Mot de passe en entreprise : les recommandations officielles

Il n’existe pas un mot de passe officiel imposé à toutes les entreprises françaises, mais deux autorités encadrent la question : la CNIL, pour la protection des données personnelles, et l’ANSSI (cyber.gouv.fr), pour la sécurité des systèmes d’information. Leurs textes fixent des principes et des recommandations, pas un chiffre unique valable pour toutes les situations — et c’est justement ce qui échappe le plus souvent aux entreprises qui cherchent une règle simple.

Pourquoi le mot de passe reste un point de vigilance officiel

Une entreprise qui traite des données personnelles — celles de ses salariés, de ses clients, de ses fournisseurs — est responsable de leur sécurité au titre du RGPD. Le mot de passe est le premier verrou qui protège ces données : un accès mal protégé à un logiciel de paie, une messagerie professionnelle ou un fichier client peut constituer une violation de données au sens du règlement. C’est ce lien entre sécurité de l’accès et protection des données qui place le mot de passe sous le regard de la CNIL, même quand l’entreprise n’y pense pas spontanément comme à un sujet réglementaire.

Ce que recommande la CNIL

La CNIL publie une recommandation dédiée aux mots de passe, qui distingue plusieurs cas d’usage selon le contexte d’authentification (accès seul, avec restriction du nombre de tentatives, avec un second facteur, etc.) et propose pour chacun des critères de robustesse. Ces critères — longueur minimale, présence de types de caractères différents — varient précisément selon le cas d’usage retenu. Comme ce sujet a été traité en session sans que les seuils exacts de la CNIL aient pu être revérifiés à la date de rédaction, ils ne sont pas repris ici : consultez la recommandation en vigueur directement sur cnil.fr avant de fixer une politique de mot de passe, plutôt que de vous fier à un chiffre relayé ailleurs.

Ce que recommande l’ANSSI

L’ANSSI (Agence nationale de la sécurité des systèmes d’information), accessible via cyber.gouv.fr, publie également des recommandations destinées aux organisations sur la gestion des mots de passe : choix, renouvellement, gestion des comptes à privilèges. Le périmètre exact de ces recommandations selon la taille de l’organisation (TPE, PME, grand groupe) n’a pas pu être vérifié pour cet article. Une entreprise qui veut appliquer ces recommandations doit donc lire le guide correspondant sur cyber.gouv.fr pour savoir ce qui s’applique concrètement à sa situation, plutôt que de supposer qu’une seule règle vaut pour toutes les tailles d’organisation.

À lire aussiTélétravail ou présentiel : ce que disent les chiffres en 2026Lire le dossier ↗

Authentification renforcée : quand un seul mot de passe ne suffit plus

Au-delà du mot de passe seul, l’authentification renforcée — le fait d’ajouter un second facteur de vérification (un code envoyé sur un autre appareil, une application dédiée) — est un mécanisme recommandé par les autorités de cybersécurité dès qu’un accès est sensible : messagerie professionnelle, accès administrateur, logiciel de paie ou de comptabilité, accès distant au système d’information de l’entreprise. Le principe est simple : un mot de passe seul, même robuste, peut être intercepté ou deviné ; un second facteur réduit ce risque parce qu’il exige la possession d’un élément supplémentaire, pas seulement une information mémorisée.

Partenaire · Retraite Exacte1 pension sur 9 part avec une erreurJe vérifie mon relevéRemboursé si tout est en ordre

Stockage et gestion des mots de passe en entreprise

Deux pratiques sont régulièrement citées comme des points de vigilance par les autorités de sécurité numérique : la réutilisation d’un même mot de passe sur plusieurs services, et le partage d’un mot de passe entre plusieurs personnes sur un compte censé être individuel. Dans les deux cas, le risque est le même : une fuite ou une erreur sur un service se propage à tous les autres, et il devient impossible de savoir qui a réellement accédé à quoi. Un gestionnaire de mots de passe — un outil qui stocke les identifiants de manière chiffrée et permet de générer un mot de passe différent pour chaque service — est un des moyens couramment recommandés pour éviter ces deux écueils, sans que cela impose de mémoriser chaque mot de passe individuellement.

Obligations de l’employeur en matière de sécurité des données

Le RGPD impose au responsable de traitement — l’entreprise, dans la majorité des cas — de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, ce qui inclut la politique d’accès aux systèmes contenant des données personnelles. Cette obligation est une obligation de moyens adaptés au contexte, pas un cahier des charges technique unique imposé à toutes les entreprises quelle que soit leur taille ou leur activité. Concrètement, cela signifie que l’entreprise doit pouvoir justifier les choix faits sur la gestion des mots de passe et des accès, sans qu’un seuil unique s’impose partout de la même façon. Pour la mise en œuvre pratique — choix d’un outil, formation des équipes, audit des accès existants —, l’entreprise s’appuie sur son délégué à la protection des données s’il existe, ou sur un prestataire en cybersécurité ; cet article décrit le cadre, il ne remplace pas cet accompagnement.

Ce qui reste à vérifier avant de se fier à une recommandation précise

Cet article a été rédigé sans avoir pu revérifier plusieurs points auprès des sources primaires à la date de rédaction, et il est plus honnête de le dire que de les deviner :

Pour une politique de mot de passe précise et à jour, la démarche la plus sûre reste de consulter directement cnil.fr et cyber.gouv.fr, ou de s’appuyer sur un délégué à la protection des données ou un prestataire en cybersécurité qui pourra situer l’entreprise dans le bon cas d’usage.

La sécurité des mots de passe n’est qu’un des piliers de la sécurité numérique d’une entreprise : les autres bonnes pratiques de sécurité numérique en PME et la sauvegarde des données, autre pilier de la sécurité numérique s’y ajoutent, tout comme les obligations RGPD qui encadrent la protection des données et d’autres outils numériques encadrés par des règles de sécurité.

Poursuivre la lecture

Et vous, qu’en pensez-vous à propos de mot de passe en entreprise : les recommandations officielles ?