Nouvelles obligations réglementaires cybersécurité 2026 : NIS2, DORA, Cyber Resilience Act et post-quantique, le guide complet

Entre 2024 et 2027, l’Union européenne a fait entrer en vigueur quatre textes qui redéfinissent en profondeur les obligations de cybersécurité des entreprises françaises. Beaucoup de dirigeants de PME pensent n’être concernés que par NIS2, ou pire, pensent ne pas être concernés du tout parce qu’ils ne sont ni une banque, ni un fournisseur d’énergie, ni un fabricant d’objets connectés. C’est une erreur qui peut coûter cher : DORA, le Cyber Resilience Act et la transition vers la cryptographie post-quantique touchent aujourd’hui des milliers de PME françaises, souvent sans qu’elles le sachent, via leurs clients, leurs contrats ou leurs fournisseurs.

Ce guide fait le point sur les quatre textes qui structurent la réglementation cyber pour 2026 et 2027 : la directive NIS2, le règlement DORA, le Cyber Resilience Act (CRA) et les recommandations de l’ANSSI sur la migration post-quantique. Pour chacun, vous saurez qui est concerné, à quelle échéance, avec quelles sanctions à la clé, et surtout ce que votre PME doit faire concrètement dès maintenant.

Vous trouverez également un tableau de synthèse pour identifier en un coup d’œil les textes qui s’appliquent à votre activité, un calendrier des échéances clés jusqu’en 2027, et un plan d’action en six étapes pour avancer sans vous perdre dans le jargon juridique.

Panorama des nouvelles obligations réglementaires 2026

Quatre textes structurent aujourd’hui le paysage réglementaire de la cybersécurité en Europe. Deux sont des obligations légales directement sanctionnables : la directive NIS2 et le règlement DORA. Le troisième, le Cyber Resilience Act, est un règlement européen qui s’applique progressivement aux fabricants de matériel et aux éditeurs de logiciels. Le quatrième, la migration vers la cryptographie post-quantique, n’est pas encore une obligation légale au sens strict, mais devient une exigence de fait via les certifications de sécurité de l’ANSSI.

Selon le baromètre CESIN 2026, NIS2 concerne déjà 59 % des entreprises interrogées, dont 44 % des micro-entreprises et PME, DORA impacte 32 % des organisations, et le Cyber Resilience Act touche 30 % des entreprises, dont 23 % des micro-entreprises et PME. Ces chiffres confirment une réalité simple : la réglementation cyber n’est plus réservée aux grands groupes ni aux secteurs historiquement régulés.

La particularité de ces quatre textes, c’est qu’ils se chevauchent et s’appliquent souvent en cascade. Une PME qui héberge des données pour une banque peut se retrouver soumise à DORA sans être elle-même une entité financière. Un éditeur de logiciel qui vend à une collectivité territoriale peut être concerné par NIS2 via les obligations de sécurité de la chaîne d’approvisionnement de son client. C’est pourquoi ce guide complète notre guide complet de la cybersécurité pour PME et notre panorama des technologies IA de cybersécurité en se concentrant spécifiquement sur le volet réglementaire.

NIS2 : où en est la France et que doit faire votre PME ?

La directive NIS2 (UE 2022/2555) remplace la directive NIS de 2016 et élargit considérablement son champ d’application : 18 secteurs d’activité sont désormais concernés, contre 7 auparavant, avec deux catégories d’entités selon leur taille et leur criticité, les entités essentielles (EE) et les entités importantes (EI). Les États membres avaient jusqu’au 17 octobre 2024 pour transposer la directive dans leur droit national, avec une application effective au 18 octobre 2024.

La France accuse un retard important sur ce calendrier. Le projet de loi de transposition, dit loi « Résilience », a fait l’objet d’une première lecture au Sénat en mars 2025 et d’un vote en commission spéciale à l’Assemblée nationale le 10 septembre 2025, mais son adoption définitive n’était toujours pas actée à la mi-2026. Ce retard ne doit pas être interprété comme un répit : l’ANSSI, désignée future autorité nationale de contrôle, a déjà ouvert son espace d’identification sur cyber.gouv.fr et pousse les 15 000 à 25 000 entités françaises potentiellement concernées à se préparer sans attendre la publication définitive de la loi.

