Conformité cyber et protection des données en Inde : DPDP, CERT-In, RBI, SEBI et IRDAI expliqués

Pourquoi l'Inde exige sa propre feuille de route de conformité

L'Inde n'a pas une réglementation unique en matière de cybersécurité. Elle superpose une loi transversale de protection des données à un ensemble de règles cyber sectorielles, et l'acheteur doit déterminer quelle combinaison le concerne. Une fintech de Mumbai fait face à un dispositif très différent de celui d'un groupe hospitalier ou d'un industriel coté.

Deux éléments rendent le dispositif indien singulier. D'abord, les obligations sont exceptionnellement opérationnelles : une fenêtre de déclaration de six heures, une conservation des journaux sur le territoire et des attentes d'audit prescriptives plutôt que de simples principes. Ensuite, les régulateurs se renforcent mutuellement : un seul audit habilité ou une capacité de réponse à incident bien menée peut satisfaire plusieurs obligations déclaratives à la fois.

Ce guide parcourt les cinq régimes sur lesquels les acheteurs nous interrogent le plus : ce qu'est chacun, à qui il s'applique et ses obligations principales. Lorsqu'une date d'entrée en vigueur ou une échéance précise compte pour votre planification, considérez les dates indiquées ici comme un point de départ et vérifiez-les auprès de la source primaire ou de la notification officielle avant de vous y fier, car les entrées en vigueur échelonnées et les amendements sont fréquents en Inde.

Loi DPDP 2023 : la loi transversale indienne de protection des données

La Digital Personal Data Protection Act 2023 est la première loi indienne complète de protection des données. Elle encadre le traitement des données personnelles numériques des personnes (Data Principals) situées en Inde et atteint certains traitements réalisés depuis l'étranger consistant à offrir des biens ou services à des personnes en Inde. Elle est indépendante des secteurs : elle se superpose donc aux règles financières, de santé ou autres qui vous concernent déjà.

La loi repose sur le consentement et la responsabilité. Chaque Data Fiduciary doit fournir une information claire, recueillir un consentement valide (ou s'appuyer sur certains usages légitimes limités), mettre en œuvre des mesures de sécurité raisonnables, notifier au Data Protection Board et aux personnes concernées toute violation de données personnelles, et honorer les droits des personnes tels que l'accès, la rectification et l'effacement. Les organisations désignées par le gouvernement comme Significant Data Fiduciaries assument des obligations supplémentaires : analyses d'impact, audits périodiques, désignation d'un délégué à la protection des données et d'un auditeur de données indépendant.

La loi a été adoptée en 2023, et les règles DPDP qui la rendent opérationnelle entrent en vigueur de manière échelonnée, plusieurs obligations de fond s'appliquant plus tard que les dispositions fondatrices. Les dates exactes des phases ont évolué au fil du processus réglementaire : confirmez le calendrier en vigueur auprès de la dernière notification officielle plutôt que de supposer une date fixe. Les sanctions sont fixées en plafonds de roupies par manquement, la tranche la plus élevée (jusqu'à 250 crores INR) étant attachée au défaut de mesures de sécurité raisonnables.

• S'applique à : toute organisation traitant des données personnelles numériques de personnes en Inde, y compris certains traitements depuis l'étranger
• Obligations centrales : information, consentement valide, mesures de sécurité, notification des violations, droits des personnes, limitation des finalités et durée de conservation
• Significant Data Fiduciaries : ajoutent les analyses d'impact, l'audit périodique, le DPO et l'auditeur de données indépendant
• Sanctions : plafonds en roupies par manquement, jusqu'à 250 crores INR pour des mesures de sécurité insuffisantes (vérifiez le barème en vigueur dans la loi)

CERT-In : déclaration en 6 heures et politique d'audit 2025

L'Indian Computer Emergency Response Team (CERT-In) est l'agence nationale chargée des incidents cyber au titre de l'article 70B de l'Information Technology Act. Ses directives de 2022 comptent parmi les règles les plus exigeantes au monde sur le plan opérationnel : les incidents cyber visés doivent être déclarés à CERT-In dans les six heures suivant leur prise de connaissance, selon le format prescrit.

Ces mêmes directives ajoutent des obligations techniques que les auditeurs vérifient systématiquement : conserver de manière sécurisée les journaux des systèmes TIC sur le territoire indien pendant une période glissante de 180 jours, synchroniser toutes les horloges système sur les serveurs NTP du NIC ou du NPL, et tenir à jour auprès de CERT-In des coordonnées organisationnelles exactes. Respecter la fenêtre de six heures n'est pas un exercice administratif : cela suppose de détecter rapidement les incidents et de disposer d'un plan de déclaration convenu, ce qui implique en pratique une surveillance continue et un chemin d'escalade défini à l'avance.

