L'essentiel en bref
- Les cinq principaux risques de conformité sont les angles morts réglementaires, les lacunes de preuve, la chaîne d'approvisionnement, les silos entre référentiels et l'absence de gouvernance de l'IA.
- NIS2 s'applique depuis le 18 octobre 2024, mais vos obligations découlent du droit national. La France n'a toujours pas promulgué sa loi de transposition et la Commission l'a assignée devant la Cour de justice le 8 juillet 2026.
- Le Digital Omnibus, règlement (UE) 2026/1744, a reporté au 2 décembre 2027 les obligations de l'AI Act relatives aux systèmes à haut risque de l'annexe III. Les obligations de transparence s'appliquent depuis le 2 août 2026, sans report.
- Les obligations de notification prévues à l'article 14 du règlement sur la cyberrésilience s'appliquent à partir du 11 septembre 2026, soit 15 mois avant l'application complète du 11 décembre 2027.
- La plupart des constats d'audit portent sur des preuves manquantes pour des mesures déjà en place, non sur des mesures absentes.
Les risques de conformité ne sont plus d'abord une question d'amende. Ils sont devenus une question de capacité à prouver. Personne, dans un appel d'offres, un audit de certification ou un contrôle de l'autorité, ne demande si des mesures existent. On vous demande quel était l'état réel le jour d'un incident précis. C'est là que la plupart des programmes cèdent, et toujours aux cinq mêmes endroits.
L'année 2026 n'a pas remplacé ces cinq risques. Elle les a rendus plus tranchants. NIS2 est désormais du droit national dans la plupart des États membres, le règlement sur la cyberrésilience introduit des obligations de notification chez vos fournisseurs de produits et l'AI Act a vu une partie de ses obligations reportée, l'autre non. Le tableau ci-dessous les classe ; les sections qui suivent les traitent une par une.
Risque 1 : les angles morts réglementaires
Le risque de conformité le plus coûteux est une obligation que personne n'a vue passer. Il vient rarement d'une négligence. Il vient du rythme : en 2026, plusieurs échéances européennes ont bougé en même temps, et dans des directions opposées.
La directive (UE) 2022/2555 s'applique depuis le 18 octobre 2024, mais elle ne crée pas d'obligation directement opposable. Vos devoirs découlent de la loi nationale qui la transpose là où vous êtes établi. La France illustre le problème. Le Sénat a adopté le projet de loi en première lecture le 12 mars 2025, la commission spéciale de l'Assemblée nationale a adopté un texte modifié le 10 septembre 2025, et aucune loi de transposition n'a été promulguée à ce jour. Le 8 juillet 2026, la Commission a saisi la Cour de justice de l'Union européenne contre l'Irlande, l'Espagne, la France et les Pays-Bas pour défaut de transposition, en demandant des sanctions financières.
Cette situation ne vous met pas à l'abri. Si vous êtes établi dans plusieurs États membres, vos obligations diffèrent d'un pays à l'autre. En Allemagne, le BSIG s'applique depuis le 6 décembre 2025 sans période transitoire, et les délais d'enregistrement ont expiré le 6 mars 2026 puis le 31 juillet 2026. Une filiale allemande d'un groupe français est donc déjà en infraction si elle ne s'est pas enregistrée. Notre guide de la directive NIS2 détaille l'articulation entre la directive et les droits nationaux.
Une idée reçue fréquente : beaucoup d'équipes ont lu en juillet 2026 que les règles de l'AI Act sur les systèmes à haut risque étaient reportées et en ont conclu que rien ne s'appliquait le 2 août 2026. C'est faux. Le Digital Omnibus, règlement (UE) 2026/1744, a été publié au Journal officiel le 24 juillet 2026 et est entré en vigueur le 27 juillet 2026. Il reporte du 2 août 2026 au 2 décembre 2027 les obligations applicables aux systèmes à haut risque autonomes de l'annexe III, et au 2 août 2028 celles applicables aux systèmes intégrés de l'annexe I. Les obligations de transparence de l'article 50 sont devenues applicables le 2 août 2026 comme prévu, ainsi que le marquage des contenus générés par IA. Deux nouvelles pratiques interdites s'appliqueront à partir du 2 décembre 2026.