L’ANSSI a publié le 17 mars 2026 son référentiel ReCyF, qui décline les dix mesures de l’article 21 de la directive en 25 objectifs de sécurité et 159 exigences précises. Ces dix mesures couvrent :

• La gestion des risques et l’analyse d’impact
• La gestion des incidents de sécurité
• La continuité d’activité et la gestion de crise
• La sécurité de la chaîne d’approvisionnement
• La sécurité de l’acquisition, du développement et de la maintenance des systèmes
• L’évaluation de l’efficacité des mesures de gestion des risques
• Les pratiques de cyberhygiène et la formation à la sécurité
• L’usage de la cryptographie et, le cas échéant, du chiffrement
• La sécurité des ressources humaines, la gestion des accès et des actifs
• L’authentification multifacteurs et les communications sécurisées

Les sanctions prévues par NIS2 sont dissuasives : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les entités essentielles, et jusqu’à 7 millions d’euros ou 1,4 % pour les entités importantes, le montant le plus élevé étant retenu. Pour un plan d’action détaillé mesure par mesure, consultez notre guide de mise en conformité NIS2 pour PME, qui détaille chacune des dix mesures avec une checklist opérationnelle.

DORA : un règlement qui dépasse largement le secteur financier

Le règlement DORA (UE 2022/2554), pour Digital Operational Resilience Act, est applicable depuis le 17 janvier 2025 dans tous les États membres. Contrairement à une directive, un règlement européen s’applique directement sans loi de transposition nationale, ce qui explique pourquoi DORA est aujourd’hui pleinement en vigueur alors que NIS2 attend toujours sa loi française.

Le champ d’application direct de DORA couvre les banques, les compagnies d’assurance, les sociétés de gestion, les établissements de paiement et de monnaie électronique, les fintechs et les prestataires de services sur crypto-actifs. En France, l’Autorité de contrôle prudentiel et de résolution (ACPR) supervise la conformité via le portail OneGate, où les entités financières ont dû transmettre, avant le 15 avril 2025, un registre exhaustif de leurs prestataires informatiques.

C’est précisément ce registre qui fait de DORA un sujet pour les PME non financières. DORA impose en effet aux entités régulées de gérer le risque lié à leurs prestataires TIC, pour technologies de l’information et de la communication, avec des exigences contractuelles précises : droit d’audit, clauses de réversibilité, plan de sortie, évaluation du risque de concentration. Concrètement, si votre PME héberge des données, développe un logiciel ou assure la maintenance informatique d’une banque, d’une compagnie d’assurance ou d’un courtier, vos contrats vont évoluer pour intégrer ces clauses, et votre propre niveau de sécurité sera audité par votre client.

DORA repose sur cinq piliers :

• La gestion du risque lié aux technologies de l’information et de la communication
• La gestion, la classification et la notification des incidents majeurs
• Les tests de résilience opérationnelle numérique, dont des tests de pénétration pilotés par la menace pour les plus grandes entités
• La gestion du risque lié aux prestataires tiers de services TIC
• Le partage d’informations sur les cybermenaces entre acteurs du secteur financier

DORA impose également aux entités financières d’évaluer le risque de concentration géographique et juridique de leurs prestataires informatiques, notamment lorsqu’ils sont soumis à une législation extraterritoriale comme le CLOUD Act américain, qui autorise les autorités américaines à exiger l’accès à des données hébergées hors des États-Unis dès lors que l’hébergeur est une entreprise américaine. Pour réduire ce risque et répondre aux exigences de leurs clients financiers, de plus en plus de PME françaises font le choix d’un hébergement souverain, opéré en Europe. Nous détaillons cette problématique dans notre guide de la cybersécurité souveraine anti-CLOUD Act.

Cyber Resilience Act : vos logiciels et objets connectés sous surveillance

Le Cyber Resilience Act, règlement UE 2024/2847, est entré en vigueur le 10 décembre 2024. Il impose pour la première fois des exigences de cybersécurité harmonisées à tout « produit comportant des éléments numériques » mis sur le marché européen, qu’il s’agisse de matériel connecté (caméras, routeurs, objets IoT industriels) ou de logiciels autonomes, y compris les applications SaaS et les firmwares développés par des éditeurs français, PME comprises. Aucune exemption de taille n’est prévue : les obligations s’appliquent aussi bien aux grands groupes qu’aux startups et aux PME éditrices de logiciels.