CERT-In a également fait évoluer ses attentes d'audit de la vérification par cases à cocher vers la résilience, avec des orientations d'audit TIC complet qui insistent sur la revue indépendante, des livrables d'audit signés et la couverture du cloud, de l'IA, de la blockchain et du risque tiers. Considérez la date exacte de publication et d'entrée en vigueur de la politique d'audit en cours comme un point à confirmer auprès des lignes directrices publiées par CERT-In. Point important : les régulateurs financiers ci-dessous attendent généralement des auditeurs habilités par CERT-In, si bien qu'un seul audit habilité peut soutenir plusieurs déclarations réglementaires.

• S'applique à : prestataires de services, intermédiaires, centres de données, sociétés et organismes publics opérant en Inde
• Règle phare : déclarer les incidents visés dans les 6 heures suivant leur prise de connaissance
• Et aussi : conservation des journaux en Inde pendant 180 jours, synchronisation NTP NIC/NPL, coordonnées enregistrées
• Audits : audits TIC complets avec revue indépendante (confirmez les dates de la politique en vigueur auprès de CERT-In)

RBI : audit IS et résilience cyber pour le secteur financier

La Reserve Bank of India fixe les attentes de cybersécurité et de résilience des entités qu'elle supervise : banques, NBFC, opérateurs de systèmes de paiement et acteurs financiers associés. Plutôt qu'une règle unique, les attentes de la RBI se répartissent entre des master directions et des circulaires portant sur la gouvernance informatique, la sécurité de l'information et la résilience cyber, et elles sont renforcées par la revue prudentielle.

Une exigence centrale et récurrente est l'audit des systèmes d'information (IS audit) : un audit structuré et périodique des contrôles informatiques, de la gestion des changements, de la gestion des accès et de la posture de sécurité, généralement réalisé par des auditeurs qualifiés, souvent habilités par CERT-In, et présenté au conseil d'administration ou à son comité informatique/risques. Les entités régulées doivent également déclarer les incidents à la RBI, disposer d'une politique de cybersécurité approuvée par le conseil et, de plus en plus, démontrer une résilience opérationnelle et cyber plutôt que des contrôles ponctuels.

La cadence d'audit précise, les seuils d'applicabilité et les attentes de résilience varient selon le type d'entité et ont été renforcés au fil des circulaires et master directions successives de la RBI. Comme ces textes sont fréquemment mis à jour, confirmez la master direction en vigueur et son applicabilité à votre catégorie de licence auprès des publications de la RBI avant de cadrer vos travaux.

• S'applique à : entités régulées par la RBI — banques, NBFC, opérateurs de systèmes de paiement et assimilés
• Attente centrale : audit IS périodique présenté au conseil, plus une politique de sécurité approuvée par le conseil
• Et aussi : déclaration des incidents à la RBI et résilience cyber démontrable
• La cadence et les seuils varient selon le type d'entité — vérifiez auprès de la master direction RBI applicable

CSCRF du SEBI : cybersécurité et résilience cyber pour les acteurs des marchés

Le Securities and Exchange Board of India a introduit le Cybersecurity and Cyber Resilience Framework (CSCRF) afin de regrouper les exigences cyber applicables aux entités qu'il régule — bourses, dépositaires, courtiers, fonds communs, teneurs de registres et autres intermédiaires — dans un cadre unique et gradué. Il remplace une mosaïque de circulaires antérieures par un ensemble structuré de mesures organisées autour des finalités identifier, protéger, détecter, répondre et rétablir.

Le CSCRF se distingue par sa gradation : les entités sont classées en catégories selon leur taille et leur criticité, et la profondeur des obligations — audits, VAPT, dispositifs de SOC et déclarations — évolue avec ce classement. Les points communs incluent des VAPT et audits cyber périodiques, la supervision et les opérations de sécurité, la déclaration des incidents au SEBI et une gouvernance au niveau du conseil.

Le CSCRF s'applique par phases selon les catégories d'entités régulées, avec des dates de conformité différentes selon les cohortes, et le SEBI a publié depuis des clarifications et des reports. La catégorie qui vous concerne, et la date à laquelle elle s'applique, doivent être vérifiées auprès de la circulaire CSCRF en vigueur et de ses amendements ultérieurs plutôt que supposées.

• S'applique à : entités régulées par le SEBI — bourses, dépositaires, courtiers, fonds communs, teneurs de registres, intermédiaires
• Structure : un cadre gradué — les obligations évoluent avec le classement de l'entité
• Obligations centrales : VAPT et audit cyber périodiques, supervision/SOC, déclaration des incidents, gouvernance du conseil
• Applicabilité par phases selon les cohortes — confirmez votre catégorie et votre date auprès de la circulaire SEBI en vigueur

IRDAI : sécurité de l'information et cybersécurité pour les assureurs

L'Insurance Regulatory and Development Authority of India fixe les attentes en matière de sécurité de l'information et de cybersécurité pour les assureurs, réassureurs et intermédiaires d'assurance au travers de ses lignes directrices dédiées. Le cadre impose une structure de gouvernance, une politique de cybersécurité approuvée par le conseil et la désignation d'un responsable de la sécurité des systèmes d'information (CISO) responsable du programme.

