6 min de lecture<\/p>\n
NIS2, DORA et l\u2019EU AI Act 2026<\/a> s\u2019appliquent pour la premi\u00e8re fois simultan\u00e9ment. Un seul incident de s\u00e9curit\u00e9 impliquant un syst\u00e8me d\u2019IA dans le secteur financier peut d\u00e9clencher trois obligations de notification en parall\u00e8le. Les CIO doivent d\u00e9cider s\u2019ils lancent trois projets de conformit\u00e9 distincts ou s\u2019ils choisissent une approche int\u00e9gr\u00e9e. Cette r\u00e9ponse d\u00e9terminera si la vague r\u00e9glementaire devient une opportunit\u00e9 ou un pi\u00e8ge \u00e0 co\u00fbts.<\/strong><\/p>\n L\u2019UE a \u00e9labor\u00e9 au cours des trois derni\u00e8res ann\u00e9es un ensemble r\u00e9glementaire qui transforme en profondeur la gouvernance IT des entreprises europ\u00e9ennes. Trois lois, chacune complexe en soi, s\u2019appliquent pour la premi\u00e8re fois simultan\u00e9ment en 2026 : la loi de transposition de NIS2, avec une application \u00e0 partir d\u2019octobre 2026, le Digital Operational Resilience Act (DORA) pour le secteur financier depuis janvier 2025 et l\u2019EU AI Act avec les obligations applicables aux syst\u00e8mes \u00e0 haut risque \u00e0 partir d\u2019ao\u00fbt 2026.<\/p>\n Le probl\u00e8me ne r\u00e9side pas dans chaque loi prise s\u00e9par\u00e9ment. Le probl\u00e8me, c\u2019est leur chevauchement. Un prestataire de services financiers qui utilise un syst\u00e8me d\u2019IA pour l\u2019\u00e9valuation du cr\u00e9dit rel\u00e8ve \u00e0 la fois de NIS2 (en tant qu\u2019op\u00e9rateur de services essentiels), de DORA (en tant qu\u2019entreprise financi\u00e8re) et de l\u2019EU AI Act (en tant qu\u2019exploitant d\u2019un syst\u00e8me d\u2019IA \u00e0 haut risque). Un incident de s\u00e9curit\u00e9 touchant ce syst\u00e8me d\u00e9clenche potentiellement trois obligations de notification distinctes, avec des d\u00e9lais, des formulaires et des autorit\u00e9s diff\u00e9rentes.<\/p>\n Selon une analyse d\u2019ADVISORI, de nombreuses entreprises \u00e9valuent mal le chevauchement de ces trois r\u00e9glementations. Elles traitent chaque loi comme un projet s\u00e9par\u00e9 et construisent trois silos de conformit\u00e9. Cela triple l\u2019effort et cr\u00e9e des contradictions : NIS2 exige une notification dans les 24 heures, DORA dans les 4 heures pour les incidents TIC majeurs. Lorsqu\u2019il existe deux processus de notification diff\u00e9rents, les deux prennent du retard.<\/p>\n \n\u00ab NIS2 est une loi, pas une option. La cybers\u00e9curit\u00e9 doit \u00eatre ancr\u00e9e comme une obligation centrale de la direction. \u00bb La loi de transposition de NIS2 est en vigueur en Allemagne depuis d\u00e9cembre 2025. Son application commencera en octobre 2026. Le nombre d\u2019entreprises concern\u00e9es passe d\u2019environ 4 500 sous l\u2019ancienne directive NIS \u00e0 quelque 29 500 selon les estimations. Sont concern\u00e9s 18 secteurs, les entreprises \u00e0 partir de 50 salari\u00e9s ou r\u00e9alisant 10 millions d\u2019euros de chiffre d\u2019affaires annuel.<\/p>\n Les obligations cl\u00e9s comprennent des mesures de gestion des risques conform\u00e9ment au paragraphe 30 de la loi sur le BSI, un syst\u00e8me de d\u00e9claration des incidents de s\u00e9curit\u00e9 avec une premi\u00e8re notification dans un d\u00e9lai de 24 heures, des audits et justificatifs r\u00e9guliers ainsi que la s\u00e9curit\u00e9 des cha\u00eenes d\u2019approvisionnement. Point particuli\u00e8rement important pour les CIO : la direction doit superviser la mise en \u0153uvre des mesures et engage sa responsabilit\u00e9 personnelle en cas de n\u00e9gligence grave. NIS2 fait de la cybers\u00e9curit\u00e9 une affaire de direction<\/a>, et pas seulement un sujet informatique.