Le calendrier d’application est échelonné. Les organismes notifiés chargés de l’évaluation de conformité sont soumis à leurs obligations depuis le 11 juin 2026. Depuis le 11 septembre 2026, tout fabricant doit signaler à l’ENISA et à l’ANSSI, sous 24 heures, toute vulnérabilité activement exploitée ou tout incident grave affectant un produit comportant des éléments numériques, y compris pour des produits déjà commercialisés. L’application complète des exigences essentielles de sécurité et le marquage CE entreront en vigueur le 11 décembre 2027.

Le CRA responsabilise toute la chaîne de distribution : le fabricant reste le débiteur principal des obligations de conformité, mais les importateurs doivent vérifier l’existence de la documentation technique et du marquage CE, et les distributeurs doivent contrôler certaines informations obligatoires, notamment la durée de support annoncée du produit. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, selon une architecture de sanctions graduée en trois paliers de gravité.

Pour les PME éditrices de logiciels, se conformer au CRA passe d’abord par l’intégration de la sécurité dès la conception. Nos guides sur la sécurité des applications web et le Top 10 OWASP et sur le DevSecOps dans vos pipelines de développement détaillent les pratiques concrètes à mettre en place dès aujourd’hui.

Cryptographie post-quantique : la migration que personne ne voit venir

Contrairement à NIS2, DORA ou au CRA, la transition vers la cryptographie post-quantique n’est pas, encore, une obligation légale directe. Mais elle concerne, à terme, absolument toutes les organisations qui utilisent du chiffrement, c’est-à-dire pratiquement toutes les PME : connexions HTTPS, VPN, sauvegardes chiffrées, signatures électroniques, messageries professionnelles.

Le risque s’appelle « harvest now, decrypt later », collecter maintenant, déchiffrer plus tard. Des acteurs malveillants, parfois étatiques, interceptent et stockent dès aujourd’hui des données chiffrées avec les algorithmes classiques comme RSA ou ECC, en pariant qu’un ordinateur quantique suffisamment puissant permettra de les déchiffrer d’ici quelques années. Ce risque est déjà réel pour toute donnée à durée de vie longue : secrets industriels, dossiers de santé, contrats, données personnelles sensibles.

Le 13 août 2024, le NIST américain a finalisé trois standards de cryptographie post-quantique après huit ans d’évaluation : FIPS 203 (ML-KEM, ex-CRYSTALS-Kyber) pour le chiffrement, FIPS 204 (ML-DSA, ex-CRYSTALS-Dilithium) et FIPS 205 (SLH-DSA, ex-SPHINCS+) pour les signatures numériques. L’ANSSI recommande une approche hybride, qui combine un algorithme classique et un algorithme post-quantique, pour sécuriser la transition sans rupture de compatibilité.

Le calendrier se resserre : l’objectif européen fixe une préparation minimale des États membres pour fin 2026, avec des projets pilotes de migration attendus sur les cas d’usage à risque « intermédiaire » et « élevé ». Plus significatif encore pour les éditeurs et intégrateurs français, l’ANSSI cessera dès 2027 de certifier les produits de sécurité qui ne disposent pas de mécanismes de chiffrement résistants aux ordinateurs quantiques. Or, selon l’ANSSI elle-même, la majorité des PME françaises en sont encore au stade de la sensibilisation, sans inventaire ni action de migration engagée.

La première étape concrète consiste à réaliser un inventaire de vos actifs cryptographiques : où le chiffrement est-il utilisé dans votre PME, avec quels algorithmes, et pour protéger quelles données. Notre guide pratique du chiffrement des données au repos et en transit détaille comment mener cet inventaire et prioriser vos actions.

Votre PME est-elle concernée ? Le tableau de synthèse

Le tableau ci-dessous résume, pour chacun des quatre textes, les entités concernées, les échéances clés, les sanctions encourues et l’autorité de contrôle en France.

Pour visualiser l’enchaînement de ces échéances dans le temps, voici le calendrier complet des dates clés à retenir, du premier standard post-quantique publié en 2024 jusqu’à l’application complète du Cyber Resilience Act fin 2027.

Plan d’action en 6 étapes pour se mettre en conformité

Face à quatre textes qui se chevauchent, mieux vaut avancer dans un ordre logique plutôt que de traiter chaque réglementation isolément. Voici la marche à suivre recommandée.

