Classification et gouvernance des données : quelle stratégie adopter ?

Avec 1 366 incidents cyber confirmés en France en 2025 et une hausse de 51 % des exfiltrations de données en un an, selon le Panorama de la cybermenace de l’ANSSI, et un cadre réglementaire qui se durcit sous l’effet de la directive européenne NIS 2, la maîtrise de ses données devient une exigence structurante. Le coût moyen d’une violation de données est particulièrement élevé, puisqu’il a atteint 3,59 millions d’euros en France en 2025, d’après le rapport IBM Cost of a Data Breach.

Ne pas savoir où se trouvent ses données ni quel niveau de protection leur est appliqué constitue un risque opérationnel majeur, pouvant entraîner une interruption d’activité, une atteinte à la réputation, voire une perte de confiance client. En 2026, la classification des données relève de la stratégie de sécurité au même titre que les dispositifs techniques.

Classification, gouvernance des données : savoir ce que l’on doit protéger

Souvent abordées ensemble, les démarches de classification et de gouvernance des données sont fréquemment confondues.

La classification des données correspond au fait d’attribuer à chaque information un niveau de sensibilité en fonction de l’impact que sa compromission, sa divulgation ou sa perte pourrait avoir sur l’organisation. Cette démarche n’est donc pas un simple exercice de catalogage. Elle permet de mieux connaître et protéger son patrimoine informationnel, en particulier les données ayant une valeur stratégique, opérationnelle ou réglementaire.

Classifier les données en fonction de leur niveau de sensibilité permet de leur apporter une protection adaptée. 

La gouvernance des données renvoie à l’ensemble des règles, responsabilités et processus qui encadrent la gestion du cycle de vie de l’information : comment une donnée est créée, partagée, co-éditée, archivée, supprimée, par qui, dans quelles conditions, qui accède à quelles données, pendant combien de temps et avec quelles traces.

Sans gouvernance, la classification des données reste théorique. C’est bien la gouvernance qui permet de s’assurer que les niveaux de classification et de protection s’appliquent réellement dans les systèmes et dans le fonctionnement de l’organisation.

Les démarches de classification et de gouvernance des données sont des pratiques continues, progressives et accessibles, qui commencent par les données à fort impact et concernent les organisations de toute taille.

En pratique, une gouvernance des données efficace repose sur différents piliers complémentaires.

• Responsabilités claires : chaque donnée sensible se voit attribuer un propriétaire métier, chargé de déterminer le niveau de classification de cette donnée et de s’assurer que les règles de protection adaptées sont respectées.
• Règles d’accès documentées et appliquées : principe du moindre privilège, habilitations revues régulièrement, suppression des accès dormants.
• Traçabilité des opérations : journaux d’accès, logs système, historique des partages.

Les différents niveaux de classification : construire son ééchelle plutôt que la copier

Aucun texte ne fixe de grille de classification. Le RGPD demande des mesures proportionnées au risque, NIS 2 une gestion des risques documentée, et la norme ISO/IEC 27001 une classification de l’information adaptée à l’activité de l’organisation. Aucun ne fixe le nombre ni le nom des niveaux. L’échelle relève donc de chaque organisation, en fonction de son secteur, de sa taille et de la nature de ses données.

Les pratiques observées varient. Certaines organisations s’en tiennent à trois niveaux, ce qui suffit souvent à couvrir le besoin sans alourdir le dispositif. D’autres en retiennent quatre, avec un palier supplémentaire réservé à un périmètre très restreint. Les équipes sécurité utilisent par ailleurs le Traffic Light Protocol pour encadrer la diffusion des informations liées aux incidents et aux vulnérabilités. Ce cadre ne remplace pas une échelle de classification, il précise avec qui une information peut être partagée. Enfin, les organisations travaillant avec l’État relèvent d’un régime distinct, où les mentions de protection sont imposées par la réglementation et non choisies en interne.

Protégez vos données sensibles

Découvrez comment Oodrive protège vos données sensibles des lois extraterritoriales grâce à la qualification SecNumCloud

En savoir plus

L’échelle ci-dessous en retient trois, associant à chacun un code et un libellé. Le code sert de référence stable dans les politiques de sécurité et dans le paramétrage des outils, le libellé porte le sens pour les métiers qui classent au quotidien. Une organisation qui a besoin d’un palier supplémentaire ajoute un C4 sans renommer les niveaux existants ni refondre ses règles. Ce point de départ reste à ajuster au contexte de chaque organisation.

	C1 Public	C2 Interne	C3 Confidentiel
Définition	Informations destinées à être diffusées, sans conséquence en cas de reprise à l’extérieur	Informations qui circulent entre collaborateurs sans caractère critique, non destinées à sortir de l’organisation	Informations dont la divulgation, l’altération ou la perte porterait préjudice à l’organisation, à ses clients ou à des tiers
Qui y accède	Tout public	L’ensemble des collaborateurs	Les seules personnes dont la mission le justifie, sur habilitation nominative
Protection	Aucune mesure particulière au-delà du contrôle éditorial avant publication	Authentification standard. Partage externe soumis à validation préalable	Authentification renforcée. Chiffrement en transit et au repos. Traçabilité des accès et des partages. Partage externe encadré et limité dans le temps. Hébergement sur une infrastructure sécurisée, qualifiée SecNumCloud pour les périmètres les plus sensibles
Durée de conservation	Libre	Définie par la politique documentaire	Définie, avec suppression ou archivage à l’échéance et preuve de l’opération
Exemples	Rapports annuels, fiches produits, plaquettes commerciales	Procédures internes, notes de service, comptes rendus de réunion	Données personnelles, informations contractuelles, propriété intellectuelle, délibérations des organes de gouvernance, plans stratégiques, données de recherche et développement

Ce qui compte davantage que le nombre de niveaux, c’est leur lisibilité par les métiers. Une échelle dont les paliers ne se distinguent pas clairement dans l’usage quotidien produit des arbitrages incohérents, et une donnée mal classée reçoit une protection inadaptée.

