NIS2, DORA, AI Act : pourquoi la conformité cyber devient un enjeu business en 2026-2027

Pourquoi la conformité s'impose en 2026-2027

Un filet réglementaire qui change d'échelle

La première directive NIS visait des opérateurs de services essentiels et des fournisseurs de services numériques : environ 500 entités en France, selon le Sénat. Avec NIS2, le périmètre passe à quelque 15 000 entités essentielles ou importantes, réparties dans 18 secteurs, contre 7 dans l'annexe de la première directive, à laquelle s'ajoutaient les fournisseurs de services numériques. Énergie, transport, santé, banque, mais aussi industrie manufacturière, agroalimentaire, services numériques ou gestion des déchets : des milliers d'entreprises entrent dans le champ, bien au-delà des seuls opérateurs critiques.

Les sanctions changent d'échelle elles aussi : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, le montant le plus élevé des deux étant retenu, pour une entité essentielle ; jusqu'à 7 millions d'euros ou 1,4 % pour une entité importante. La directive implique aussi la direction : elle doit approuver les mesures de gestion des risques, superviser leur mise en œuvre et se former.

Trois textes, trois calendriers

NIS2. La directive devait être transposée avant le 17 octobre 2024. En France, le projet de loi Résilience a été adopté par le Sénat en mars 2025 : il transpose NIS2, la directive sur la résilience des entités critiques et la directive (UE) 2022/2556 qui accompagne DORA, et adapte le droit français au règlement DORA, directement applicable. À la date de publication de cet article, il attend toujours son examen en séance à l'Assemblée nationale : le 6 octobre 2026, il a de nouveau été retiré de l'ordre du jour. Entre-temps, en juillet 2026, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France.

DORA. Le règlement s'applique depuis le 17 janvier 2025 aux entités financières entrant dans son champ d'application : banques, assurances, établissements de paiement, sociétés de gestion, entre autres. Elles ont remis leur premier registre d'information sur leurs prestataires informatiques aux autorités au printemps 2025, et les autorités européennes ont désigné en novembre 2025 dix-neuf prestataires technologiques critiques, placés sous leur supervision directe.

À lire aussiLa résilience dans le secteur financier - Leçons de l'évolution humaineLa résilience financière s'inspire de l'homéostasie humaine : un cadre en quatre temps pour piloter ensemble résilience technologique et modèle opérationnel.Lire l'article

AI Act. Le règlement européen sur l'IA s'applique par paliers. Les pratiques interdites s'appliquent depuis février 2025, tout comme l'obligation de prendre des mesures favorisant la maîtrise de l'IA, que le règlement « omnibus numérique » de juillet 2026 a assouplie. Les obligations des modèles d'IA à usage général s'appliquent depuis août 2025, et les obligations de transparence à partir d'août 2026, avec une période transitoire pour certaines d'entre elles. Les exigences sur les systèmes à haut risque ont été repoussées : elles s'appliqueront le 2 décembre 2027 aux systèmes de l'annexe III, utilisés notamment dans le recrutement, l'éducation, l'octroi de crédit ou la biométrie, et le 2 août 2028 aux systèmes de l'annexe I, intégrés dans des produits déjà réglementés.

On n'attend pas la loi

Le piège du calendrier

Le retard de transposition sert souvent d'argument pour repousser le sujet. C'est une erreur de lecture. Le 17 mars 2026, l'ANSSI a publié le Référentiel Cyber France (ReCyF), qui traduit NIS2 en vingt objectifs de sécurité. Ces vingt objectifs préfigurent le cadre de sécurité attendu ; les moyens proposés permettent de documenter leur atteinte. Le document reste un document de travail jusqu'au vote de la loi. Et une fois la loi promulguée, les délais de mise en conformité seront comptés : une organisation qui a déjà analysé ses risques n'aura qu'à ajuster, celle qui découvre le sujet devra tout construire dans l'urgence.

