Décrypter la conformité, la sécurité et l'IA.
Nos DPO et CISO partagent ici régulièrement leur lecture de l'actualité réglementaire et technique : nouvelles lignes directrices CNPD, sanctions notables, retours d'expérience d'incidents, évolutions AI Act, NIS 2, DORA. Pour aller au-delà du communiqué de presse.
PNLD: 135 000 contacts de policiers et partenaires publiés sur le dark web
La Police National Legal Database (PNLD, Royaume‑Uni) confirme la mise en ligne de 1,9 Go de données: 114 000 abonnés PNLD et 21 000 usagers “Ask the Police”. L’attaque, revendiquée par ExfilSquad, a été détectée le 26 juillet 2026.
Conseil d’État — Beaucaire: la barre se relève sur l’authentification
Le Conseil d’État valide la mise en demeure CNIL pour mots de passe insuffisants. Voici comment passer à une MFA résistante au phishing (FIDO2/WebAuthn) conforme à l’article 32 RGPD — et le prouver.
Amazon vs CNPD (12/03/2026) : amende annulée, méthode d’amende recentrée
Le 12 mars 2026, la Cour administrative luxembourgeoise a annulé l’amende de 746 M€ contre Amazon, tout en confirmant l’essentiel des constats. Message-clé: appliquer la CJUE (Deutsche Wohnen/Nacionalinis) et motiver la méthodologie d’amende.
DORA art. 12 : ANSSI ReCyF, sauvegardes immuables
Le ReCyF de l’ANSSI (17/03/2026) exige des sauvegardes immuables et isolées pour contrer le rançongiciel. Voici comment les déployer et prouver la conformité DORA art. 12 et NIS 2.
NIS 2 au Luxembourg: attentes réelles de l’ILR sur l’article 21
L’ILR précise le rôle des organes de direction et les contrôles attendus pour l’article 21 NIS 2, en s’alignant sur le règlement d’exécution (UE) 2024/2690 et la loi luxembourgeoise du 5 mai 2026.
AP (Pays-Bas) et Raad voor la Rechtspraak: fuite via Ivanti EPMM
Le 9 février 2026, l’autorité néerlandaise AP et le Raad voor de Rechtspraak ont confirmé une fuite via des failles Ivanti EPMM exposant des coordonnées professionnelles. Comment faire d’un MDM une preuve de maîtrise RGPD 32 et NIS 2.
NIS 2 vs DORA au Luxembourg: notifier en 24 h ou en 4 h ?
Fait vérifiable: la CSSF (Circulaire 25/893, 27/05/2025) aligne le reporting DORA avec une première notification « dans les 4 heures » après classification. NIS 2 impose une alerte préliminaire « dans les 24 heures ». Enjeu: qui notifier, quand et selon quelle horloge.
Liechtenstein: piratage du registre des bénéficiaires effectifs (31 000 personnes)
Le gouvernement du Liechtenstein confirme l’exfiltration de données du registre des bénéficiaires effectifs (VwbP) concernant environ 31 000 personnes. Un rappel urgent: ces registres concentrent des données à sécuriser comme des actifs critiques.
South Staffordshire Water: £963k pour défaut de détection
L’ICO a infligé £963 900 à South Staffordshire Water pour une surveillance couvrant ~5 % de l’environnement et une détection quasi inexistante. Pourquoi une pile EDR/XDR opérée 24/7 est devenue indispensable.
DORA TLPT vs TIBER‑EU/LU: l’écart clé sur les testeurs internes
Le règlement délégué (UE) 2025/1190 autorise, sous conditions strictes, des testeurs internes pour les TLPT DORA. TIBER‑EU/TIBER‑LU exigent des prestataires externes pour la reconnaissance.
EvilTokens/ARToken : device‑code contre Microsoft 365 — passez à FIDO2
ARToken détourne le flux OAuth « device code » pour prendre des comptes Microsoft 365 malgré la MFA. Adoptez FIDO2/WebAuthn et des politiques d’accès adaptées pour réduire le risque et démontrer l’article 32 du RGPD.
Art. 28 RGPD: amende du Garante à Velletri pour la sous-traitance
Le Garante a sanctionné Velletri Servizi (12/02/2026) pour des contrats de sous-traitance non conformes à l’art. 28(4) RGPD et un manque de surveillance. Enjeu: documenter et auditer toute la chaîne de sous-traitance.