NIS2, DORA, AI Act : la matrice de vos obligations cumulées

Trois textes, trois logiques de rattachement : NIS2 s'applique par secteur et par taille, DORA par statut d'entité financière, l'AI Act par rôle et par niveau de risque d'un système d'IA. Une banque qui déploie un modèle de scoring de crédit peut relever des trois en même temps, plus le RGPD dès qu'une donnée personnelle circule.

La bonne nouvelle : une partie de ces obligations se recoupe. Je vais vous montrer où, pour que vous ne construisiez pas trois dossiers de conformité qui documentent la même chose trois fois.

Qui est concerné, texte par texte

Chaque règlement a sa propre porte d'entrée. Commencez par vérifier laquelle s'ouvre chez vous, avant de regarder ce qu'elle exige.

NIS2

La directive (UE) 2022/2555 du 14 décembre 2022 couvre 18 secteurs répartis en deux annexes, avec un seuil de taille : au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires ou de bilan.

J'ai détaillé la méthode complète, exceptions comprises, dans le test NIS2 en 6 questions.

DORA

Le règlement (UE) 2022/2554 du 14 décembre 2022 est applicable depuis le 17 janvier 2025. Il vise une vingtaine de catégories d'entités financières définies à son article 2 : banques, assureurs, entreprises d'investissement, établissements de paiement, prestataires de services sur crypto-actifs, agences de notation, ainsi que les prestataires de services TIC qui les servent.

Contrairement à NIS2, DORA ne fixe aucun seuil d'effectif. Si vous êtes une entité financière régulée, vous êtes dans le champ, quelle que soit votre taille.

AI Act

Le règlement (UE) 2024/1689 du 13 juin 2024 ne raisonne ni par secteur ni par statut, mais par rôle et par risque. Vous êtes concerné si vous êtes fournisseur ou déployeur d'un système classé à haut risque à l'annexe III : un scoring de solvabilité, un outil de sélection de candidats.

Les obligations propres aux systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744 du 8 juillet 2026, publié au JOUE le 24 juillet 2026. Les obligations de transparence de l'article 50, elles, s'appliquent depuis le 2 août 2026. Je détaille l'ordre des étapes dans la feuille de route de mise en conformité AI Act.

Ce qui se recoupe, et ce qu'il ne faut pas payer deux fois

Le recoupement le plus rentable concerne le secteur financier. NIS2 liste la banque et les infrastructures de marché à son annexe I, ce qui laisse croire qu'un établissement financier doit appliquer NIS2 en plus de DORA.

L'article 4 de la directive NIS2 règle la question. Quand un texte sectoriel européen impose des obligations de cybersécurité au moins équivalentes, c'est lui qui s'applique à la place des articles 21 et 23 de NIS2. DORA a été écrit pour jouer ce rôle. Si vous êtes une banque ou un assureur, vous ne dupliquez donc ni votre gestion des risques informatiques ni votre notification d'incidents : vous appliquez DORA.

Le deuxième recoupement touche l'AI Act et le RGPD. L'article 14 de l'AI Act impose une supervision humaine sur les systèmes à haut risque. L'article 22 du RGPD impose une intervention humaine dès qu'une décision automatisée produit un effet juridique ou significatif sur une personne.

Sur un scoring de crédit, les deux exigences décrivent le même mécanisme de contrôle, vu sous deux angles. L'amende de 825 millions d'euros infligée à Uber le 21 août 2026, que je décris dans l'article sur la sanction et l'article 22 du RGPD, montre ce qui arrive quand ce chaînon humain n'existe que sur le papier. Un dispositif de révision unique, documenté une fois, peut répondre aux deux textes s'il est conçu pour ça dès le départ.

Les délais de notification d'incident, comparés

C'est le point où la confusion coûte le plus cher, parce que les horloges ne tournent pas à la même vitesse selon le texte.

• NIS2(article 23) : alerte précoce sous 24 heures après la détection d'un incident significatif, notification complète sous 72 heures, rapport final sous un mois.
• DORA(article 19 et ses normes techniques) : notification initiale sous 4 heures après la classification d'un incident comme majeur, et au plus tard 24 heures après sa détection, rapport intermédiaire sous 72 heures, rapport final sous un mois.
• RGPD (article 33) : notification à la CNIL sous 72 heures en cas de violation de données personnelles.
• AI Act(article 73) : signalement d'un incident grave à l'autorité de surveillance du marché, sans délai injustifié. Les plafonds sont différenciés : 2 jours en cas de décès, 10 jours pour une infraction généralisée ou un dommage grave, 15 jours dans les autres cas.

Un même incident peut déclencher les quatre horloges à la fois, avec quatre destinataires différents. Une fuite de données provoquée par un système de scoring chez un établissement financier, par exemple.

La seule façon de ne pas rater un délai : une procédure interne qui identifie, dès la détection, tous les textes concernés. Pas seulement le premier auquel on pense.

Qui contrôle, et combien coûte l'erreur

Les autorités compétentes ne se recoupent pas, elles non plus.

• NIS2: l'ANSSI, hors secteur financier.
• DORA: l'ACPR pour les banques et les assurances, l'AMF pour les prestataires de services d'investissement et de crypto-actifs. L'ANSSI apporte un appui technique via le CERT-FR sur la réponse aux incidents, dans le cadre d'un accord signé le 3 juillet 2026 entre les trois autorités.
• AI Act: la CNIL, la DGCCRF et l'Arcom selon le domaine, avec le Bureau européen de l'IA pour les modèles à usage général.
• RGPD : la CNIL, seule.

Les montants suivent la même logique de textes distincts. NIS2 plafonne à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, 7 millions ou 1,4 % pour une entité importante.

DORA ne fixe pas de plafond harmonisé pour les entités financières : les sanctions suivent le régime national existant, celui de l'ACPR ou de l'AMF. Pour les prestataires TIC désignés critiques et supervisés directement au niveau européen, l'article 35 prévoit en revanche une astreinte journalière allant jusqu'à 1 % du chiffre d'affaires mondial moyen, pendant six mois au maximum.

L'AI Act, enfin, monte à 35 millions d'euros ou 7 %du chiffre d'affaires mondial pour les pratiques interdites, et 15 millions ou 3 % pour la non-conformité d'un système à haut risque.

Comment je priorise avec un client qui cumule les trois

Dans ces missions, j'élimine toujours le double travail avant de lister ce qui manque. Trois étapes, dans cet ordre.

1. Vérifier si un texte sectoriel prime sur NIS2, comme DORA le fait pour la finance.
2. Repérer les systèmes d'IA à haut risque, puis regarder quelles briques RGPD ou NIS2 déjà en place sont transposables.
3. Combler seulement ce qui reste, avec un registre unique qui alimente les quatre textes plutôt que quatre registres séparés.

Cette matrice ne remplace pas un audit de votre périmètre exact. Elle vous évite d'en payer un pour découvrir des évidences. Pour la version appliquée à votre organisation, avec la liste précise de ce qui se recoupe chez vous, le détail de mon accompagnement est là.