La menace, elle, n'attend pas

Selon le baromètre 2026 du CESIN, qui interroge ses membres, responsables de la sécurité des systèmes d'information, 40 % des organisations ont subi au moins une cyberattaque significative en 2025, et 81 % des victimes en ont mesuré l'impact sur leur activité. L'hameçonnage reste le premier vecteur, cité dans 55 % des incidents, devant l'exploitation de failles (41 %) et les attaques passées par des tiers (35 %). Selon le Panorama de la cybermenace 2025 de l'ANSSI, 1 366 incidents ont été portés à sa connaissance en 2025, dont 128 compromissions par rançongiciel.

Et le coût est réel : en France, une violation de données coûtait en moyenne 3,59 millions d'euros en 2025, selon l'étude annuelle d'IBM.

À lire aussiAnthropic affirme que l'IA facilite la cybercriminalité : voici comment réagirLe rapport Anthropic d'août 2025 sur l'abaissement de la barrière d'entrée aux cyberattaques, et ce qu'il implique pour la défense.Lire l'article

L'effet ricochet : la chaîne de sous-traitance

C'est le point le plus sous-estimé. NIS2 oblige les entités régulées à sécuriser leur chaîne d'approvisionnement, et DORA impose aux entités financières de tenir un registre d'information sur leurs prestataires informatiques, d'inscrire des clauses précises dans leurs contrats et de pouvoir sortir d'un contrat avec un prestataire qui ne répond pas à leurs exigences.

Les organisations appliquent déjà cette logique. Toujours selon le CESIN, un tiers d'entre elles estime que plus de la moitié de leurs incidents sont dus à des tiers. En réponse, 85 % intègrent des clauses de sécurité dans leurs contrats et 74 % envoient des questionnaires de sécurité à leurs fournisseurs. Une entreprise qui travaille pour une banque, un opérateur d'énergie ou un industriel régulé est donc concernée par ricochet, même si elle n'entre elle-même dans aucun des deux textes.

Le troisième déclencheur : l'assureur

L'assurance cyber s'est installée chez les ETI : selon l'étude LUCY 2026 de l'AMRAE, le nombre d'ETI assurées est passé de 1 145 à 2 002 en un an, soit 75 % de plus, et le montant de leurs sinistres a été multiplié par quatre, de 6,8 à 28,8 millions d'euros. Sur l'ensemble du marché, les sinistres sont passés de 55 à 83 millions d'euros. Pour souscrire ou renouveler une police, il faut désormais démontrer des mesures concrètes : authentification multifacteur, sauvegardes isolées et testées, correctifs appliqués. L'assureur devient, de fait, un auditeur de plus.

ISO 27001 : un socle commun, à compléter

Pourquoi commencer par ISO 27001

Face à trois textes aux calendriers différents, la question la plus utile est simple : par quel référentiel commencer ? ISO 27001 constitue souvent un bon point de départ. C'est une norme internationale de management de la sécurité de l'information, reconnue dans tous les secteurs, qui structure une démarche par les risques plutôt qu'une liste de cases à cocher. Et c'est une certification volontaire : elle se construit à son rythme, sans attendre la promulgation d'un texte.

Une organisation certifiée ISO 27001 dispose déjà d'une gouvernance de la sécurité formalisée, d'une analyse de risques documentée, d'une gestion des incidents et d'un contrôle de ses fournisseurs : une bonne part des fondations que NIS2 et DORA exigent. Mais la certification ne suffit pas à elle seule :

• Le périmètre peut différer : une certification ISO 27001 peut couvrir un périmètre limité, alors que le périmètre réglementaire NIS2 peut être sensiblement plus large.
• NIS2 ajoute ses propres exigences : enregistrement auprès de l'autorité, notification des incidents dans des délais courts, supervision et contrôles, objectifs de sécurité du ReCyF, rôle des organes de direction.
• DORA aussi : registre d'information sur les prestataires informatiques, clauses contractuelles prévues par l'article 30, classification et déclaration des incidents, et, pour les entités concernées seulement, tests de pénétration fondés sur la menace (TLPT).
• L'AI Act relève d'une autre logique : ISO 42001 aide à structurer la gouvernance de l'IA, mais ne donne pas de présomption de conformité au règlement.