Sur le plan opérationnel, les assureurs régulés doivent réaliser des audits de sécurité de l'information et des VAPT périodiques, maintenir la détection et la déclaration des incidents, gérer le risque lié aux tiers et à l'externalisation, et déclarer les incidents cyber conformément aux exigences de l'IRDAI comme de CERT-In. Comme pour les autres régulateurs financiers, les audits doivent généralement être réalisés par des évaluateurs qualifiés, habilités par CERT-In.

Les lignes directrices de l'IRDAI ont été révisées au fil du temps, y compris par consolidation et mise à jour pour s'aligner sur les attentes nationales plus larges en matière de cyber. Confirmez la version en vigueur des lignes directrices IRDAI relatives à la sécurité de l'information et à la cybersécurité, ainsi que les obligations propres à votre type d'entité, auprès des publications de l'IRDAI avant de vous appuyer sur une exigence ou une date précise.

• S'applique à : assureurs, réassureurs et intermédiaires d'assurance régulés par l'IRDAI
• Gouvernance : politique cyber approuvée par le conseil et CISO désigné
• Opérationnel : audit IS et VAPT périodiques, déclaration des incidents, risque tiers/externalisation
• Les lignes directrices sont révisées périodiquement — vérifiez la version en vigueur auprès de l'IRDAI

Comment les pièces s'assemblent

Pour la plupart des acheteurs indiens, le dispositif est stratifié, et non alternatif. La loi DPDP s'applique horizontalement à vos données personnelles, quel que soit votre secteur. Les obligations de CERT-In en matière d'incidents, de journalisation et de synchronisation horaire concernent pratiquement toute organisation exploitant des systèmes TIC en Inde. Par-dessus, votre régulateur sectoriel — RBI, SEBI ou IRDAI — ajoute des obligations d'audit, de résilience et de déclaration calibrées sur votre licence.

La bonne nouvelle est que les mesures se recoupent fortement. Une capacité de réponse à incident solide satisfait la règle des six heures de CERT-In et alimente vos déclarations RBI, SEBI et IRDAI. Un seul audit complet aligné sur CERT-In peut soutenir plusieurs dépôts auprès des régulateurs financiers. Construire une fois les mécanismes de consentement, de gestion des violations et d'audit, puis les rattacher à chaque régime, est bien plus efficace que de traiter chaque règle comme un projet distinct.

• Horizontal : loi DPDP pour les données personnelles ; CERT-In pour la déclaration d'incidents, la journalisation et la synchronisation horaire
• Vertical : obligations sectorielles RBI, SEBI ou IRDAI par-dessus, selon votre licence
• Efficacité : construire une fois, rattacher à chaque régime, réutiliser la réponse à incident et les preuves d'audit
• Vérifiez toujours les dates de phase et les seuils d'applicabilité auprès de la source primaire

Comment IntelligenceX vous accompagne

IntelligenceX conseille, évalue et prépare les organisations face au dispositif réglementaire indien : nous n'émettons pas les certificats et ne signons pas nous-mêmes les audits réglementaires, et nous ne sommes pas encore habilités par CERT-In. Lorsqu'un auditeur habilité ou un organisme accrédité est requis, nous vous préparons à cette mission et travaillons à ses côtés pour que la validation formelle se déroule sans accroc.

Nos prestations de conformité correspondent directement aux régimes ci-dessus. La préparation à la loi DPDP couvre l'analyse d'écart, la revue de l'architecture de consentement, les analyses d'impact et la préparation à l'audit indépendant attendu des Significant Data Fiduciaries. L'accompagnement à l'audit CERT-In construit votre plan de déclaration en six heures, valide la conservation des journaux en Inde pendant 180 jours et la configuration NTP, et vous prépare aux audits TIC complets. L'accompagnement à l'audit IS de la RBI prépare vos contrôles informatiques et de sécurité à l'audit IS périodique et au reporting au conseil. L'accompagnement CSCRF du SEBI vous aide à situer votre entité dans la bonne catégorie et à satisfaire ses obligations graduées de VAPT, de supervision et de déclaration. L'accompagnement à l'audit IRDAI prépare les assureurs à leur audit de sécurité de l'information, à leurs VAPT et à leurs obligations de déclaration d'incidents.

Pour ces cinq régimes, la démarche est la même : nous évaluons l'écart, construisons les contrôles et les preuves, et vous accompagnons jusqu'à l'audit ou au dépôt formel, en rattachant les contrôles communs pour que le travail ne soit fait qu'une fois. Contactez notre équipe pour cadrer les régimes qui vous concernent.