À noter

L’erreur fréquente dans une démarche de classification des données est de « sur-classifier » par excès de précautions, ce qui rend le dispositif ingérable. Une approche pragmatique consiste à partir des risques : quelles seraient les conséquences d’une fuite de cette donnée, qui en serait affecté, avec quel coût et quels impacts ?

Gouvernance des données et conformité : ce que le RGPD et NIS 2 imposent en pratique

Sur le plan réglementaire, depuis 2018, le RGPD demande aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles proportionnées aux risques. Ces mesures doivent être documentées. Ce principe « d’accountability » contraint les organisations à démontrer la manière dont elles respectent les obligations du règlement européen. Une organisation qui ne sait pas où se trouvent ses données personnelles et qui y accède s’expose à un risque de non-conformité.

La directive européenne NIS 2 renforce la logique de maîtrise des risques et de responsabilité. Les membres du conseil d’administration ou de la direction générale sont impliqués dans la gestion des risques cyber et peuvent voir leur responsabilité engagée en cas de manquement grave. Les enjeux de cybersécurité et de protection des données relèvent désormais du comité de direction, et non plus du seul périmètre de la DSI. La directive NIS 2 insiste également sur la protection de l’ensemble de la chaîne d’approvisionnement, ce qui implique d’avoir une vision claire de quelles données circulent auprès de qui, dans quelles conditions et avec quel niveau de sécurité.

RGPD et NIS 2 convergent vers une même exigence pratique : une organisation doit savoir quelles données elle détient, où se trouvent ces données, qui y accède, et surtout être en mesure de documenter et prouver cela. La gouvernance suppose de tracer et de documenter ces responsabilités au moyen de preuves.

SecNumCloud, un cadre de confiance pour les données les plus sensibles

Cette exigence de maîtrise et de preuves influence le choix d’infrastructure d’hébergement de données. Le référentiel SecNumCloud, élaboré par l’ANSSI, constitue un cadre de référence et de confiance pour les périmètres sensibles.

La version 3.2 du référentiel SecNumCloud, publiée en 2022, définit le plus haut niveau d’exigence applicable aux solutions cloud, aussi bien en matière de sécurité que de souveraineté. Le référentiel impose des critères de protection contre les législations extraterritoriales, portant notamment sur la localisation des données, la nationalité de l’entité qui exploite le service et son actionnariat.

Pour les organisations concernées par la doctrine Cloud au Centre de l’État, les opérateurs d’importance vitale, et plus largement les entités essentielles et importantes au sens de NIS 2, SecNumCloud offre les garanties les plus solides de sécurité et de souveraineté.

SecNumCloud n’est toutefois pas conçu pour protéger l’intégralité des données d’une organisation. Le recours à un environnement qualifié SecNumCloud se justifie dans le cas de données pour lesquelles une compromission aurait des conséquences graves et durables (exemples : données liées à la gouvernance d’entreprise, données contractuelles, données industrielles critiques échangées avec des partenaires et sous-traitants, etc.). Cette logique de ciblage des données par leur criticité garantit un niveau de protection élevé aux données ayant le plus de valeur.

La Diffusion Restreinte, un cas particulier

Certaines organisations manipulent des informations portant la mention Diffusion Restreinte. Cette mention ne relève pas de la classification interne : elle est attribuée par l’État et s’accompagne d’exigences de protection définies par l’instruction interministérielle 901. Les entités concernées, notamment dans la défense, l’industrie de souveraineté et leurs chaînes de sous-traitance, doivent héberger et échanger ces informations dans un environnement homologable au niveau DR. L’homologation reste de la responsabilité de l’entité et de son prestataire d’homologation. Oodrive propose une plateforme collaborative reposant sur un cloud privé qualifié SecNumCloud renforcé au niveau DR, avec traçabilité native, journalisation intégrable à un SIEM et cloisonnement par niveau de sensibilité. 

Démarrer la classification de ses données dès 2026, avec une démarche progressive

La classification et la gouvernance des données constituent le socle de toute stratégie efficace de sécurité et de souveraineté. La conformité réglementaire découle ensuite d’une bonne maîtrise des données.

Il n’est toutefois pas nécessaire de mener d’un seul trait le travail de classification de ses données. Une démarche progressive, centrée dans un premier temps sur les données à plus fort impact, est possible. L’essentiel est de démarrer avec une méthodologie de cartographie des données claire, en impliquant les métiers, et en mettant rapidement à l’abri les données qui comptent le plus.

Les données évoluent, les risques changent et les réglementations se précisent. La classification et la gouvernance des données ne sont pas des processus figés. Elles doivent être revues régulièrement pour rester alignées avec la réalité de l’organisation, les risques qui pèsent sur ses données et les exigences réglementaires.