La future loi cyber monégasque

Un texte s'annonce, mais il n'existe pas encore

Monaco a affiché son intention de se doter d'un cadre national de cybersécurité largement inspiré de la directive européenne NIS2. L'annonce a été faite publiquement lors des Assises de la Cybersécurité et confirmée depuis par plusieurs acteurs proches du dossier. La préparation revient à la Direction des Plateformes et des Ressources Numériques, et la supervision reviendrait à l'Agence Monégasque de Sécurité Numérique (AMSN).

Soyons clairs sur l'état réel du dossier, car cela compte plus que n'importe quel calendrier : aucune loi monégasque sur la cybersécurité n'est adoptée à ce jour. Ce qui existe, c'est une orientation affichée, un travail préparatoire au sein du Gouvernement, et des commentaires de cabinets de conseil qui situent une entrée en vigueur autour de 2027. Ces projections viennent de consultants, pas du Journal de Monaco. Considérez toute date précise que vous lirez — y compris dans cet article — comme indicative, et faites confirmer la situation par l'AMSN ou un avocat monégasque avant d'engager un budget sur cette base.

Cette réserve n'est pas une invitation à ignorer le sujet. C'est une invitation à faire dès maintenant la préparation qui ne coûte rien, pour éviter la course contre la montre plus tard.

Pourquoi un État non européen s'aligne sur une directive européenne

Monaco n'est pas un État membre de l'Union européenne, et les directives européennes ne s'y appliquent pas automatiquement. NIS2 n'a aucune force juridique directe en Principauté. Alors pourquoi cet alignement ?

Parce que l'économie monégasque est imbriquée dans l'Europe. Banques privées, family offices, maisons de luxe et prestataires informatiques monégasques s'inscrivent tous dans des chaînes de valeur européennes. Or NIS2 impose aux entreprises régulées d'évaluer la sécurité de leurs propres fournisseurs : une banque française ou un industriel italien posera donc de plus en plus de questions de sécurité à son partenaire monégasque, avec des clauses contractuelles derrière. Parler le même vocabulaire rend ces échanges tenables.

S'y ajoute une logique de souveraineté. Monaco construit depuis des années ses propres infrastructures numériques et ses propres schémas de qualification plutôt que de les importer. Une loi nationale supervisée par l'AMSN prolonge cette cohérence.

Qui serait réellement concerné

Les analyses disponibles évoquent un périmètre de l'ordre de 300 à 400 entités. Monaco est un petit territoire, et ce texte ne vise pas toutes les entreprises de la Principauté. On peut s'attendre à la distinction classique de NIS2 entre entités essentielles et importantes, les obligations les plus lourdes pesant sur les premières.

Le profil probable : banques et établissements financiers, santé, énergie et eau, transports, infrastructures numériques et prestataires informatiques gérés, organismes publics, ainsi que les opérateurs de taille significative dans les secteurs emblématiques de Monaco. Un cabinet de conseil de deux personnes ou un restaurant indépendant se situe très probablement hors du champ direct.

Mais le champ direct n'est que la moitié du sujet, et pour la plupart des lecteurs la plus petite moitié. Les obligations de chaîne d'approvisionnement ruissellent. Si vous êtes l'agence, l'éditeur logiciel ou l'hébergeur d'une entité concernée, on vous demandera de démontrer votre propre niveau de sécurité — non par un régulateur, mais par le service achats de votre client. Et cela suit le calendrier du client, pas celui du législateur. C'est déjà en cours.

Les obligations qu'il faut anticiper

Si Monaco suit le modèle NIS2 — et tous les signaux vont dans ce sens — quatre points structurent le dispositif.

Une gouvernance avec un responsable identifié. NIS2 a rendu les organes de direction responsables des mesures de gestion du risque cyber. Ce n'est plus un sujet entièrement délégué à l'informatique : quelqu'un au niveau dirigeant doit pouvoir exposer la cartographie du risque.

Des mesures de gestion du risque. Politiques, traitement des incidents, continuité d'activité, contrôle des accès, authentification multifacteur, chiffrement. Monaco les rattacherait vraisemblablement au référentiel national de cybersécurité de l'AMSN plutôt que de créer une norme parallèle.

Une notification d'incident à échéance courte. NIS2 fonctionne avec une alerte précoce à 24 heures, une notification à 72 heures et un rapport final sous un mois. C'est le délai de 24 heures qu'il faut préparer : il est bien trop court pour improviser qui décide, qui rédige et qui détient les accès.

La sécurité de la chaîne de sous-traitance. Les entités concernées doivent prendre en compte la sécurité de leurs fournisseurs et prestataires — le mécanisme même qui étend les exigences à des entreprises que la loi ne nomme jamais.

Le recoupement avec la loi n° 1.565 est votre raccourci

Les entreprises monégasques vivent déjà avec une obligation de notification des violations de données sous 72 heures, au titre de la loi n° 1.565 du 3 décembre 2024, sous le contrôle de l'APDP. Autre autorité, autre déclencheur, autre rapport : une violation de données personnelles n'est pas un incident de cybersécurité, et un même événement peut exiger les deux.

Le recoupement se situe dans la mécanique interne — et cette mécanique constitue l'essentiel du travail. Qui détecte. Qui qualifie. Qui rédige. Qui signe. Où sont les contacts et les journaux à deux heures du matin un dimanche. Construisez cela une fois, servez-vous-en pour les deux. Les entreprises ayant déjà mené leur mise en conformité protection des données APDP sont plus avancées qu'elles ne le croient.

Ce qui mérite d'être fait dans les douze prochains mois

Rien de tout cela ne dépend du texte final, et tout se rentabilise de toute façon :

• Écrivez noir sur blanc si vous êtes plausiblement concerné — directement, ou via un client qui l'est. Deux paragraphes, datés, à revoir quand le projet paraîtra.
• Corrigez les fondamentaux que tous les référentiels réclament. MFA partout, mises à jour réellement appliquées, sauvegardes testées au moins une fois en restauration, départs de collaborateurs avec retrait des accès le jour même. C'est peu spectaculaire, et c'est ce que les audits trouvent manquant.
• Cartographiez votre propre chaîne de dépendances. CMS, extensions, hébergement, prestataire de paiement, analytics, plateforme e-mail. Cet inventaire conditionne tous les autres contrôles et relève d'un contrat de maintenance et support de site suivi, pas d'un audit ponctuel.
• Répétez une fois la réponse à 24 heures. Un exercice sur table d'une heure révélera plus de failles qu'une politique de cent pages.
• Clarifiez votre récit d'infrastructure. Où sont hébergées les données, sous quelle juridiction, avec quelles certifications — des questions qui pèsent de plus en plus sur les choix de développement web à Monaco, bien avant l'arrivée d'un régulateur.

Les entreprises qui abordent le sujet comme un projet de maturité en sécurité, et non comme un projet de conformité, seront prêtes le jour venu et gagneront des appels d'offres entre-temps. Celles qui attendent la publication au Journal de Monaco auront quelques mois pour rattraper plusieurs années.

Pour un état des lieux lucide de votre site, de votre hébergement et de vos flux de données face à un tel cadre, contactez-nous — la conversation est courte et utile.