<\/p>\n Heise Online a rapport\u00e9 que les entreprises allemandes ignorent massivement leurs obligations li\u00e9es \u00e0 NIS2. Beaucoup ne savent m\u00eame pas si elles sont concern\u00e9es. Le BSI a certes publi\u00e9 un outil de v\u00e9rification de l\u2019assujettissement, mais l\u2019auto\u00e9valuation des entreprises s\u2019\u00e9carte fortement de la r\u00e9alit\u00e9 juridique. L\u2019obligation li\u00e9e aux cha\u00eenes d\u2019approvisionnement est particuli\u00e8rement sous-estim\u00e9e : m\u00eame les entreprises qui ne rel\u00e8vent pas elles-m\u00eames de NIS2 peuvent \u00eatre indirectement mises \u00e0 contribution en tant que fournisseurs d\u2019entreprises concern\u00e9es. La cha\u00eene s\u2019\u00e9tend jusqu\u2019au prestataire informatique du fournisseur.<\/p>\n Pour les CIO, la question du budget est centrale : selon Bitkom, les entreprises concern\u00e9es estiment l\u2019effort initial de mise en \u0153uvre de NIS2 entre 100 000 et 500 000 euros, selon leur taille et leur niveau de maturit\u00e9. Celles qui sont d\u00e9j\u00e0 certifi\u00e9es ISO 27001 peuvent s\u2019en sortir avec moins. Celles qui partent de z\u00e9ro doivent tabler sur le haut de la fourchette. \u00c0 cela s\u2019ajoutent les co\u00fbts r\u00e9currents li\u00e9s aux audits, \u00e0 la surveillance et au personnel.<\/p>\n Le Digital Operational Resilience Act s\u2019applique depuis le 17 janvier 2025 et concerne l\u2019ensemble du secteur financier europ\u00e9en : banques, assureurs, prestataires de services de paiement, entreprises d\u2019investissement et leurs prestataires tiers critiques dans le domaine des TIC. DORA se concentre sur la stabilit\u00e9 op\u00e9rationnelle num\u00e9rique et exige une gestion globale des risques li\u00e9s aux TIC.<\/p>\n Les obligations sont concr\u00e8tes : les entreprises doivent identifier, \u00e9valuer et traiter les risques li\u00e9s aux TIC. Elles doivent signaler les incidents TIC majeurs \u00e0 l\u2019autorit\u00e9 de surveillance dans un d\u00e9lai de 4 heures. Elles doivent effectuer r\u00e9guli\u00e8rement des tests de r\u00e9silience, notamment des tests d\u2019intrusion fond\u00e9s sur la menace, appel\u00e9s Threat-Led Penetration Tests (TLPT). Et elles doivent surveiller leurs prestataires tiers critiques dans le domaine des TIC et d\u00e9montrer leur r\u00e9silience.<\/p>\n Pour les entreprises financi\u00e8res qui rel\u00e8vent aussi de NIS2, cela signifie : doubles obligations de d\u00e9claration en cas d\u2019incident, exigences potentiellement diff\u00e9rentes en mati\u00e8re de gestion des risques et deux autorit\u00e9s de surveillance qui attendent des justificatifs. La BaFin a certes indiqu\u00e9 qu\u2019elle visait la coh\u00e9rence avec NIS2, mais dans la pratique, les d\u00e9tails ne sont pas encore harmonis\u00e9s.<\/p>\n S\u2019y ajoute l\u2019obligation de g\u00e9rer les risques li\u00e9s aux tiers TIC. DORA exige que les entreprises financi\u00e8res identifient, \u00e9valuent et surveillent leurs prestataires TIC critiques. Les fournisseurs cloud, les \u00e9diteurs SaaS et les prestataires de services manag\u00e9s doivent \u00eatre contractuellement tenus de respecter certaines normes de s\u00e9curit\u00e9. Les autorit\u00e9s europ\u00e9ennes de surveillance (AES) peuvent superviser directement les prestataires tiers particuli\u00e8rement critiques. Pour les CIO, cela signifie que la gestion des fournisseurs devient une obligation de conformit\u00e9, et pas seulement une bonne pratique.