gouvernance interne |
| Droit d’audit | Prévu dans les contrats pour fonctions critiques | Non spécifié à ce stade en France |
| Sortie de prestataire | Conditions de sortie et récupération des données obligatoires | Non spécifié à ce stade en France |
Pourquoi le choix des outils de communication engage la conformité
La conformité ne se limite pas à sécuriser les échanges en interne. Elle s’étend au choix et au suivi des prestataires qui hébergent ou traitent ces échanges.
Pour DORA, les contrats portant sur des services TIC soutenant des fonctions critiques ou importantes doivent prévoir des exigences de sécurité précises, des droits d’audit, une assistance en cas d’incident, et des conditions de sortie permettant de récupérer les données et de changer de prestataire. Une plateforme collaborative sans clause d’audit ni portabilité des données expose l’organisation à un écart de conformité, même si elle est techniquement sécurisée.
Cette logique s’étend indirectement aux fournisseurs non assujettis à ces textes. Lorsqu’un prestataire de communication intervient pour le compte d’une entité régulée, les obligations de cette entité se répercutent sur les exigences contractuelles qu’elle impose à ses sous-traitants.
Gestion des incidents : l’angle que les organisations sous-estiment
La résilience des communications internes ne se mesure pas seulement à leur disponibilité en temps normal. Elle se mesure à la capacité de l’organisation à détecter, qualifier et notifier un incident dans les délais imposés par les textes.
NIS2 impose des obligations de notification des incidents significatifs aux autorités compétentes. DORA prévoit un dispositif similaire pour les incidents liés aux TIC dans le secteur financier. Dans les deux cas, la traçabilité des communications internes conditionne la qualité du rapport d’incident : sans journalisation structurée des échanges, il est difficile de reconstituer la chronologie d’une compromission.
Les organisations doivent donc traiter les outils de communication comme des composants du système de détection, et pas seulement comme des canaux d’échange.
Risques de non-conformité sur les données des employés et des clients
Le RGPD constitue un troisième axe souvent sous-évalué dans la gestion de la secure internal communication. Les échanges internes peuvent porter sur des données personnelles d’employés, de clients ou de partenaires. Dès lors, les canaux de communication sont soumis aux exigences de protection des données applicables.
- Les outils de messagerie doivent respecter les principes de minimisation et de limitation de la conservation des données personnelles transitant par ces canaux.
- Les accès aux historiques de communication doivent être contrôlés et documentés, notamment pour respecter les droits des personnes concernées.
- En cas de violation de données impliquant un canal de communication interne, l’organisation doit être en mesure de notifier l’autorité de contrôle dans les délais prévus par le RGPD.
La conformité RGPD s’applique donc non seulement aux bases de données clients, mais aux flux de communication quotidiens entre équipes.
Ce que la conformité exige concrètement des équipes de communication
Mettre en conformité les communications internes ne se réduit pas à déployer un outil avec chiffrement de bout en bout. Les équipes doivent intégrer plusieurs dimensions organisationnelles.
- La documentation des outils utilisés, de leurs fournisseurs, de leurs certifications et de leurs conditions contractuelles doit être maintenue à jour dans un registre accessible aux fonctions de conformité et d’audit.
- Les procédures de gestion des incidents doivent identifier explicitement les canaux de communication comme périmètre de surveillance, avec des responsables désignés et des délais de réponse définis.
- Les droits d’accès aux plateformes de communication doivent faire l’objet d’une revue périodique, alignée sur les mouvements de personnel et les changements organisationnels.
La formation des collaborateurs reste un levier concret : une organisation dont les employés utilisent des canaux non approuvés pour transmettre des informations sensibles expose ses données même si les outils officiels sont parfaitement configurés.
Fournisseurs de communication et conformité en cascade
L’une des contraintes les moins anticipées concerne la gestion des dépendances. Un outil de communication peut être conforme techniquement tout en créant un risque de concentration si l’organisation en dépend pour des fonctions critiques sans plan de continuité.
DORA introduit explicitement cette notion pour les entités financières : la dépendance excessive à un fournisseur unique de services TIC, même fiable, constitue un risque à documenter et à atténuer. Cela implique d’évaluer la substituabilité des outils de communication utilisés et de prévoir des scénarios de sortie.
Cette logique de cartographie des dépendances devient progressivement un attendu de conformité, au-delà du seul secteur financier. Les organisations qui anticipent cette exigence réduisent leur exposition aux audits et renforcent la confiance des parties prenantes sur leur capacité à gérer les risques liés à leurs systèmes de communication interne.