En protection des données, c'est l'inverse. Le second Digital Omnibus, qui modifierait le RGPD, est sur la table depuis le 19 novembre 2025 et se trouve encore en première lecture. Ce n'est pas du droit positif. Repousser un chantier aujourd'hui au motif que le RGPD va être assoupli revient à appliquer un projet de texte plutôt que le RGPD.
Comment réduire le risque : désignez un responsable de la veille par juridiction dans laquelle vous opérez et consignez chaque nouvelle obligation avec sa date d'identification, son évaluation et son attribution. Ce que l'autorité voudra voir plus tard, ce n'est pas l'obligation, c'est votre décision à son sujet.
Risque 2 : des lacunes de preuve, pas des mesures manquantes
La plupart des constats d'audit ne viennent pas d'une mesure absente, mais d'une efficacité impossible à démontrer. La pratique est saine, la documentation ne l'est pas : une version de politique périmée, un test de restauration que personne n'a consigné, une dérogation validée à l'oral.
Le droit vise précisément cette lacune. L'article 21, paragraphe 2 de NIS2 énumère dix mesures de gestion des risques, et le point f) exige des politiques et des procédures permettant d'évaluer l'efficacité de ces mesures. C'est une obligation distincte de la mesure elle-même. Exploiter un contrôle d'accès ne suffit pas : vous devez pouvoir montrer que vous avez vérifié son fonctionnement, à quelle date et avec quel résultat.
ISO 27001 fonctionne de la même façon. La version 2022 comporte 93 mesures en annexe A, réparties en quatre thèmes : 37 organisationnelles, 8 relatives aux personnes, 14 physiques et 34 technologiques. La plupart des organisations en retiennent 60 à 80. Un auditeur ne vérifie pas qu'une mesure est documentée, mais qu'elle a fonctionné pendant toute la période d'audit. Notre panorama des mesures ISO 27001 les détaille une à une.
Un exemple concret : une entreprise SaaS de 45 personnes exploite son SMSI depuis 14 mois. Les politiques existent, le MFA est déployé partout, les sauvegardes tournent chaque nuit. L'audit de certification produit trois constats : le dernier test de restauration documenté a 11 mois, deux départs du printemps n'ont pas de preuve d'offboarding, et le MFA figure dans une politique sans avoir jamais été attesté depuis le système d'identité. Aucun de ces constats ne porte sur une mesure manquante. Les trois portent sur des preuves manquantes.
Comment réduire le risque : collectez les preuves en continu depuis les systèmes que vous exploitez déjà, au lieu de les rassembler avant l'audit. C'est l'historique qui compte. Une preuve qui ne montre que l'état du jour ne répond pas à la question de l'état huit mois plus tôt.
Risque 3 : chaîne d'approvisionnement et prestataires
Votre responsabilité ne s'arrête pas à votre pare-feu. L'article 21, paragraphe 2, point d) de NIS2 impose des mesures de sécurité de la chaîne d'approvisionnement, y compris explicitement la sécurité des relations avec vos fournisseurs directs et vos prestataires de services. Il s'agit d'une évaluation continue, non d'un questionnaire rempli à la signature du contrat.
En 2026, une deuxième couche s'ajoute. Le règlement (UE) 2024/2847 sur la cyberrésilience est entré en vigueur le 10 décembre 2024. À partir du 11 septembre 2026, les fabricants de produits comportant des éléments numériques devront notifier les vulnérabilités activement exploitées et les incidents graves au titre de l'article 14 : une alerte précoce sous 24 heures, une notification complète sous 72 heures et un rapport final dans les 14 jours suivant la mise à disposition d'une mesure corrective. L'application complète suivra le 11 décembre 2027. Pour vous, en tant qu'acheteur, cela signifie que vos fournisseurs logiciels et matériels auront leurs propres obligations de notification dès septembre 2026, et que ce qu'ils déclareront concerne des produits qui tournent chez vous. Notre article sur les effets du règlement sur la cyberrésilience précise les classes de produits concernées.
