Chaîne d’approvisionnement : vos fournisseurs japonais face à NIS 2

Votre entreprise confie une partie de son informatique, de ses données ou de sa production à des partenaires japonais : un intégrateur à Tokyo, un hébergeur cloud local, un éditeur de logiciel métier, un sous-traitant industriel relié à vos systèmes. Chacun de ces liens est aussi une porte d’entrée possible. Une attaque par la chaîne d’approvisionnement consiste précisément à passer par ce tiers, souvent moins protégé, pour atteindre la cible finale.

Le Japon vit ce risque de près. En octobre 2026, une attaque par rançongiciel contre un service cloud japonais a touché d’un coup 495 entreprises et collectivités clientes. Le gouvernement prépare de son côté un dispositif national d’évaluation de la sécurité des fournisseurs, dont l’ouverture des demandes est annoncée pour mars 2027.

Pour une entreprise française, la question se pose aussi sous l’angle réglementaire : la directive NIS 2 impose de traiter la sécurité de la chaîne d’approvisionnement, fournisseurs étrangers compris. Cet article présente les attaques observées au Japon, le cadre japonais en cours de construction, ce qu’exige le droit européen, et la manière d’évaluer et d’encadrer contractuellement un fournisseur japonais.

L’essentiel en trois points

• Un risque reconnu au plus haut niveau au Japon : les attaques visant la chaîne d’approvisionnement et les sous-traitants occupent la 2e place du classement 2026 des menaces pour les organisations publié par l’agence japonaise de promotion des technologies de l’information (Information-technology Promotion Agency, IPA), pour la 8e année consécutive.
• Un label japonais en préparation : le dispositif « SCS », piloté par le ministère de l’Économie (METI) et opéré par l’IPA, classera les fournisseurs en niveaux ★3 et ★4. Il est facultatif et l’ouverture des demandes est prévue pour mars 2027 : aucun fournisseur ne peut encore s’en prévaloir.
• NIS 2 vous laisse la responsabilité : un fournisseur japonais n’est en général pas soumis à NIS 2, mais vous devez tenir compte de ses vulnérabilités et de ses pratiques de sécurité, et encadrer la relation par contrat. Les clauses à prévoir (notification d’incident, audit, sous-traitance, fin de contrat) sont détaillées plus bas.

Trois façons d’attaquer par la chaîne d’approvisionnement

Les modes opératoires sont les mêmes au Japon et en Europe. On en distingue trois.

1. Le logiciel ou la mise à jour compromis

L’attaquant pénètre l’environnement de développement ou le serveur de mise à jour d’un éditeur et insère un code malveillant dans une version légitime. Les clients installent la mise à jour par le canal habituel, avec une signature valide : rien n’éveille les soupçons. Le cas d’école reste le logiciel de supervision Orion de SolarWinds, dont la compromission a été révélée en décembre 2020 : un code malveillant avait été inséré dans son processus de compilation.

2. Le prestataire et ses accès à distance

Un mainteneur, un intégrateur ou un sous-traitant dispose d’un VPN, d’un compte d’administration ou d’une liaison dédiée vers votre système d’information. L’attaquant le compromet, par hameçonnage ou par une vulnérabilité de son équipement d’accès distant, puis utilise ces accès légitimes pour rebondir chez vous. Ces connexions ressemblent à du trafic normal, ce qui retarde la détection.

3. Les composants open source

Une application moderne embarque des centaines de bibliothèques open source (npm, PyPI, Maven…). Les attaquants publient des paquets aux noms trompeurs, exploitent la confusion entre paquets internes et publics, ou prennent le contrôle du compte d’un mainteneur pour diffuser une version piégée. Le code malveillant atteint ensuite la production par la chaîne d’intégration continue.

Ce que montrent les incidents japonais

Octobre 2026 : un cloud japonais touché, 495 clients concernés

Le 7 octobre 2026 vers 3 h 40, une partie du service « IDCF Cloud » de l’hébergeur japonais IDC Frontier (quatre zones de sa région Est-Japon 1) a été arrêtée par une attaque par rançongiciel. Les machines virtuelles ne pouvaient plus redémarrer. Selon l’hébergeur, l’incident touchait 495 entreprises et collectivités clientes. Le 8 octobre, il estimait que les données stockées dans ces zones seraient difficiles à récupérer et que seules les sauvegardes conservées par les clients eux-mêmes permettraient une restauration.