<\/p>\n Sources : BSI, BaFin, Journal officiel de l\u2019UE<\/p>\n L’EU AI Act suit une approche fond\u00e9e sur les risques, avec quatre niveaux : pratiques interdites (depuis f\u00e9vrier 2025), syst\u00e8mes \u00e0 haut risque (\u00e0 partir d’ao\u00fbt 2026), syst\u00e8mes \u00e0 risque limit\u00e9 (obligations de transparence) et syst\u00e8mes \u00e0 risque minimal (aucune obligation). Pour les DSI, la cat\u00e9gorie \u00e0 haut risque est d\u00e9cisive : les syst\u00e8mes d’IA utilis\u00e9s dans des domaines tels que le recrutement, l’\u00e9valuation du cr\u00e9dit, les infrastructures critiques ou l’application de la loi sont soumis \u00e0 des obligations strictes de documentation, de test et de surveillance.<\/p>\n Le d\u00e9fi pour les DSI : de nombreuses entreprises ne savent pas encore lesquels de leurs syst\u00e8mes d’IA seront class\u00e9s comme \u00e0 haut risque. Un syst\u00e8me de scoring bas\u00e9 sur l’IA dans les RH, qui pr\u00e9s\u00e9lectionne les candidatures, est un syst\u00e8me \u00e0 haut risque. Un chatbot qui r\u00e9pond aux tickets informatiques internes ne l’est probablement pas. La fronti\u00e8re n’est pas toujours claire, et les cons\u00e9quences d’une mauvaise classification sont consid\u00e9rables : jusqu’\u00e0 35 millions d’euros d’amende ou 7 pour cent du chiffre d’affaires annuel mondial.<\/p>\n En pratique, cela signifie que les DSI doivent \u00e9tablir un inventaire complet de tous les syst\u00e8mes d’IA, classer chaque syst\u00e8me et constituer une documentation technique d\u00e9taill\u00e9e pour les syst\u00e8mes \u00e0 haut risque. Cela inclut les syst\u00e8mes de gestion des risques, les exigences de gouvernance des donn\u00e9es, la documentation technique, les obligations d’enregistrement, les exigences de transparence, les mesures de supervision humaine ainsi que la robustesse et la cybers\u00e9curit\u00e9. L’EU AI Act exige en outre une \u00e9valuation de conformit\u00e9 avant la mise sur le march\u00e9. Pour les mod\u00e8les d’IA \u00e0 usage g\u00e9n\u00e9ral comme GPT ou Claude, des obligations de transparence suppl\u00e9mentaires s’appliquent, ind\u00e9pendamment du niveau de risque de l’application concr\u00e8te.<\/p>\n L’obligation de ma\u00eetrise de l’IA est d\u00e9j\u00e0 en vigueur depuis f\u00e9vrier 2025 : les entreprises doivent s’assurer que les collaborateurs qui utilisent des syst\u00e8mes d’IA disposent de connaissances suffisantes. Les programmes de formation devraient d\u00e9j\u00e0 \u00eatre en place. Dans la pratique, ils font encore d\u00e9faut dans la plupart des entreprises de la r\u00e9gion DACH.<\/p>\n Pour les entreprises qui rel\u00e8vent \u00e0 la fois de NIS2 et de DORA, l’EU AI Act cr\u00e9e une troisi\u00e8me couche de conformit\u00e9. Un syst\u00e8me de d\u00e9tection de fraude bas\u00e9 sur l’IA dans une banque touche aux trois r\u00e9glementations : DORA (gestion des risques li\u00e9s aux TIC), NIS2 (s\u00e9curit\u00e9 des services essentiels) et EU AI Act (IA \u00e0 haut risque). Cela n\u00e9cessite soit un cadre de gouvernance<\/a> int\u00e9gr\u00e9, soit trois \u00e9quipes distinctes avec d’importantes redondances.<\/p>\n Les experts estiment qu’une gestion int\u00e9gr\u00e9e de la conformit\u00e9 permet d’\u00e9conomiser un effort de mise en oeuvre consid\u00e9rable par rapport \u00e0 des projets s\u00e9par\u00e9s. La cl\u00e9 r\u00e9side dans une base commune : ISO 27001 couvre des exigences essentielles des trois r\u00e9glementations. La gestion des risques, la r\u00e9ponse aux incidents, la documentation et l’am\u00e9lioration continue sont des \u00e9l\u00e9ments centraux des trois lois.<\/p>\n \u00c9tape 1 : analyse des risques unifi\u00e9e.