Sécurité et gouvernance des données : spécificités pour PME et ETI

La transformation numérique bouleverse les entreprises de toutes tailles, mais pour les PME et ETI, la sécurité et la gouvernance des données sont devenues des enjeux stratégiques de premier plan. Face à la multiplication des obligations légales (RGPD, NIS2, DORA), à la hausse des cyberattaques — +15 % en 2024 selon l’ANSSI — et à la demande croissante de transparence, DSI, RSSI et CDO doivent composer avec des contraintes proches de celles des grands groupes, alors que leurs ressources restent limitées. Le panorama de la cybermenace 2024 publié par l’ANSSI rappelle que les PME, TPE et ETI représentent 37 % des victimes connues de rançongiciels.

La gouvernance des données ne se limite plus à la conformité : elle conditionne la réputation, la confiance des partenaires, l’assurabilité du risque cyber et la capacité à lancer des projets IA. Ce guide propose un cadre d’arbitrage pour structurer sécurité et gouvernance des données dans une PME ou ETI, avec un focus sur les modèles organisationnels et les priorités budgétaires. Pour aller plus loin sur la valorisation des données industrielles, découvrez comment automatiser l’acquisition et le traitement des données industrielles.

Les obligations légales qui structurent votre feuille de route

La réglementation européenne encadre strictement le traitement des données, avec des évolutions qui impactent directement les PME et ETI. Pour un décideur, l’enjeu est d’articuler ces textes entre eux pour éviter les doublons de contrôle et les angles morts.

RGPD : pilier de la protection des données personnelles

Depuis mai 2018, le RGPD impose à toutes les entreprises européennes — ou traitant des données de citoyens européens — de garantir la protection des données personnelles. Les points clés à respecter :

Minimisation des données : ne collecter que les informations strictement nécessaires
Transparence : informer clairement les personnes sur l’usage de leurs données
Sécurité : protéger les données contre toute violation ou fuite
Droit des personnes : faciliter l’exercice des droits d’accès, de rectification ou d’effacement

Selon le rapport annuel 2024 de la CNIL, 87 sanctions ont été prononcées en 2024 pour un cumul supérieur à 55 millions d’euros, et 32 % des entreprises contrôlées en 2025 étaient des PME ou TPE. Pour ces structures, la tenue du registre des activités de traitement a été assouplie : elle n’est obligatoire que pour les activités présentant un risque élevé pour les droits et libertés des personnes (données sensibles, surveillance à grande échelle, etc.).

Pour comprendre comment garantir la confidentialité et la conformité dans des contextes innovants, consultez notre article sur sécurité et conformité lors du déploiement LLM.

Directive NIS2 : nouvelles exigences en cybersécurité

Entrée en application le 18 octobre 2024, la directive NIS2 (publiée par la Commission européenne) impose des mesures de sécurité renforcées à de nombreux secteurs et fait passer la France de moins de 300 entités régulées sous NIS1 à plus de 10 000 entités concernées. Les principales obligations :

Identification des actifs et risques critiques du système d’information
Mise en place de mesures minimales : authentification multi-facteurs, chiffrement, gestion des accès
Notification d’incident dans des délais stricts (24 h / 72 h)
Formation des dirigeants et responsables à la cybersécurité
Intégration des exigences cybersécurité dans les contrats fournisseurs
Alignement de la gouvernance avec les référentiels RGPD, ISO 27001/22301 ou DORA (secteur financier)

Point clé pour le COMEX : la directive engage la responsabilité personnelle des dirigeants (DG, directeur juridique, DSI) en cas de manquement grave ou répété.

Autres textes à surveiller

DSA (Digital Services Act) — encadrement des services numériques
DMA (Digital Markets Act) — régulation des marchés digitaux
CSRD — reporting sur la durabilité, qui s’appuie de plus en plus sur la donnée
AI Act (UE 2024) — obligations de gouvernance des données d’entraînement pour les systèmes IA à risque élevé

Choisir son modèle de gouvernance : arbitrage pour décideurs

Structurer la gouvernance des données permet de sécuriser la croissance, de faciliter les transitions (cession, fusion) et de renforcer la confiance des partenaires. La première décision à prendre par le COMEX est le modèle organisationnel cible. Pour structurer efficacement vos données, découvrez notre guide sur l’architecture data adaptée aux PME.

Les trois modèles de gouvernance : arbitrage coût / délai / risque

Modèle	Principe	Coût annuel (PME 50-250 FTE)	Délai de mise en place	Risque résiduel	Profil adapté
Centralisée	Un seul owner (DPO + CDO) concentre décisions, référentiels, contrôles	80-150 k€	6-9 mois	Faible sur la conformité, moyen sur l’adhésion métier	PME 50-150 FTE, 1-2 sites
Fédérée (hub & spoke)	Un cadre central, des data stewards dans chaque métier	150-300 k€	9-15 mois	Faible sur tous les plans si le cadre est clair	ETI 250-2000 FTE, multi-métiers
Décentralisée (data mesh)	Chaque domaine métier possède et sert ses données	300-600 k€	18-24 mois	Élevé si la maturité data n’est pas au rendez-vous	ETI matures, >1000 FTE, culture produit

Dans 80 % des PME/ETI que nous accompagnons, le modèle fédéré est le bon compromis : il évite le goulot d’étranglement d’un DPO isolé tout en maintenant un cadre de contrôle cohérent.