Le 14 octobre, après enquête avec un prestataire spécialisé, IDC Frontier a indiqué n’avoir trouvé aucune trace de consultation ni d’exfiltration des données des machines virtuelles, et en a conclu à l’absence de fuite vers l’extérieur. Les sauvegardes de 194 clients qui utilisaient la fonction d’instantanés (snapshots) du service ont pu être récupérées. L’hébergeur a aussi constaté des consultations illégitimes des informations d’inscription de 48 clients sur son portail.

Le point le plus instructif pour un donneur d’ordre est ailleurs. Certaines entreprises concernées n’utilisaient pas elles-mêmes ce cloud : c’était leur prestataire qui l’utilisait. Le grand magasin Takashimaya a par exemple expliqué que le sous-traitant chargé de l’envoi de ses lettres d’information hébergeait chez IDC Frontier les adresses électroniques et d’autres données de ses membres. Takashimaya a suspendu ses envois et indiquait, au 9 octobre, qu’aucune fuite n’avait été constatée. L’incident s’est produit chez le fournisseur de son fournisseur, un maillon que les contrats et les questionnaires ne couvrent souvent pas.

2022 : un équipementier attaqué, 14 usines Toyota à l’arrêt

Fin février 2022, l’équipementier automobile Kojima Industries a été victime d’un rançongiciel. Selon son rapport d’enquête, l’attaquant est entré par un équipement de connexion à distance vulnérable, qu’une filiale utilisait de sa propre initiative pour une liaison dédiée avec une entreprise extérieure. Il est passé du réseau de la filiale à celui de la maison mère, puis a chiffré une partie des serveurs et des postes. Kojima Industries n’a pas constaté d’exfiltration de données.

En raison de cette défaillance chez son fournisseur, Toyota a suspendu le 1er mars 2022 la production de 28 lignes dans 14 usines au Japon. Une seule liaison mal maîtrisée, chez un fournisseur de rang 1, a suffi à arrêter la production nationale d’un constructeur pendant une journée.

Le même constat en France

L’ANSSI décrit des situations identiques dans son Panorama de la cybermenace 2025. Elle y rapporte, en 2025, de nombreuses compromissions d’entités par des attaquants qui se sont déplacés depuis le système d’information de prestataires vers celui de leurs clients, notamment chez un prestataire servant de nombreuses entités françaises. Entre janvier et juin 2025, elle a aussi observé des attaques par rançongiciel contre plusieurs entreprises industrielles de la chaîne d’approvisionnement de la base industrielle et technologique de défense. L’agence relève que, avec le développement de la sous-traitance, les entreprises peuvent ne plus maîtriser l’intégralité des équipements intégrés à leurs réseaux.

D’autres incidents japonais de 2026, classés par secteur, figurent dans notre panorama des cyberattaques au Japon en 2026.

La réponse japonaise : un dispositif national d’évaluation des fournisseurs

L’alerte du gouvernement en octobre 2026

Après la série de fuites de l’automne 2026, le Bureau national de la cybersécurité (National Cybersecurity Office, NCO), rattaché au secrétariat du cabinet, a publié le 9 octobre 2026 des recommandations destinées aux entreprises qui traitent de grands volumes de données personnelles. Le volet consacré à la chaîne d’approvisionnement demande notamment :

• de vérifier la politique de sécurité des prestataires et le partage des responsabilités, ainsi que leurs certifications et résultats d’audit ;
• de connaître la situation des sous-traitants de second rang ;
• de contrôler non seulement à la signature du contrat, mais en continu ;
• d’inscrire au contrat l’obligation de signaler un accès illégitime ou une fuite ;
• de limiter au strict nécessaire les données confiées et de faire supprimer les données à la fin de la mission.

Ces recommandations ne sont pas contraignantes, mais elles indiquent ce que les autorités japonaises attendent désormais d’un donneur d’ordre.

Le dispositif SCS : des niveaux ★3 et ★4

Le 27 mars 2026, le METI et le NCO ont publié la politique de construction d’un « dispositif d’évaluation des mesures de sécurité pour le renforcement de la chaîne d’approvisionnement », dit dispositif SCS. L’IPA en est l’opérateur, sous la supervision du METI et du NCO. L’objectif est de rendre visible, selon des critères communs, le niveau de sécurité de chaque fournisseur. Le donneur d’ordre indique au fournisseur le niveau attendu, et le fournisseur n’a plus à remplir un questionnaire différent pour chaque client.