1. Identifiez votre statut réglementaire : êtes-vous une entité essentielle ou importante au sens de NIS2, une entité financière ou un prestataire TIC au sens de DORA, un fabricant ou éditeur soumis au CRA ? Un audit initial permet de clarifier votre exposition réelle. Notre partenaire SIAC Media propose un audit cybersécurité pour PME qui couvre ce diagnostic.
2. Réalisez l’inventaire de vos actifs numériques et cryptographiques : systèmes, données, algorithmes de chiffrement utilisés, prestataires impliqués dans votre chaîne d’approvisionnement.
3. Formalisez votre gouvernance cyber avec une politique de sécurité écrite et, si votre PME utilise l’intelligence artificielle, une charte d’usage. Consultez notre modèle de politique de sécurité informatique pour PME et le générateur de charte IA de SIAC Media.
4. Mettez à jour vos contrats avec vos prestataires et vos clients pour intégrer les clauses désormais attendues : droit d’audit, notification d’incident, réversibilité, engagement de sécurité de la chaîne d’approvisionnement.
5. Testez votre résilience réelle par des exercices de crise et des tests de restauration de sauvegardes. Notre modèle d’audit cybersécurité PME propose une checklist complète pour structurer cette étape.
6. Budgétez la mise en conformité et couvrez le risque résiduel par une assurance adaptée. Consultez nos guides sur le budget cybersécurité pour PME et sur l’assurance cyber pour PME.

Foire aux questions sur les nouvelles obligations réglementaires 2026

Une PME de 10 salariés est-elle concernée par NIS2 ?

Cela dépend de son secteur d’activité et de son rôle dans la chaîne d’approvisionnement. NIS2 couvre 18 secteurs et peut s’appliquer directement aux entreprises de taille moyenne dépassant certains seuils, mais surtout indirectement : une petite PME sous-traitante d’une entité essentielle ou importante peut se voir imposer contractuellement des exigences de sécurité équivalentes, sans être elle-même directement régulée.

DORA s’applique-t-il aux PME qui ne sont pas des banques ?

Directement, non : DORA cible les entités financières régulées. Mais indirectement, oui, dès lors que votre PME est prestataire TIC, hébergement, développement, maintenance, cybersécurité, d’une banque, d’un assureur ou d’une fintech. Ces clients répercutent une partie des exigences DORA dans leurs contrats fournisseurs.

Que risque une PME qui ignore le Cyber Resilience Act ?

Le CRA s’applique sans exemption de taille à tout fabricant ou éditeur de produits comportant des éléments numériques vendus dans l’UE. Les sanctions peuvent atteindre 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial, et les autorités de surveillance du marché peuvent aussi imposer un rappel ou une interdiction de commercialisation du produit non conforme.

Faut-il déjà remplacer son chiffrement par de la cryptographie post-quantique ?

Pas dans l’urgence, mais il faut commencer à s’y préparer. L’ANSSI recommande une approche hybride associant algorithmes classiques et post-quantiques, avec des pilotes attendus sur les cas d’usage sensibles d’ici fin 2026. La première étape réaliste pour une PME est un inventaire de ses usages du chiffrement, pas un remplacement immédiat de toute son infrastructure.

Ces textes se cumulent-ils avec le RGPD ?

Oui, ces réglementations ne se substituent pas les unes aux autres. Le RGPD protège les données personnelles, NIS2 impose une gestion des risques cyber, DORA cible la résilience numérique du secteur financier, le CRA sécurise les produits numériques, et la migration post-quantique protège la confidentialité à long terme du chiffrement. Une PME peut être concernée simultanément par plusieurs de ces textes. Notre article sur le RGPD et les obligations cybersécurité des PME détaille les recoupements avec la protection des données.

Conclusion

Entre le retard français sur NIS2, l’entrée en application déjà effective de DORA, le calendrier serré du Cyber Resilience Act et la préparation encore balbutiante des PME face au post-quantique, l’année 2026 marque un tournant. Attendre la publication définitive de la loi française ou la première mise en demeure n’est pas une stratégie : les entreprises qui commencent dès maintenant leur mise en conformité, mesure par mesure et texte par texte, seront en position de force face à leurs clients, leurs assureurs et leurs partenaires.

Pour aller plus loin, notre guide complet de la cybersécurité pour PME et notre panorama des technologies IA de cybersécurité couvrent l’ensemble des briques techniques à mettre en place. Notre glossaire cybersécurité et IA en 30 termes vous aidera également à maîtriser le vocabulaire technique et réglementaire de ce guide.