Le Mardi 20 Octobre 2026, par Benjamin Lepeltier
Il existe en Europe un sport méconnu, pratiqué principalement à Bruxelles, qui consiste à produire des règlements de cybersécurité à un rythme inversement proportionnel à la vitesse à laquelle les États membres les appliquent. Ce sport a un nom : la réglementation numérique européenne. Et en 2026, il atteint un niveau de complexité qui ferait pâlir un arbitre de rugby.
RGPD, NIS2, DORA, CRA, AI Act, Data Act, DMA, DSA, EAA. Neuf textes majeurs. Des acronymes qui s'accumulent comme des notifications sur un téléphone qu'on n'a pas regardé depuis trois jours. Et derrière chacun d'eux, des obligations, des calendriers, des sanctions, et des milliers d'entreprises qui se demandent par où commencer.
Commençons par poser les bases, parce que l'une des premières difficultés de cette jungle réglementaire est de savoir qui est concerné par quoi.
Le RGPD, tout le monde connaît. En théorie. Il a 8 ans. Et pourtant, 40 % des PME françaises ne sont toujours pas en conformité selon la CNIL, pour 4,3 milliards d'euros d'amendes cumulées en Europe depuis son entrée en vigueur.
NIS2 concerne 18 secteurs critiques : énergie, transports, santé, banques, eau, télécoms, administrations publiques. La liste est plus longue qu'on ne le croit, et beaucoup d'entreprises qui pensaient ne pas être concernées découvrent en lisant les textes qu'elles le sont probablement.
DORA s'applique directement dans le secteur financier depuis le 17 janvier 2025. Banques, assurances, gestionnaires d'actifs, mais aussi les prestataires tiers TIC qui leur fournissent des services : un éditeur SaaS qui vend ses outils à une banque peut se retrouver indirectement soumis à DORA via ses obligations contractuelles, même s'il n'est pas lui-même une entité financière.
Le CRA cible les fabricants de produits numériques. Première échéance : le 11 septembre 2026, avec l'obligation de notifier toute vulnérabilité activement exploitée à l'ENISA sous 24 heures. Obligations complètes en décembre 2027.
Et enfin l'AI Act, le plus ambitieux. Application générale depuis le 2 août 2026, avec des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Les obligations pour les systèmes à haut risque sont repoussées à décembre 2027 grâce au paquet Digital Omnibus de juin 2026, mais ça ne signifie pas une pause : les directions juridiques et IT doivent poursuivre l'inventaire de leurs systèmes IA dès maintenant.
Le problème de fond, c'est que le calendrier d'application ne suit pas la chronologie d'adoption. DORA depuis janvier 2025. NIS2 en retard depuis octobre 2024. CRA en déploiement progressif jusqu'à décembre 2027. AI Act en application générale depuis août 2026 mais avec des obligations haut risque repoussées à 2027-2028. Et au milieu de tout ça, le RGPD qui tourne depuis 2018 et que la moitié des PME n'ont pas encore vraiment digéré.
C'est un Tetris réglementaire. Sauf que les blocs ne s'arrêtent pas de tomber, et que "game over" se dit "mise en demeure de la CNIL".
La France occupe une position particulièrement savoureuse dans ce paysage. Elle est l'un des pays européens qui défend le plus ardemment la souveraineté numérique et la nécessité d'une cybersécurité robuste.
Elle est aussi l'un des États membres qui rate le plus d'échéances de transposition.
NIS2 devait être transposée en octobre 2024. Le projet de loi Résilience a été adopté par le Sénat en mars 2025, passé en commission spéciale à l'Assemblée en septembre 2025, avec une promulgation attendue au premier semestre 2026. Résultat : la Commission européenne a saisi la CJUE.
Ce n'est pas un cas isolé. La directive sur la transparence salariale devait être transposée avant le 7 juin 2026. Résultat : aucun pays européen n'a finalisé le travail. Aucun. Zéro sur vingt-sept.
L'Europe produit donc des règlements que personne ne transpose dans les délais. C'est un système qui a sa cohérence interne. Elle échappe juste aux non-initiés.
Pendant que les législateurs se consultent, les entreprises paient.
Environ 70 % des organisations ne seraient pas encore conformes aux nouvelles réglementations attendues pour 2026. Une PME de 20 salariés dépensera entre 12 000 et 25 000 euros la première année pour se mettre en conformité RGPD seul. En ajoutant NIS2, l'AI Act et le CRA, la facture multiplie rapidement.
Et les sanctions, elles, n'attendent pas. Entre 2024 et 2025, le nombre de sanctions annuelles de la CNIL est passé de 42 à 87, soit une hausse de 107 %. La courbe ne vise plus seulement les GAFAM, elle mord désormais sur le tissu TPE/PME.
La réglementation numérique européenne est, dans ses grandes lignes, une bonne idée. Imposer des standards de cybersécurité, protéger les données personnelles, encadrer l'IA et sécuriser les produits numériques : ce sont des objectifs légitimes dans un monde où les cyberattaques paralysent des hôpitaux.
Le problème n'est pas l'intention. C'est l'exécution : des textes trop complexes, des calendriers trop rapprochés, des transpositions en retard, des chevauchements non résolus, et une charge qui pèse proportionnellement beaucoup plus lourd sur les petites structures que sur les grandes.
La recommandation pratique reste la même : ne pas attendre. Identifier quels textes s'appliquent à votre organisation, cartographier les obligations, prioriser par date d'échéance et niveau de sanction.
Parce que "je n'avais pas eu le temps de lire tous les textes" n'est pas une défense recevable devant la CNIL. Et que les fonctionnaires européens, eux, ont tout leur temps.
Sources : IT Social · Datacampus · PrimX · Haas Avocats · Leto Legal · Atiasavocats · AI x Leaders · Revue Juridique · ES Protect · Provigis · Village-Justice · PEC Avocat · Parlons-Politique