Quelques points utiles pour un client étranger :

• Le périmètre est l’infrastructure informatique du fournisseur, y compris ses services cloud. Les systèmes industriels (OT) et les produits livrés aux clients en sont exclus.
• Le dispositif est facultatif. Le niveau ★ exigé relève du contrat entre les parties. Les entreprises titulaires seront publiées par l’IPA.
• Le calendrier : l’IPA annonce l’ouverture des demandes pour mars 2027. En septembre 2026, elle a lancé l’appel à candidatures des organismes d’évaluation. Comme le précise le METI, aucune entreprise ne détiendra de niveau ★ au moment de l’ouverture.
• Les références : pour fixer les exigences, la politique de construction s’est notamment appuyée sur le dispositif britannique Cyber Essentials et sur les lignes directrices de sécurité de l’industrie automobile japonaise. Une reconnaissance mutuelle avec des dispositifs étrangers fait partie des sujets à étudier, sans décision à ce jour.

Les règles déjà en vigueur

Le droit japonais encadre déjà la sous-traitance du traitement de données. La loi sur la protection des informations personnelles (APPI) oblige l’entreprise qui confie des données personnelles à un prestataire à le superviser (article 25). Selon les lignes directrices de la Commission de protection des informations personnelles (PPC), cette supervision comprend le choix du prestataire, le contrat et le suivi de son application, par exemple par des audits. Elle s’étend aussi aux sous-traitants de second rang et au-delà : la PPC attend que le donneur d’ordre soit informé à l’avance des sous-traitances ultérieures, ou les approuve, et prévient qu’une fuite chez un sous-traitant de second rang peut être imputée au donneur d’ordre initial s’il n’a pas exercé de supervision suffisante.

En cas de fuite, l’entreprise responsable doit faire un premier signalement à la PPC « rapidement », soit en pratique sous 3 à 5 jours environ, puis un rapport complet sous 30 jours, ou 60 jours lorsque la fuite résulte d’un acte malveillant comme un accès illégitime. Ces délais sont plus longs que ceux de NIS 2, ce qui compte dans la rédaction de vos clauses de notification (voir plus bas). Nous comparons ces régimes dans notre article sur la notification des fuites au Japon et dans le RGPD.

Enfin, les lignes directrices de cybersécurité destinées aux dirigeants (Cybersecurity Management Guidelines, version 3.0 de mars 2023, disponibles en anglais) posent comme principe que la direction doit veiller à la sécurité de toute la chaîne d’approvisionnement, partenaires, sous-traitants et sites à l’étranger compris.

Ce que le droit européen exige vis-à-vis d’un fournisseur japonais

NIS 2 : la sécurité de la chaîne d’approvisionnement est une mesure obligatoire

L’article 21, paragraphe 2, point d), de la directive NIS 2 range parmi les mesures minimales « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Le paragraphe 3 précise que l’entité doit tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité » de ses fournisseurs, y compris de leurs procédures de développement sécurisé. Selon l’article 20, les organes de direction approuvent ces mesures et peuvent être tenus responsables de leur violation.

La nationalité du fournisseur ne change rien : un intégrateur japonais qui ne fournit pas de services dans l’Union n’est pas soumis à NIS 2, mais vous restez responsable de la manière dont vous gérez le risque qu’il représente.

Où en est la France ? Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui transpose NIS 2, a été adopté par le Sénat le 12 mars 2025. La commission spéciale de l’Assemblée nationale a adopté son texte le 10 septembre 2025. À la mi-octobre 2026, la loi n’est pas encore définitivement adoptée. Le 8 juillet 2026, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France (ainsi que l’Irlande, l’Espagne et les Pays-Bas) pour défaut de transposition complète, en demandant des sanctions financières. L’ANSSI met déjà à disposition son Référentiel Cyber France (ReCyF), qui décrit les mesures attendues des entités assujetties. Il n’y a donc pas de raison d’attendre la loi pour revoir vos contrats.

Le règlement d’exécution 2024/2690 : la liste des clauses

Pour les fournisseurs de services numériques (cloud, centres de données, services gérés et de sécurité gérés, DNS, places de marché, etc.), le règlement d’exécution (UE) 2024/2690 détaille ce que doit contenir un contrat avec un fournisseur, lorsque c’est nécessaire au vu de l’analyse de risque :

• les exigences de cybersécurité applicables au fournisseur ;
• les exigences de sensibilisation, de compétences, de formation et, le cas échéant, de certification de son personnel ;
• la vérification des antécédents de ce personnel ;
• l’obligation de notifier sans retard injustifié les incidents qui présentent un risque pour vos systèmes ;
• le droit d’effectuer des audits ou de recevoir des rapports d’audit ;
• l’obligation de gérer les vulnérabilités qui présentent un risque pour vos systèmes ;
• les règles de sous-traitance et les exigences applicables aux sous-traitants ;
• les obligations en fin de contrat, comme la restitution et la destruction des informations.

