RGPD, DORA, NIS2, Cyber Resilience Act : le cadre légal européen 2026
Face à la vague de cyberattaques décrite dans les deux premiers volets de ce dossier, quatre textes européens structurent aujourd'hui les obligations des organisations : RGPD, DORA, NIS2 et Cyber Resilience Act. Nous nous limitons volontairement, dans cet article, aux textes en vigueur ou déjà votés, à l'exclusion de tout texte encore en discussion, pour donner une image fidèle des obligations réellement opposables en cette rentrée 2026.
RGPD : le socle, appliqué avec une sévérité inédite
En vigueur depuis 2018, le RGPD reste le texte de référence en matière de protection des données personnelles. Il impose une notification des violations à la CNIL sous 72 heures (article 33) et prévoit des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83). Le bilan 2025 de la CNIL confirme un durcissement net, avec une multiplication par neuf du montant des amendes en un an et une intensification annoncée des contrôles pour 2026[1].
DORA : la résilience opérationnelle numérique, déjà contraignante pour la finance
Le règlement (UE) 2022/2554, dit DORA, est applicable depuis le 17 janvier 2025 à 21 catégories d'entités financières ainsi qu'à leurs prestataires TIC critiques. En France, l'ACPR et l'AMF en sont les autorités compétentes. DORA impose un cadre unifié de gouvernance des risques informatiques, de notification des incidents majeurs et de tests de résilience — jusqu'aux tests d'intrusion fondés sur la menace (TLPT) pour les entités les plus critiques. Les sanctions peuvent atteindre 2 % du chiffre d'affaires mondial pour une entité financière et jusqu'à 1 million d'euros pour une personne physique[2]. Ainsi, 2026 marque, selon plusieurs cabinets spécialisés, le passage d'une phase d'accompagnement à une phase de contrôle approfondi.
NIS2 : en vigueur au niveau européen, en attente de transposition en France
La directive (UE) 2022/2555 aurait dû être transposée au plus tard le 17 octobre 2024. Ce n'est, à la date de rédaction (fin août 2026), toujours pas le cas en France : le projet de loi « Résilience », qui transpose NIS2, la directive REC et une partie de DORA, a été adopté par le Sénat le 12 mars 2025 puis amendé par l'Assemblée nationale le 10 septembre 2025, sans être promulgué à ce jour. La Commission européenne a saisi la Cour de justice de l'Union européenne le 9 juillet 2026 contre la France, l'Espagne, l'Irlande et les Pays-Bas pour défaut de transposition.
En pratique, l'ANSSI a publié, à partir du 17 mars 2026, un projet de Référentiel Cyber France (ReCyF) qui traduit les futures obligations en objectifs concrets : 20 pour les entités essentielles, 15 pour les entités importantes, ainsi qu'une plateforme d'enregistrement, MonEspaceNIS2.
L'ANSSI précise que ce référentiel n'est pas encore juridiquement contraignant. Environ 15 000 entités françaises seraient concernées, contre environ 500 sous NIS1. Le niveau de sanctions applicable en droit français qui pourrait aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles, sur le modèle du plafond fixé par la directive. Ce plafond ne sera arrêté qu'une fois la loi votée.
Pour les Comex et les DSI, le message opérationnel est clair : l'absence de loi n'est pas une absence de risque. S'aligner dès maintenant sur le ReCyF évite un rattrapage dans l'urgence.
Cyber Resilience Act : l'échéance du 11 septembre 2026, imminente
Le règlement (UE) 2024/2847, dit CRA, est entré en vigueur le 10 décembre 2024. Il s'applique à tout produit comportant des éléments numériques mis sur le marché européen. Les obligations de signalement des vulnérabilités activement exploitées s'appliquent dès le 11 septembre 2026, tandis que l'ensemble des obligations de conformité ne deviendra pleinement applicable que le 11 décembre 2027.
La Commission européenne a publié, le 27 juillet 2026, un guide pratique de 67 exemples[3]. Pour toute organisation commercialisant, même indirectement, des logiciels ou équipements connectés, cette échéance doit être anticipée sans délai.
Ce socle européen se double, en France, d'un régime domestique distinct porté par la loi de programmation militaire, ainsi que d'un risque personnel pour les dirigeants : c'est l'objet du cinquième volet de ce dossier.
Ce qu'il faut retenir
La directive NIS2 est-elle applicable en France en 2026 ?
Pas encore juridiquement. NIS2 est en vigueur au niveau européen depuis 2023 et aurait dû être transposée le 17 octobre 2024 au plus tard, mais la loi française de transposition n'était toujours pas promulguée fin août 2026, ce qui a valu à la France une saisine de la Cour de justice de l'Union européenne le 9 juillet 2026. Les référentiels de l'ANSSI (ReCyF) préparent le terrain sans être encore juridiquement contraignants.
Cet article est le quatrième d’une série de 6 articles consacrés aux cyberattaques. Consulter les autres articles
Votre organisation est concernée par l’une de ces réglementations ? Nos experts conformité vous accompagnent dans l’audit de vos pratiques, dans la création et le déploiement d’une feuille de route claire pour vous garantir une conformité pérenne.
Sources
• CNIL, Rapport annuel 2025, 18 mai 2026 ; EUR-Lex, règlement (UE) 2022/2554 (DORA)
• ANSSI, ReCyF (mars 2026) ; EUR-Lex, directive (UE) 2022/2555 (NIS2) et règlement (UE) 2024/2847 (CRA)
• Commission européenne, Cyber Resilience Act (digital-strategy.ec.europa.eu
[1] source : CNIL, rapport annuel 2025
[2] ACPR, AMF, EUR-Lex
[3] Commission européenne, digital-strategy.ec.europa.eu
