En bref : NIS2 vs TGV : une directive européenne de cybersécurité et une certification québécoise, deux logiques réglementaires distinctes reliées par 95 correspondances documentées. Notre cartographie établit ces recoupements, dont 72 équivalences strictes, entre les deux cadres. Aucune conformité européenne ne remplace pour autant le dépôt d’un dossier TGV auprès de Santé Québec.
Vous dirigez une entreprise technologique européenne, votre produit est déjà soumis à NIS2, et un appel d’offres du réseau de la santé québécois vient de faire apparaître ces trois lettres : TGV. La question est légitime. Si vous respectez déjà une directive de cybersécurité exigeante, une partie du travail est-elle déjà faite ? La réponse à NIS2 vs TGV tient en un chiffre et une nuance : 95 correspondances documentées, et deux logiques réglementaires qui ne se substituent jamais l’une à l’autre.
Directive vs certification. NIS2 est une directive : elle oblige les États membres à légiférer, et c’est cette loi nationale qui s’applique aux entreprises. La TGV est une certification : elle s’obtient produit par produit, décision par décision, auprès d’une seule autorité, Santé Québec. Comparer les deux revient à comparer une obligation légale à un processus d’homologation, pas deux versions d’une même chose.
Dans cet article
Qu’est-ce que la directive NIS2 ?
NIS2, ou Directive (UE) 2022/2555, est en vigueur depuis janvier 2023 et remplace la première directive européenne sur la sécurité des réseaux et de l’information, avec application obligatoire dans les États membres depuis octobre 2024. Elle élargit la liste des secteurs visés, dont la santé, l’énergie, le transport, les infrastructures numériques et l’administration publique, et distingue deux catégories d’organisations, les entités essentielles et les entités importantes, selon leur taille et leur secteur.
Les obligations centrales sont connues des équipes de conformité européennes :
- Gestion des risques de cybersécurité, avec des mesures techniques et organisationnelles documentées.
- Sécurité de la chaîne d’approvisionnement, fournisseurs et sous-traitants inclus.
- Déclaration d’incidents en deux temps, alerte précoce sous 24 heures puis notification détaillée sous 72 heures.
- Responsabilité de la direction, qui répond désormais des manquements de l’entreprise.
Les amendes prévues pour les entités essentielles atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé.
Le secteur de la santé figure parmi les secteurs à criticité élevée couverts par NIS2. C’est ce qui explique qu’un éditeur de technologies de santé déjà actif en Europe se retrouve, en visant le Québec, devant un deuxième cadre réglementaire qui lui semble familier sur le fond, mais qui fonctionne selon une mécanique différente.
Qu’est-ce que la certification TGV, en bref ?
La TGV, ou Trousse globale de vérification, est le processus par lequel un produit ou service technologique destiné au réseau de la santé et des services sociaux du Québec démontre sa conformité à une grille de critères, vérifiée par une firme externe, avant d’obtenir sa certification du Bureau de certification de Santé Québec. La grille en vigueur compte 382 critères répartis en 7 familles : Sécurité (112), Protection des renseignements personnels (108), Intelligence artificielle (69), Interopérabilité (58), Technique (26), Performance (7) et Gouvernance (2).
La différence de nature avec NIS2 est immédiate. NIS2 fixe des obligations que chaque État membre transpose en droit national, et c’est ce droit national, pas la directive elle-même, qui s’applique à votre entreprise. La TGV est un processus de certification : un produit précis, dans une version précise, obtient ou non un certificat délivré par une seule autorité. On ne transpose pas la TGV, on la dépose, on la fait vérifier, et on attend une décision.
NIS2 vs TGV : combien de correspondances entre les deux cadres ?
NIS2 contribue 95 correspondances aux 1302 que compte notre cartographie complète. Cette cartographie compare la grille TGV à treize référentiels et cadres réglementaires internationaux ; nous détaillons cette méthode dans La TGV face à 13 référentiels : 1302 correspondances analysées.