Même si votre entreprise n’appartient pas à ces catégories, cette liste est une bonne base pour tout contrat avec un prestataire informatique.

DORA, RGPD et Cyber Resilience Act

• Secteur financier : le règlement DORA, applicable depuis le 17 janvier 2025, impose dans ses contrats avec les prestataires TIC (article 30) d’indiquer si la sous-traitance est autorisée et à quelles conditions, ainsi que les régions ou pays où les services sont fournis et les données traitées, avec une obligation d’informer à l’avance en cas de changement.
• Données personnelles : la décision d’adéquation de la Commission du 23 janvier 2019 permet de transférer des données personnelles vers des entreprises japonaises soumises à l’APPI. Elle ne dispense pas du contrat de sous-traitance de l’article 28 du RGPD : votre prestataire japonais ne peut pas faire appel à un autre sous-traitant sans votre autorisation écrite préalable.
• Produits : si votre fournisseur japonais fabrique des produits comportant des éléments numériques mis sur le marché européen, le Cyber Resilience Act (règlement (UE) 2024/2847) lui imposera notamment, à partir du 11 décembre 2027, d’établir une nomenclature des logiciels (SBOM). Ses obligations de signalement des vulnérabilités activement exploitées et des incidents graves s’appliquent déjà depuis le 11 septembre 2026.

Comparaison des cadres

Évaluer un fournisseur japonais : les questions à poser

Avant de signer, ou au prochain renouvellement, posez par écrit les questions suivantes. Elles reprennent les critères de NIS 2 et les points de vigilance des autorités japonaises.

• Certifications : le fournisseur est-il certifié ISO/IEC 27001 (au Japon, on parle souvent de certification « ISMS ») ? Sur quel périmètre exact ? Détient-il la « Privacy Mark », label japonais de protection des données personnelles délivré par la JIPDEC sur la base de la norme JIS Q 15001 ? Peut-il fournir un rapport SOC 2 ? Pour un service cloud, est-il inscrit au registre ISMAP, le programme d’évaluation des services cloud utilisé par l’administration japonaise ?
• Dispositif SCS : le fournisseur envisage-t-il de demander le niveau ★3 ou ★4, et à quelle échéance ?
• Chaîne de sous-traitance : quels sous-traitants, filiales et sociétés partenaires interviennent dans le cadre de votre contrat ? Quels services cloud et SaaS utilisent-ils pour vos données ?
• Accès à vos systèmes : quels comptes, VPN et liaisons dédiées le fournisseur utilise-t-il ? L’authentification multifacteur est-elle imposée ? Les comptes sont-ils nominatifs ou partagés ?
• Localisation : où sont hébergées vos données, et où sont-elles sauvegardées ?
• Incidents : qui vous prévient, dans quel délai, en quelle langue ? Le fournisseur a-t-il déjà subi un incident, et qu’a-t-il changé depuis ?
• Vulnérabilités et logiciels : comment les correctifs sont-ils appliqués ? Pouvez-vous obtenir une SBOM des logiciels livrés ?
• Continuité : si le service du fournisseur, ou celui de son propre hébergeur, s’arrête, disposez-vous d’une copie de vos données et d’une solution de repli ?

Le cas IDC Frontier montre l’importance des deux dernières questions. Ses clients qui avaient leurs propres sauvegardes ou utilisaient la fonction d’instantanés ont pu récupérer leurs données. Les autres en étaient réduits à attendre.

Ce qu’il faut écrire dans le contrat

Un contrat avec un fournisseur japonais devrait au minimum couvrir les points suivants.