Un socle commun, puis les exigences propres à chaque texte

Traiter NIS2, DORA et l'AI Act comme trois chantiers séparés, avec trois documentations et trois calendriers, est la façon la plus coûteuse de faire. Beaucoup d'exigences se recoupent : une même mesure répond souvent à plusieurs textes à la fois. Nous construisons ce socle commun en trois temps, puis nous le complétons par ce que chaque texte exige en propre.

Le premier temps est le plus structurant : l'analyse de risques suit la méthode EBIOS Risk Manager de l'ANSSI, en cinq ateliers qui s'appuient chacun sur les précédents.

Deux points d'appui gratuits de l'ANSSI

Pour démarrer sans attendre un budget de conseil, l'ANSSI met à disposition deux ressources gratuites. Le Guide d'hygiène informatique rassemble 42 mesures de sécurité essentielles, un socle de bonnes pratiques qui prépare le terrain pour une démarche plus formalisée. Le ReCyF, publié en mars 2026, reconnaît quant à lui ISO 27001 pour certains objectifs, dans le périmètre couvert par la certification. Une démarche ISO engagée aujourd'hui servira donc le jour où NIS2 deviendra exigible, à condition d'en vérifier le périmètre.

Les pièges qui coûtent le plus cher

• Attendre la loi : le calendrier législatif ne dicte ni celui des clients, ni celui des assureurs, ni celui des attaquants.
• Croire qu'une certification suffit : une certification ISO 27001 sur un périmètre limité ne couvre ni tout le périmètre NIS2, ni les obligations propres à DORA ou à l'AI Act.
• Ouvrir un chantier par texte : trois équipes, trois documentations et trois audits pour des exigences qui se recoupent en grande partie.
• Confondre documentation et preuve : un plan de continuité qui n'a jamais été rejoué n'engage personne le jour de l'incident.
• Oublier les fournisseurs : les attaques passées par des tiers figurent parmi les trois premiers vecteurs d'incident.
• Laisser l'IA hors du périmètre : des usages d'IA non inventoriés rendent impossible la classification des risques que demande l'AI Act.

À lire aussiLes agents IA ne doivent pas être un cauchemar de sécuritéPrompt injection, exfiltration, agents incontrôlés : un framework en six couches pour déployer des agents IA sûrs, du moindre privilège au kill switch.Lire l'article

Par où commencer

Ce qui manque le plus souvent : une vision transverse

Dans beaucoup d'organisations, le sujet est déjà traité, mais par morceaux : une certification ici, une politique de sécurité là, des questionnaires clients traités au fil de l'eau. Ce qui manque, c'est une vision transverse : quels textes s'appliquent, ce que l'existant couvre déjà, et où se trouvent les écarts. Sans elle, chaque nouvelle exigence relance un chantier.

La bonne approche n'est pas de lire chaque texte en entier avant d'agir. C'est de partir de ce que vous êtes : votre activité, votre taille, votre secteur, vos clients et vos certifications existantes. Ce contexte dit quels textes s'appliquent et quelles exigences traiter en premier.

Cinq actions permettent de démarrer dès cette semaine et de cadrer la trajectoire, sans attendre « le bon moment », qui n'arrive jamais.

Comment Adservio vous accompagne

C'est la démarche de notre offre Cyber-résilience : analyse de risques EBIOS RM, Zero Trust, continuité prouvée par des exercices réels, en alignement avec NIS2 et DORA. Pour l'IA, notre offre Gouvernance de l'IA prend le relais : cartographie des systèmes à risque, gouvernance des modèles et supervision continue de la conformité.