Ce chiffre est notable, mais il faut le lire avec sa composition, pas seulement avec son total : selon la famille TGV concernée, le recoupement va du très fort au nul.
| Famille TGV | Recoupement observé avec NIS2 |
|---|---|
| Sécurité (112 critères) | Fort : c’est le cœur commun des deux cadres |
| Protection des renseignements personnels (108) | Partiel : NIS2 encadre la sécurité des données, pas leur gouvernance complète |
| Interopérabilité (58) | Marginal |
| Technique (26) | Marginal |
| Intelligence artificielle (69) | Nul ou quasi nul |
| Performance (7) | Nul |
| Gouvernance (2) | Nul : l’interface en français et l’absence de publicité n’ont pas d’équivalent dans une directive de cybersécurité |
Ce tableau reflète une lecture qualitative de nos correspondances, pas un décompte publié critère par critère. Il situe où NIS2 aide, et où il n’aide pas du tout.
NIS2 vs TGV : le recoupement est fort en sécurité, nul en gouvernance et en intelligence artificielle.
Un cadre réglementaire peut-il couvrir les sept familles de la TGV à lui seul ?
Non, et ce n’est pas propre à NIS2. Sur les treize référentiels que nous avons comparés à la grille TGV, aucun ne couvre les sept familles. Chacun est fort dans son domaine d’origine et silencieux ailleurs : un cadre de cybersécurité couvre la sécurité, un cadre de protection des données couvre les renseignements personnels, mais aucun des deux, à lui seul, ne couvre l’intelligence artificielle, la performance ou la gouvernance telle que la TGV les définit.
Deux familles résistent structurellement à toute équivalence étrangère. La famille gouvernance, avec ses deux critères que sont l’interface en français et l’absence de publicité, est propre au marché québécois : aucune directive européenne n’a de raison d’en traiter. La famille intelligence artificielle, avec ses 69 critères sur la gouvernance des systèmes d’IA et la transparence des décisions automatisées, est trop récente et trop spécifique pour trouver un miroir complet dans un texte comme NIS2, centré sur la cybersécurité.
Qu’est-ce qu’une équivalence stricte, et pourquoi ça compte ?
Une équivalence stricte est la catégorie de correspondance la plus rigoureuse de notre méthode : elle ne s’applique qu’aux cas où une exigence de l’autre cadre couvre, preuve pour preuve, un critère précis de la TGV. Toutes les correspondances de notre cartographie ne se valent pas ; entre le simple rapprochement thématique et l’équivalence stricte, plusieurs degrés existent.
Sur les 1302 correspondances de notre cartographie, 72 équivalences strictes proviennent spécifiquement de NIS2. C’est une proportion élevée pour un seul référentiel, et elle se concentre presque entièrement dans la famille Sécurité : gestion des risques, continuité, réponse aux incidents, sécurité de la chaîne d’approvisionnement. Pour ces critères précis, une preuve de conformité à NIS2 peut appuyer directement une preuve TGV, sans reformulation.
Même avec 72 équivalences strictes, une bonne partie de la grille de 382 critères reste hors du champ de NIS2. Les 108 critères de protection des renseignements personnels s’appuient sur une logique plus proche de la Loi 25 québécoise que de NIS2, qui traite la sécurité des données mais pas leur gouvernance complète. Les 69 critères de la famille intelligence artificielle et les deux critères de gouvernance n’ont, eux, d’équivalent dans aucun cadre étranger, celui-ci compris.
Un éditeur déjà conforme à NIS2 a-t-il un raccourci vers la certification TGV ?
Un raccourci, non. Un avantage réel sur une partie du dossier, oui, et il vaut la peine d’être chiffré plutôt que supposé.
Concrètement, les preuves déjà produites pour NIS2, votre analyse de risques, votre plan de gestion des incidents, vos contrôles de sécurité de la chaîne d’approvisionnement, servent directement d’appui documentaire pour la famille Sécurité de la TGV, la plus large avec 112 critères. C’est un gain de temps réel, pas symbolique.