• Exigences de sécurité : un référentiel nommé (ISO/IEC 27001, niveau SCS une fois le dispositif ouvert, ou vos propres exigences annexées), plutôt qu’une formule générale.
• Notification d’incident : un délai compatible avec vos propres obligations. Si vous êtes soumis à NIS 2, un délai de 24 heures au plus est cohérent avec votre alerte précoce. Prévoyez aussi le contenu minimal, le canal, la langue (anglais) et un interlocuteur joignable pendant vos heures de travail.
• Droit d’audit : le droit d’auditer, sur place ou à distance, ou au moins de recevoir les rapports d’audit et de certification.
• Gestion des vulnérabilités : des délais de correction selon la gravité et l’information du client sur les vulnérabilités critiques.
• Sous-traitance : une autorisation préalable écrite, la répercussion des mêmes exigences sur chaque niveau de sous-traitance, et la liste des sous-traitants et services cloud tenue à jour.
• Localisation des données : les pays d’hébergement et de traitement, et l’obligation de vous prévenir avant tout changement.
• Accès : des comptes nominatifs, l’authentification multifacteur, le principe du moindre privilège et la révocation des accès à la fin de chaque intervention.
• Fin de contrat : la restitution des données dans un format exploitable et leur destruction attestée, chez le fournisseur comme chez ses sous-traitants.

Pour les contrats en cours, il est souvent plus réaliste d’introduire ces clauses par avenant au moment du renouvellement, en commençant par les fournisseurs qui ont accès à vos systèmes ou à des données sensibles.

Les particularités d’un fournisseur japonais

La langue

Les politiques de sécurité, les rapports d’incident et les procédures internes d’un fournisseur japonais sont généralement rédigés en japonais. Demandez des synthèses en anglais des documents clés, prévoyez au contrat la langue des notifications et la version qui fait foi, et budgétez la traduction des rapports d’audit. Dans une crise, un premier rapport rédigé uniquement en japonais vous fera perdre plusieurs heures.

Le décalage horaire

Le Japon a 8 heures d’avance sur Paris en hiver et 7 heures en été. Un incident détecté en fin de journée à Tokyo vous parvient au matin en France. Un délai contractuel de notification n’a de sens que s’il précise le fuseau de référence et un contact disponible.

La sous-traitance en cascade

Dans l’informatique japonaise, un grand intégrateur s’appuie souvent sur des filiales et des sociétés partenaires, qui peuvent elles-mêmes sous-traiter. La personne qui intervient sur vos systèmes n’est donc pas toujours salariée de votre cocontractant. La bonne nouvelle : la supervision des sous-traitants de second rang est déjà une attente des lignes directrices de la PPC. Votre fournisseur connaît donc le principe de l’information ou de l’approbation préalable, et vous pouvez l’étendre à la sécurité informatique.

Le fournisseur de votre fournisseur

L’incident IDC Frontier l’a montré : le risque peut se trouver chez l’hébergeur ou le fournisseur SaaS auquel fait appel votre prestataire, sans que vous le sachiez. Demandez la liste de ces services, au moins pour les traitements de données personnelles et pour les fonctions critiques.

Une négociation, pas une injonction

Le METI rappelle que le niveau ★ exigé doit être convenu entre les parties, dans le respect du droit de la concurrence et de la loi japonaise qui protège les petits sous-traitants contre les abus des donneurs d’ordre. Imposer brutalement de nouvelles exigences à un petit fournisseur japonais, sans discussion sur le calendrier ni sur la charge, risque de bloquer la relation. Expliquez pourquoi vous en avez besoin (NIS 2, DORA, RGPD), et fixez une trajectoire réaliste.

Questions fréquentes

Q1. Notre fournisseur japonais doit-il se conformer à NIS 2 ?

Pas directement, s’il ne fournit pas de services dans l’Union. C’est votre entreprise, si elle est assujettie, qui doit gérer le risque lié à ce fournisseur. En pratique, les exigences lui seront transmises par votre contrat.

Q2. Peut-on exiger dès maintenant le niveau ★3 ou ★4 du dispositif SCS ?

Pas encore : l’ouverture des demandes est annoncée pour mars 2027 et aucun fournisseur ne détient aujourd’hui de niveau ★. Vous pouvez en revanche demander à votre fournisseur s’il compte l’obtenir, et utiliser dès maintenant les exigences publiées comme liste de contrôle commune.

Q3. Une certification ISO/IEC 27001 suffit-elle ?

C’est une bonne base, à condition de vérifier son périmètre : le site, le service ou l’équipe qui travaille pour vous doivent y être inclus. Elle ne remplace ni les clauses contractuelles (notification, audit, sous-traitance) ni le suivi régulier qu’attend NIS 2.

Q4. La décision d’adéquation avec le Japon nous dispense-t-elle d’un contrat RGPD ?