Une idée reçue fréquente : un contrat de sous-traitance signé est souvent traité comme une preuve de sécurité. Il n'en est pas une. Un contrat au titre de l'article 28 du RGPD fixe des obligations et un droit d'instruction ; il ne démontre pas que le sous-traitant les respecte. Ce qu'un délégué à la protection des données examine réellement figure dans notre guide du contrat de sous-traitance.
Comment réduire le risque : tenez un registre des prestataires avec un niveau de criticité, un résultat d'évaluation et la prochaine date de revue, et rattachez les réponses aux questionnaires aux mesures qu'elles sont censées étayer. Un dossier rempli de PDF déplace le travail, il ne le fait pas.
Risque 4 : les silos entre référentiels
Quand chaque référentiel est géré séparément, vous payez trois fois : travail dupliqué, mesures mises en œuvre de façon incohérente et absence de vue unique sur votre niveau de conformité. Le gain de sécurité est nul, car deux politiques de contrôle d'accès maintenues séparément ne protègent pas mieux qu'une seule.
Le recouvrement est important. Un SMSI certifié ISO 27001 couvre une large part des dix mesures de l'article 21, paragraphe 2 de NIS2. Ce qu'il ne couvre pas, ce sont les obligations propres à NIS2 : l'enregistrement au titre de l'article 27, les délais de notification de l'article 23 et les preuves relatives à l'organe de direction exigées par l'article 20. Le RGPD et SOC 2 se comportent de la même manière. Les mesures techniques de l'article 32 du RGPD et les Trust Services Criteria s'appuient sur des mesures que vous exploitez déjà pour la certification.
Une idée reçue fréquente : un référentiel supplémentaire n'implique pas automatiquement un projet supplémentaire. Il implique un travail de correspondance. Notre article sur ISO 27001, RGPD et SOC 2 montre comment les rattacher à un socle de mesures commun.
Comment réduire le risque : maintenez un seul socle de mesures et rattachez-le aux exigences, au lieu d'exploiter un système par référentiel. La preuve d'un contrôle d'accès testé devrait attester en même temps la mesure NIS2 correspondante, la mesure ISO et le critère SOC 2.
Risque 5 : la gouvernance de l'IA
Le risque de conformité qui progresse le plus vite se cache dans des outils que personne n'a validés. L'IA fantôme n'arrive pas par malveillance. Une équipe teste un assistant, le branche sur une boîte partagée, et trois mois plus tard un système traite des données personnelles sans figurer dans aucun registre.
Le report du Digital Omnibus ne change rien à cela. Ce qui a été reporté, ce sont les obligations relatives aux systèmes à haut risque de l'annexe III, au 2 décembre 2027, et celles relatives aux systèmes intégrés de l'annexe I, au 2 août 2028. Ce qui n'a pas été reporté, ce sont les interdictions de l'article 5 et l'obligation de culture de l'IA de l'article 4, applicables depuis le 2 février 2025, les obligations GPAI depuis le 2 août 2025 et les obligations de transparence depuis le 2 août 2026. Notre article sur les systèmes d'IA à haut risque précise lesquels relèvent effectivement de cette catégorie.
Le RGPD s'applique indépendamment de tout cela. Lorsqu'un système d'IA traite des données personnelles avec un risque élevé, une analyse d'impact relative à la protection des données au titre de l'article 35 du RGPD est due avant le déploiement, non après le pilote. Aucun report ne touche cette obligation.
Comment réduire le risque : constituez d'abord l'inventaire, classifiez ensuite. Les 16 mois supplémentaires jusqu'à décembre 2027 sont du temps pour la classification et la documentation technique. Ce n'est pas du temps pour continuer à ignorer quels systèmes d'IA tournent chez vous. Sans inventaire aujourd'hui, vous n'avez aucune base pour exploiter ce report.