Les fondamentaux à couvrir quel que soit le modèle

Politique de gouvernance claire — rôles et responsabilités (RSSI, DPO, CDO, COMEX)
Cartographie des données — flux, types (personnelles, sensibles, stratégiques)
Gestion des accès — qui accède à quoi et à quel moment (principe du moindre privilège)
Traçabilité et auditabilité — journalisation des traitements et actions

Matrice de maturité : où se situer ?

Niveau	Caractéristiques	Investissement cumulé	Typologie PME/ETI
1 — Réactif	Conformité minimale RGPD, pas de cartographie, DPO externe partagé	< 30 k€/an	TPE et petites PME
2 — Défini	Registre à jour, politiques écrites, formations annuelles, MFA généralisée	50-120 k€/an	PME 50-250 FTE
3 — Géré	Data stewards, outils de data lineage, DLP, audits semestriels	150-350 k€/an	ETI 250-1000 FTE
4 — Optimisé	Data catalogue, anonymisation automatisée, RSSI dédié, ISO 27001	400 k€+ /an	ETI matures, secteurs régulés

Pour un DSI ou un CDO, passer d’un niveau au suivant demande généralement 12 à 18 mois. Viser le niveau 2 minimum est devenu incontournable avec NIS2.

Bonnes pratiques de sécurité : les actions prioritaires

Selon le guide de la sécurité des données personnelles 2024 publié par la CNIL et le guide cybersécurité TPE/PME en 13 questions de l’ANSSI, les actions suivantes couvrent 80 % du risque :

Sensibiliser et former les équipes à la cybersécurité (phishing, mots de passe, shadow IT)
Mettre en place l’authentification forte (MFA) sur tous les accès sensibles et le chiffrement des données au repos comme en transit
Réaliser des sauvegardes régulières et tester les procédures de restauration (au moins 2 fois par an)
Effectuer des audits de sécurité périodiques — a minima un test d’intrusion annuel
Prévoir un plan de gestion des incidents aligné avec les délais de notification NIS2 (24 h / 72 h)
Intégrer la sécurité dès la conception des nouveaux outils ou processus (privacy by design)

Pour aller plus loin sur la sécurisation des environnements cloud, consultez notre article dédié à la mise en place d’une solution cloud data pour PME et ETI.

Arbitrage des investissements sécurité : quelle priorité ?

Action	Coût ordre de grandeur	Impact risque	Priorité NIS2
MFA généralisée	5-20 k€	Très élevé	Obligatoire
Sauvegardes 3-2-1 + tests	10-40 k€	Très élevé	Obligatoire
Formation phishing trimestrielle	5-15 k€ /an	Élevé	Obligatoire
EDR/XDR sur endpoints	15-60 k€ /an	Élevé	Forte
Pentest annuel	10-30 k€	Moyen	Forte
Certification ISO 27001	80-200 k€ sur 18 mois	Moyen (signal)	Optionnelle

Erreurs courantes à éviter

Certaines erreurs exposent les PME/ETI à des risques majeurs et à des sanctions CNIL :

Sous-estimer la conformité RGPD (c’est un processus continu, pas un projet ponctuel)
Collecter des données non nécessaires ou excessives — principal manquement sanctionné en 2024 selon la CNIL
Négliger la mise à jour des documents et des registres — plus les registres dorment, plus le risque monte
Oublier la sécurité dans la chaîne d’approvisionnement (fournisseurs, sous-traitants, prestataires IT)
Manquer de formation ou d’engagement des dirigeants — la responsabilité NIS2 est désormais personnelle

La gouvernance comme levier de performance et de confiance

Au-delà des contraintes réglementaires, la gouvernance des données offre des bénéfices concrets, particulièrement pour préparer des projets IA :

Résilience face aux cybermenaces et réduction du coût moyen d’un incident
Optimisation des processus et baisse des coûts liés aux ruptures opérationnelles
Valorisation de la réputation et de la relation client (demandes RFP de plus en plus exigeantes)
Préparation à la croissance — une gouvernance mature accélère les fusions-acquisitions
Prérequis aux projets IA — l’AI Act exige désormais une traçabilité des données d’entraînement

De plus en plus de PME et ETI mettent en place des systèmes de management certifiés (Qualité, Santé, Sécurité, Environnement, ISO 27001), preuve d’une dynamique de structuration. Pour renforcer la sécurité dans vos outils métiers, découvrez comment assurer la sécurité et la conformité dans les outils de visualisation.

Notre expertise en stratégie Data & IA vous accompagne dans cette démarche, de l’audit de maturité à la mise en œuvre opérationnelle.

Conclusion

Pour un DSI, un RSSI ou un CDO de PME/ETI, sécurité et gouvernance des données ne sont plus une option : c’est un socle stratégique et réglementaire. Le vrai arbitrage porte sur le niveau de maturité cible et le modèle organisationnel — centralisé, fédéré ou décentralisé — adaptés à la taille et à la culture de l’entreprise. En structurant la gouvernance, en respectant les obligations RGPD et NIS2 et en priorisant les bonnes actions de sécurité (MFA, sauvegardes, formation, plan d’incident), l’entreprise se protège, gagne en confiance et prépare sereinement ses projets data et IA. Pour approfondir la gestion des données à grande échelle, explorez pourquoi et comment mettre en place un data lake dans une PME.

Besoin d’un accompagnement pour structurer votre stratégie data ? Demandez un diagnostic →