<\/strong> Au lieu de mener trois analyses des risques distinctes pour NIS2, DORA et l’AI Act, les DSI devraient r\u00e9aliser une analyse int\u00e9gr\u00e9e couvrant les trois perspectives. Un syst\u00e8me d’IA est \u00e9valu\u00e9 simultan\u00e9ment sous l’angle des risques de s\u00e9curit\u00e9 informatique (NIS2), de la r\u00e9silience op\u00e9rationnelle (DORA) et des risques sp\u00e9cifiques \u00e0 l’IA (AI Act).<\/p>\n \u00c9tape 2 : reporting consolid\u00e9.<\/strong> Une seule \u00e9quipe de r\u00e9ponse aux incidents, qui conna\u00eet les trois obligations de notification et peut les g\u00e9rer. Le d\u00e9lai le plus court (DORA : 4 heures) devient la norme. Celui qui peut notifier dans un d\u00e9lai de 4 heures satisfait automatiquement aussi au d\u00e9lai de 24 heures de NIS2.<\/p>\n \u00c9tape 3 : documentation commune.<\/strong> Un registre central de conformit\u00e9 pour tous les syst\u00e8mes d’IA, les syst\u00e8mes informatiques et les prestataires TIC tiers. Chaque syst\u00e8me est enregistr\u00e9 une seule fois et \u00e9valu\u00e9 au regard des trois r\u00e9glementations. Cela \u00e9vite les doublons et garantit qu’aucune lacune n’appara\u00eet.<\/p>\n \u00c9tape 4 : consolider le reporting au conseil d’administration<\/a>.<\/strong> Le comit\u00e9 de direction n’a pas besoin de trois rapports de conformit\u00e9 distincts. Un rapport int\u00e9gr\u00e9, montrant le niveau de maturit\u00e9 sur l’ensemble des trois r\u00e9glementations, donne au board la base de pilotage n\u00e9cessaire et r\u00e9duit l’effort de reporting pour l’organisation informatique.<\/p>\n Les \u00e9ch\u00e9ances ne sont pas n\u00e9gociables. Les CIO qui optent pour une approche int\u00e9gr\u00e9e devraient avoir termin\u00e9 une cartographie de conformit\u00e9 d\u2019ici avril 2026 : quelles exigences de NIS2, DORA et de l\u2019AI Act se recoupent ? O\u00f9 se situent les lacunes ? Quelles mesures existantes peuvent \u00eatre prises en compte plusieurs fois ?<\/p>\n D\u2019ici juin 2026, l\u2019inventaire des syst\u00e8mes d\u2019IA devrait \u00eatre en place. Chaque syst\u00e8me d\u2019IA doit \u00eatre classifi\u00e9 : \u00e0 haut risque ou non ? Pertinent pour DORA ou non ? Critique au regard de NIS2 ou non ? Sans cet inventaire, aucune strat\u00e9gie de conformit\u00e9 ne peut fonctionner.<\/p>\n D\u2019ici ao\u00fbt 2026, les syst\u00e8mes d\u2019IA \u00e0 haut risque doivent satisfaire aux exigences de l\u2019EU AI Act. Et d\u2019ici octobre 2026, la mise en \u0153uvre de NIS2 doit pouvoir \u00eatre d\u00e9montr\u00e9e. Ceux qui manquent ces \u00e9ch\u00e9ances risquent non seulement des amendes, mais aussi la responsabilit\u00e9 personnelle de la direction. La collision r\u00e9glementaire n\u2019est pas un exercice th\u00e9orique. C\u2019est le test pratique de la gouvernance num\u00e9rique des entreprises europ\u00e9ennes.<\/p>\n Les prestataires de services financiers qui utilisent des syst\u00e8mes d\u2019IA dans des domaines \u00e0 haut risque sont les plus fortement concern\u00e9s. Cela inclut les banques, les assureurs et les prestataires de services de paiement qui utilisent l\u2019IA pour l\u2019\u00e9valuation du cr\u00e9dit, la d\u00e9tection de la fraude ou la mod\u00e9lisation des risques. Ils rel\u00e8vent de DORA (secteur financier), de NIS2 (services essentiels) et de l\u2019EU AI Act (IA \u00e0 haut risque).<\/p>\n<\/details>\n NIS2 exige une premi\u00e8re notification des incidents graves au BSI dans un d\u00e9lai de 24 heures. DORA impose, en cas d\u2019incidents TIC graves, une notification dans un d\u00e9lai de 4 heures \u00e0 l\u2019autorit\u00e9 de surveillance financi\u00e8re comp\u00e9tente. Les entreprises soumises aux deux r\u00e9glementations devraient prendre la norme des 4 heures comme base.