Ce que NIS2 ne vous donne pas, c’est le reste du dossier. Nous observons le même schéma avec d’autres cadres étrangers : notre comparaison BSI C5 et TGV, le référentiel allemand de sécurité infonuagique, montre un nombre de correspondances différent mais la même conclusion. Être conforme ailleurs raccourcit la cartographie, jamais la démarche elle-même. Une conformité NIS2 ne se traduit pas automatiquement en dossier TGV, pas plus qu’un permis de conduire obtenu en Europe ne vaut permis québécois sans démarche locale.
Et personne ne peut vous garantir l’issue. La décision de certifier appartient au Bureau de certification de Santé Québec, à personne d’autre. Un accompagnement structure le dossier, anticipe les écarts, organise les preuves ; il ne remplace jamais la décision de l’autorité.
NIS2 vs TGV : le premier informe le second, il ne le remplace jamais.
Comment évaluer votre écart entre NIS2 et la TGV ?
Quatre étapes concrètes pour un éditeur qui arrive de l’univers NIS2.
- Faites l’inventaire de vos preuves NIS2 existantes : analyse de risques, registre d’incidents, contrôles de chaîne d’approvisionnement, politique de gouvernance de la sécurité. Ce sont vos meilleurs points de départ pour la famille Sécurité de la TGV.
- Identifiez les familles que NIS2 ne couvre pas du tout : intelligence artificielle, gouvernance, performance, une bonne partie de l’interopérabilité. C’est là que se concentre le travail neuf, pas dans la sécurité.
- Vérifiez votre conformité à la Loi 25 québécoise sur la protection des renseignements personnels, distincte du RGPD européen malgré des principes voisins. Une partie des 108 critères de la famille protection des renseignements personnels s’y ancre directement.
- Situez votre écart réel avant de répondre à un appel d’offres, pas après. Notre cartographie complète des 1302 correspondances entre la TGV et treize référentiels sera publiée en données ouvertes. En attendant, un appel exploratoire avec Factero permet de situer votre produit précisément, à partir de vos certifications existantes. Vous pouvez planifier un appel exploratoire sur l’accompagnement à la certification TGV pour comparer votre dossier NIS2 aux 382 critères de la grille.
NIS2 vs TGV : la comparaison éclaire le dossier, mais seule Santé Québec décide de la certification.
Pour aller plus loin avec Factero :
Foire aux questions
Combien de temps prend la certification TGV, du dépôt du dossier à la décision ?
La préparation du dossier prend de 1 à 6 semaines selon la maturité du produit et l’organisation du fournisseur, puis la vérification externe se déroule sur 30 jours ouvrables avant la décision du Bureau de certification de Santé Québec. Comptez généralement deux à trois mois entre le dépôt et la décision, corrections d’écarts non comprises. Une fois obtenue, la certification reste valide cinq ans.
La certification TGV coûte-t-elle quelque chose au fournisseur ?
Oui. Le Bureau de certification de Santé Québec fait porter tous les frais de certification sur le fournisseur du produit, et ces frais ne sont pas remboursables en cas de refus. Le montant exact n’est pas publié : il varie selon la complexité du produit ou du service. Ces frais sont distincts des honoraires d’un accompagnement externe, qui se négocient à part.
Être soumis à NIS2 crée-t-il une obligation de certification TGV ?
Non. NIS2 s’applique par secteur et taille d’entreprise en Europe ; la TGV s’applique à un produit précis destiné au réseau de la santé et des services sociaux du Québec, notamment s’il traite des renseignements de santé ou se déploie dans plusieurs établissements de santé. Être soumis à NIS2 ne crée aucune obligation TGV, pas plus qu’une absence de NIS2 n’exempte un produit visant ce marché. C’est la destination du produit qui déclenche l’obligation, pas la conformité à un autre cadre.
Le RGPD européen suffit-il à couvrir les critères TGV de protection des renseignements personnels ?
En partie seulement. Le RGPD et la Loi 25 québécoise partagent des principes, dont le consentement, la minimisation des données et la notification des incidents, mais la Loi 25 impose ses propres exigences, distinctes du RGPD. Les 108 critères de la famille protection des renseignements personnels de la grille TGV s’ancrent dans ce cadre québécois. Une conformité RGPD est un point de départ utile, jamais une équivalence automatique.