Ce que les cinq risques ont en commun
Les causes diffèrent, les remèdes se recoupent largement. D'abord la collecte continue de preuves plutôt qu'une photographie à une date donnée, parce que chacune des cinq lacunes apparaît dès que quelqu'un interroge un état passé. Ensuite l'attribution claire, parce qu'une obligation sans responsable n'est pas une obligation mais une note. Enfin un socle de mesures commun, parce que les référentiels se recoupent bien davantage sur le fond que les plans de projet censés les mettre en œuvre.
Comment Kertos traite les cinq risques
Kertos rattache le RGPD, ISO 27001, NIS2, SOC 2, TISAX et l'AI Act européen à un socle de mesures commun. Une mesure que vous mettez en œuvre et testez une fois atteste l'exigence correspondante dans chaque référentiel où elle apparaît. Plus de 100 intégrations récupèrent les preuves dans les systèmes que vos équipes utilisent déjà et les rattachent à l'exigence qu'elles étayent, ce qui réduit d'environ 80 % l'effort manuel de conformité.
Ce que la plateforme ne remplace pas, c'est le jugement professionnel. Savoir si vos mesures sont appropriées à votre profil de risque relève d'une appréciation, non d'un calcul. Kertos associe donc la plateforme à des experts certifiés en sécurité de l'information et en protection des données, qui portent cette appréciation avec vous et peuvent assurer des mandats de CISO externe ou de délégué à la protection des données externe. Les données sont hébergées en Allemagne.
Ce que cela donne concrètement pour NIS2 figure sur notre page NIS2.
Questions fréquentes
Quels sont les principaux risques de conformité pour une entreprise ?
Les cinq plus fréquents sont les angles morts réglementaires, c'est-à-dire les obligations identifiées trop tard, les lacunes de preuve, lorsque les mesures existent sans pouvoir être démontrées, le risque lié aux prestataires et aux fournisseurs de produits, les silos entre référentiels avec leur travail dupliqué, et l'absence de gouvernance de l'IA. Les cinq apparaissent en audit ou en contrôle, pas dans l'exploitation quotidienne.
Pourquoi des entreprises échouent-elles en audit alors que les mesures sont en place ?
Parce que l'efficacité n'est pas démontrable. La plupart des constats portent sur des preuves manquantes, périmées ou incohérentes, non sur des mesures absentes. L'article 21, paragraphe 2, point f) de NIS2 va plus loin et fait de l'évaluation de l'efficacité une obligation distincte des mesures elles-mêmes.
Suis-je responsable des manquements de mes prestataires ?
De plus en plus, oui. L'article 21, paragraphe 2, point d) de NIS2 exige explicitement des mesures portant sur la sécurité des relations avec vos fournisseurs directs et vos prestataires de services. Un contrat de sous-traitance au titre de l'article 28 du RGPD fixe les obligations mais n'atteste pas leur respect. Cela suppose une évaluation continue avec des dates de revue.
Les obligations de l'AI Act ont-elles été reportées ?
En partie seulement. Le règlement (UE) 2026/1744, publié le 24 juillet 2026, reporte au 2 décembre 2027 les obligations relatives à l'annexe III et au 2 août 2028 celles relatives à l'annexe I. Les interdictions et l'obligation de culture de l'IA s'appliquent depuis le 2 février 2025, les obligations GPAI depuis le 2 août 2025 et les obligations de transparence depuis le 2 août 2026.
Quel est le montant des amendes en cas de manquement à NIS2 ?
L'article 34 de NIS2 fixe un plafond « d'au moins » 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total pour les entités essentielles, le montant le plus élevé étant retenu, et 7 millions d'euros ou 1,4 % pour les entités importantes. Ce sont des planchers pour les maxima nationaux et non des plafonds européens : votre exposition réelle dépend donc de la loi de transposition applicable.
Pour savoir où en sont vos preuves aujourd'hui et laquelle des cinq lacunes reste ouverte chez vous, nous faisons le point avec vous : demander une démo.