<\/p>\n<\/details>\n NIS2 : jusqu\u2019\u00e0 10 millions d\u2019euros ou 2 % du chiffre d\u2019affaires annuel mondial. DORA : les sanctions sont fix\u00e9es par l\u2019autorit\u00e9 nationale de surveillance financi\u00e8re. EU AI Act : jusqu\u2019\u00e0 35 millions d\u2019euros ou 7 % du chiffre d\u2019affaires annuel mondial en cas d\u2019infraction aux obligations relatives aux syst\u00e8mes \u00e0 haut risque.<\/p>\n<\/details>\n Oui. ISO 27001 couvre des exigences essentielles des trois r\u00e9glementations : gestion des risques, r\u00e9ponse aux incidents, documentation et am\u00e9lioration continue. Les entreprises disposant d\u00e9j\u00e0 d\u2019une certification ISO 27001 ont une avance consid\u00e9rable dans la mise en \u0153uvre.<\/p>\n<\/details>\n NIS2 et DORA pr\u00e9voient une responsabilit\u00e9 personnelle de la direction en cas de n\u00e9gligence grave. Le CIO engage sa responsabilit\u00e9 s\u2019il est d\u00e9montr\u00e9 qu\u2019il a \u00e9t\u00e9 responsable de mesures insuffisantes. Une strat\u00e9gie de conformit\u00e9 document\u00e9e et des rapports r\u00e9guliers au conseil d\u2019administration constituent la meilleure protection.<\/p>\n<\/details>\n Source de l\u2019image de couverture : Christian Wasserfallen \/ Pexels<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" 6 min de lecture NIS2, DORA et l\u2019EU AI Act 2026 s\u2019appliquent pour la premi\u00e8re fois simultan\u00e9ment. Un seul incident de s\u00e9curit\u00e9 impliquant un syst\u00e8me d\u2019IA dans le secteur financier peut d\u00e9clencher trois obligations de notification en parall\u00e8le. Les CIO doivent d\u00e9cider s\u2019ils lancent trois projets de conformit\u00e9 distincts ou s\u2019ils choisissent une approche int\u00e9gr\u00e9e. […]<\/p>\n","protected":false},"author":114,"featured_media":12750,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"collision r\u00e9glementaire","_yoast_wpseo_title":"Collision r\u00e9glementaire: Ma\u00eetriser NIS2, DORA et IA UE","_yoast_wpseo_metadesc":"NIS2, DORA et IA : ma\u00eetrisez les nouveaux enjeux r\u00e9glementaires pour \u00e9viter sanctions et incidents critiques. Agissez maintenant pour \u00eatre conforme.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705],"tags":[],"class_list":["post-15206","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","entry"],"wpml_language":"fr","wpml_translation_of":12751,"yoast_head":"\nL\u2019essentiel en bref<\/h2>\n
\n
Pourquoi tout converge en 2026<\/h2>\n
\nRalf Wintergerst, pr\u00e9sident de Bitkom (2025)<\/cite>\n<\/p><\/blockquote>\nNIS2 : ce qui attend 29 500 entreprises<\/h2>\n
DORA : le secteur financier sous surveillance renforc\u00e9e<\/h2>\n
EU AI Act : la troisi\u00e8me couche de la pile de conformit\u00e9<\/h2>\n
L’approche int\u00e9gr\u00e9e : un cadre pour trois lois<\/h2>\n
Ce que les CIO doivent faire dans les six prochains mois<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Quelles entreprises sont concern\u00e9es simultan\u00e9ment par les trois r\u00e9glementations ?<\/strong><\/summary>\n
En quoi les obligations de notification diff\u00e8rent-elles entre NIS2 et DORA ?<\/strong><\/summary>\n
Quelles amendes menacent en cas d\u2019infraction ?<\/strong><\/summary>\n
ISO 27001 peut-elle servir de base commune ?<\/strong><\/summary>\n
Le CIO engage-t-il sa responsabilit\u00e9 personnelle en cas de manquement \u00e0 la conformit\u00e9 ?<\/strong><\/summary>\n
Conseils de lecture de la r\u00e9daction<\/h2>\n
\n
Plus d\u2019articles du r\u00e9seau MBF Media<\/h2>\n
\n