Veille réglementaire · cybersécurité et conformité
Veille réglementaire cybersécurité : CRA, NIS2, DORA, AI Act, HDS, ISO 27001 et RGPD.
Ce qui change, qui est concerné et quoi faire, en quelques lignes. Mise à jour chaque semaine par un auditeur de certification ISO 27001 et HDS, à partir des sources officielles. Recevez-la directement dans Slack, Teams ou votre lecteur RSS.
Signalements obligatoiresDepuis le 11 septembre 2026.
NIS2
Loi française en attenteExamen à l'Assemblée reporté le 6 octobre 2026.
HDS
Nouvelles règles en vigueurStockage dans l'EEE depuis le 27 septembre 2026.
AI Act
Haut risque reportéAu 2 décembre 2027 (annexe III).
RGPD
Réforme en négociationLes règles actuelles s'appliquent.
Tableau de bord
Le statut de chaque réglementation, en un coup d'œil.
CRA · Règlement (UE) 2024/2847En vigueur
Cyber Resilience Act
Exigences de cybersécurité pour les produits comportant des éléments numériques (matériel et logiciel) vendus dans l'UE.
Qui
Fabricants, importateurs et distributeurs, y compris les éditeurs de logiciels.
Depuis
11 sept. 2026 : signalement des vulnérabilités activement exploitées et des incidents graves.
Ensuite
11 déc. 2027 : toutes les exigences (conception sécurisée, marquage CE).
À faireUn processus de gestion des vulnérabilités capable de notifier sous 24 heures, et un inventaire des produits concernés.
NIS2 · Directive (UE) 2022/2555Loi FR en attente
Directive NIS2
Mesures de gestion des risques cyber et notification des incidents pour les entités essentielles et importantes de 18 secteurs.
Qui
Moyennes et grandes entreprises des secteurs listés, et certaines plus petites.
France
Projet de loi Résilience adopté au Sénat, pas encore voté à l'Assemblée.
Ensuite
Promulgation, puis décrets et référentiel de l'ANSSI.
À faireVérifier votre éligibilité sur MesServicesCyber de l'ANSSI. Une certification ISO 27001 couvre une grande partie des mesures de l'article 21.
DORA · Règlement (UE) 2022/2554En vigueur
Digital Operational Resilience Act
Résilience opérationnelle numérique du secteur financier et contrôle des prestataires TIC.
Qui
Entités financières, et leurs prestataires TIC par contrat.
Depuis
17 janv. 2025. Registre d'information des contrats TIC à transmettre chaque année.
Ensuite
Premiers tests de pénétration fondés sur la menace (TLPT) d'ici le 17 janv. 2028 pour les entités désignées.
À fairePour un prestataire de la finance : être prêt à fournir preuves de sécurité, droits d'audit et plans de sortie.
AI Act · Règlement (UE) 2024/1689Échéances reportées
Règlement européen sur l'IA
Règles selon le niveau de risque des systèmes d'IA, de l'interdiction aux obligations de transparence.
Qui
Fournisseurs et déployeurs de systèmes d'IA utilisés dans l'UE.
Depuis
2 août 2026 : obligations de transparence (article 50).
Ensuite
2 déc. 2027 : systèmes à haut risque de l'annexe III. 2 août 2028 : annexe I.
À faireInventorier vos usages d'IA et leur niveau de risque. ISO/IEC 42001 donne un cadre de gestion reconnu.
HDS · Code de la santé publiqueEn vigueur
Hébergement de données de santé
Certification obligatoire pour héberger des données de santé pour le compte de tiers en France.
Qui
Hébergeurs, éditeurs SaaS santé et leurs sous-traitants d'hébergement.
Depuis
16 mai 2026 : référentiel HDS v2.0 pour tous les certifiés. 27 sept. 2026 : stockage dans l'EEE et transparence sur les transferts.
À faireMettre à jour vos contrats et publier la cartographie des transferts hors EEE. Notre accompagnement HDS
ISO/IEC 27001 · 27701Stable
ISO 27001 et ISO 27701
Normes de système de management de la sécurité de l'information (SMSI) et de la protection de la vie privée.
27001
Version 2022, avec l'amendement 2024 sur le changement climatique (clauses 4.1 et 4.2).
27701
Édition 2025 publiée en octobre 2025 : norme autonome, certifiable sans ISO 27001.
À faireVérifier que votre analyse de contexte traite le climat. Pour 27701, demander le calendrier de transition à votre organisme. Notre accompagnement ISO 27001
RGPD · Règlement (UE) 2016/679Réforme en cours
RGPD et Omnibus numérique
La Commission propose de modifier le RGPD et d'y intégrer les règles sur les cookies (Omnibus numérique, nov. 2025).
Statut
Première lecture au Parlement, pas de mandat du Conseil à ce jour.
En attendant
Le RGPD et les règles actuelles sur les cookies s'appliquent sans changement.
À faireNe rien refondre sur la base du projet. Maintenir registre, analyses d'impact et gestion du consentement.
Dernières évolutions
Ce qui a changé récemment.
NIS2
NIS2 : l'examen de la loi Résilience à l'Assemblée nationale est de nouveau reporté
Le texte qui transpose NIS2 (ainsi que la directive REC et la directive accompagnant DORA) devait être examiné en séance les 7 et 9 octobre. La conférence des présidents l'a retiré de l'ordre du jour le 6 octobre. Aucune nouvelle date n'est fixée ; le rapporteur espère une réinscription d'ici deux à trois semaines. Le Sénat l'avait adopté en première lecture le 12 mars 2025.