Non. Elle facilite le transfert des données vers le Japon, mais un prestataire qui traite des données pour votre compte reste un sous-traitant au sens de l’article 28 du RGPD, avec un contrat et une autorisation préalable pour toute sous-traitance ultérieure.

Q5. Par quels fournisseurs commencer ?

Par ceux qui ont un accès permanent à vos systèmes (VPN, comptes d’administration, liaisons dédiées), puis par ceux qui hébergent des données personnelles ou des données sensibles, et enfin par ceux dont l’arrêt bloquerait votre activité.

Parler à AEVUS

AEVUS est une entreprise de cybersécurité basée au Japon. Nous évaluons la sécurité des fournisseurs et des prestataires japonais, sur dossier, par entretien en japonais et par des tests techniques. Nous menons aussi des tests d’intrusion qui simulent une attaque passant par les accès d’un prestataire. Si vous devez évaluer un fournisseur japonais, vérifier ses accès à vos systèmes ou préparer les questions et clauses à lui soumettre, contactez-nous.

En résumé

• Les attaques par la chaîne d’approvisionnement sont la 2e menace pour les organisations au Japon en 2026, selon l’IPA.
• L’incident IDC Frontier d’octobre 2026 (495 clients touchés) montre que le risque se trouve aussi chez le fournisseur de votre fournisseur.
• Le dispositif japonais SCS (niveaux ★3 et ★4) sera ouvert aux demandes en mars 2027 ; il est facultatif et s’appliquera par contrat.
• NIS 2 vous impose de tenir compte des vulnérabilités et des pratiques de vos fournisseurs directs, japonais compris, même si la loi française de transposition n’est pas encore adoptée.
• Prévoyez au contrat la notification d’incident, le droit d’audit, l’encadrement de la sous-traitance, la localisation des données et la restitution en fin de contrat, en anglais et avec des délais compatibles avec vos obligations.

Sources

• IPA, classement 2026 des dix principales menaces pour la sécurité de l’information, 29 janvier 2026 (en japonais)
• Bureau national de la cybersécurité (NCO), mesures à prendre à la suite des fuites de données par accès illégitime, 9 octobre 2026 (en japonais, PDF)
• IPA, contrôles et mesures à mettre en œuvre rapidement à la suite des fuites de données, 9 octobre 2026 (en japonais)
• METI, présentation et FAQ du dispositif d’évaluation SCS (en japonais)
• METI et NCO, politique de construction du dispositif d’évaluation SCS, 27 mars 2026 (en japonais, PDF)
• IPA, site officiel du dispositif d’évaluation SCS (en japonais)
• IDC Frontier, 3e communiqué sur la panne causée par un accès illégitime, 8 octobre 2026 (en japonais)
• IDC Frontier, 5e communiqué sur l’avancement de l’enquête, 14 octobre 2026 (en japonais)
• Takashimaya, suspension des lettres d’information à la suite de la panne de la plateforme cloud de son prestataire, 9 octobre 2026 (en japonais)
• Kojima Industries, rapport d’enquête sur l’arrêt de ses systèmes (1er rapport), 31 mars 2022 (en japonais, PDF)
• Toyota, March Production Plan (as of February 28), 28 février 2022
• PPC, lignes directrices générales sur la loi sur la protection des informations personnelles (en japonais)
• METI, Cybersecurity Management Guidelines Ver 3.0 (en japonais, version anglaise disponible)
• JIPDEC, site officiel de la Privacy Mark (en japonais)
• Directive (UE) 2022/2555 (NIS 2), articles 20, 21 et 23
• Règlement d’exécution (UE) 2024/2690, annexe, point 5.1
• Règlement (UE) 2022/2554 (DORA), article 30
• Règlement (UE) 2016/679 (RGPD), article 28
• Décision d’exécution (UE) 2019/419 relative au niveau de protection adéquat assuré par le Japon, 23 janvier 2019
• Règlement (UE) 2024/2847 (Cyber Resilience Act), article 71 et annexe I
• Sénat, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité
• Commission européenne, saisine de la Cour de justice pour défaut de transposition de NIS 2, 8 juillet 2026
• ANSSI, Panorama de la cybermenace 2025, 11 mars 2026 (PDF)
• ANSSI, Découvrez la directive NIS 2 et passez à l’action !, mars 2026 (PDF)

Articles connexes

• La certification ISO/IEC 27001 au Japon
• Cyberattaques contre l’industrie japonaise en 2026
• Notifier une fuite de données au Japon et dans l’Union européenne