Ce que ça change : en France, les obligations NIS2 ne s'appliquent pas encore juridiquement. Le délai de transposition de l'UE (17 octobre 2024) est dépassé et la Commission a engagé une procédure d'infraction. Les entités concernées ont intérêt à se préparer dès maintenant : l'ANSSI prévoit une montée en charge progressive, mais certaines obligations comme la notification des incidents devraient s'appliquer rapidement après la promulgation.
HDS : stockage obligatoire dans l'EEE et transparence sur les transferts
Les principales obligations du décret n° 2026-209 du 24 mars 2026 s'appliquent depuis le 27 septembre 2026. Les données de santé hébergées doivent être stockées exclusivement dans un État de l'UE ou de l'EEE. Un accès à distance depuis un pays tiers reste possible avec une décision d'adéquation ou des garanties appropriées (articles 45 et 46 du RGPD).
Ce que ça change : les contrats doivent indiquer les lois étrangères auxquelles l'hébergeur ou ses sous-traitants sont soumis, les risques et les mesures prises. L'hébergeur doit publier une cartographie des transferts et accès hors EEE. Les éditeurs SaaS santé doivent vérifier leur propre chaîne de sous-traitance.
RGPD : la réforme de l'Omnibus numérique reste bloquée
Le volet « données » de l'Omnibus numérique, proposé le 19 novembre 2025, modifierait le RGPD et transférerait les règles sur les cookies de la directive ePrivacy vers le RGPD. Au Parlement, plus de 1 750 amendements ont été déposés en commission. Au Conseil, le vote d'un mandat de négociation a été annulé faute d'accord. Les trilogues n'ont pas commencé.
Ce que ça change : rien pour l'instant. Une adoption n'est pas attendue avant fin 2026 au plus tôt, et le texte peut encore beaucoup évoluer.
CRA : les signalements de vulnérabilités et d'incidents sont obligatoires
Depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler les vulnérabilités activement exploitées et les incidents graves via la plateforme unique de l'ENISA (Single Reporting Platform), mise en service le même jour. Les délais : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous 14 jours après la mise à disposition d'un correctif (vulnérabilités) ou sous un mois (incidents).
Ce que ça change : l'obligation couvre aussi les produits déjà mis sur le marché avant décembre 2027. Les éditeurs de logiciels doivent disposer d'une veille sur les vulnérabilités, d'une capacité de qualification rapide et d'un circuit de notification. Les autres exigences du CRA s'appliqueront le 11 décembre 2027.
AI Act : l'Omnibus numérique sur l'IA reporte les obligations à haut risque
Le règlement (UE) 2026/1744 est entré en vigueur le 27 juillet 2026. Les obligations des systèmes d'IA à haut risque de l'annexe III (recrutement, crédit, etc.) passent du 2 août 2026 au 2 décembre 2027, celles des produits réglementés de l'annexe I au 2 août 2028. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026, avec un délai jusqu'au 2 décembre 2026 pour le marquage des contenus générés par les systèmes déjà sur le marché.
Ce que ça change : plus de temps pour les systèmes à haut risque, mais pas pour la transparence. Les entreprises RH et fintech qui utilisent l'IA dans le recrutement ou le crédit devraient utiliser ce délai pour cartographier leurs systèmes.
SlackDans le canal choisi, tapez /feed subscribe suivi du lien. Si la commande est inconnue, ajoutez l'application « RSS » de Slack.
T
Microsoft TeamsAvec Power Automate : déclencheur « Quand un élément de flux est publié », action « Publier un message dans un canal ».
R
Lecteur RSSFeedly, Outlook, Inoreader : « Ajouter un flux », puis collez le lien.
Être prévenu des échéances importantes
Facultatif. Laissez vos coordonnées pour recevoir un e-mail avant les échéances réglementaires importantes et quand la version e-mail de la veille sera disponible.
Nous vous écrivons uniquement si vous cochez la case, et seulement à ce sujet. Désinscription à tout moment par e-mail à info@cyberbitsconsulting.com.
FAQ
Questions sur la veille
Quelles réglementations couvrez-vous ?
Le Cyber Resilience Act (CRA), NIS2 et sa transposition française, DORA, le règlement européen sur l'IA (AI Act), la certification HDS, les normes ISO 27001 et ISO 27701, et le RGPD. D'autres textes sont ajoutés quand ils concernent nos clients.
Faut-il s'inscrire pour recevoir la veille ?
Non. Le flux RSS est libre d'accès. L'inscription est facultative : elle sert uniquement à être prévenu par e-mail avant les échéances importantes.
À quelle fréquence est-elle mise à jour ?
Le tableau de bord est revu chaque semaine. Une nouvelle entrée n'est publiée que lorsqu'un texte, une date ou une position officielle change.
Comment l'ajouter à Slack ?
Copiez le lien du flux dans la section « S'abonner », puis tapez dans le canal choisi : /feed subscribe suivi du lien. Chaque nouvelle entrée y sera publiée automatiquement.
Et dans Microsoft Teams ?
Créez un flux Power Automate « Quand un élément de flux est publié », avec le lien du flux, qui publie un message dans votre canal.
Est-ce gratuit ?
Oui. Si vous voulez savoir ce qu'une évolution implique pour votre SMSI ou votre certification, vous pouvez réserver un appel gratuit de 30 minutes.
Une évolution vous concerne ?
30 minutes, gratuit, sans engagement. Nous regardons ce qu'elle change pour votre SMSI, votre certification ISO 27001 ou HDS et vos prochains audits.
Impact sur votre périmètre et vos mesures de sécurité
