Pendant quinze ans, la conformité a suivi une logique d'accumulation : toujours plus de règles, plus de secteurs concernés, plus de contrôles. Depuis la crise financière de 2008, la réglementation s'est étendue des services financiers à presque tous les secteurs, et les organisations ont réagi en structurant des équipes conformité et eninvestissant dans des logiciels GRC.
En 2026, la situation est différente. Le volume de réglementation n'est plus le problème principal. Ce qui compte désormais, c'est la vitesse à laquelle les règles évoluent, la façon dont elles se recoupent et le niveau de preuve qu'elles exigent. Les organisations en difficulté cette année ne sont pas celles qui négligent la conformité. Ce sont celles qui la gèrent encore comme en 2019.
Ce qui a changé
1. La réglementation évolue désormais dans les deux sens.
L'Union européenne est entrée dans une phase de « simplification », mais simplifier les règles ne veut pas dire alléger le travail. La directive Omnibus a recentré la CS3D sur les entreprises de plus de 1 000 salariés et deplus de 450 M€ de chiffre d'affaires, ce qui retire environ 85 % des entités initialement concernées. Les entreprises européennes publieront leur premier rapport au titre de l'exercice 2027, et la CS3D est repoussée à 2029. L'Omnibus numérique a décalé les obligations relatives aux systèmes d'IA à haut risque de l'AI Act d'août 2026 à décembre 2027 (annexe III) et à août 2028 (annexe I). Beaucoup d'équipes avaient déjà construit leurs programmes sur les échéances initiales.
L'enjeu n'est plus de lire de nouveaux textes : il faut replanifier, revoir les périmètres et expliquer au conseil d'administration pourquoi la cible a bougé, sans perdre le travail déjà accompli.
2. La cyber-résilience est devenue un sujet de conformité au niveau du conseil.
DORA s'applique aux entités financières depuis janvier 2025, et la question n'est plus la mise en œuvre mais la supervision : les régulateurs attendent des preuves de résilience, pas seulement des politiques. Depuis le 11 septembre 2026, le Cyber Resilience Act impose aux fabricants de produits comportant des éléments numériques de signaler sous 24 heures les vulnérabilités activement exploitées. NIS2 est transposée de façon inégale : la France, par exemple, n'avait toujours pas de loi de transposition à la fin de l'été, et la Commission européenne a saisi la Cour de justice de l'UE en juillet 2026. Pour les groupes multinationaux, cela signifie une même directive déclinée en plusieurs versions nationales, chacune avançant à son propre rythme.
3. La preuve compte davantageque l'intention.
Régulateurs, auditeurs, clients et investisseurs ne se contentent plus d'un «nous avons une politique ». Ils veulent voir le lien entre une exigence réglementaire, le risque qu'elle vise, le contrôle qui maîtrise ce risque et la preuve que ce contrôle fonctionne réellement.
Les nouveaux défis
- Le chevauchement réglementaire. Un même incident peut déclencher simultanément des obligations au titre de DORA, NIS2, du RGPD et du CRA, chacune avec son propre délai, son destinataire et son format. Les équipes qui gèrent chaque réglementation séparément notifieront en retard, de façon incohérente, ou deux fois.
- L'IA des deux côtés. Les organisations doivent encadrer l'IA qu'elles utilisent (inventaire, classification des risques, obligations de transparence dès décembre 2026), tandis que les équipes conformité adoptent elles-mêmes l'IA pour analyser les textes et les documents. Dans les deux cas, une gouvernance est nécessaire.
- L'exposition aux tiers.Votre conformité ne vaut plus que ce que vaut celle de vos fournisseurs. DORA,NIS2 et les règles de devoir de vigilance reportent la responsabilité sur toute la chaîne d'approvisionnement, et un tableur de fournisseurs n'est plus une réponse acceptable.
- La lassitude réglementaire. À force de voir les échéances bouger, équipes et dirigeants risquent de considérer chaque date comme négociable. Certaines bougeront, beaucoup ne bougeront pas. L'obligation de signalement sous 24 heures du CRA est déjà en vigueur.
Les six décisions à ne pas manquer en 2026
1. Rendre explicite et personnelle, la responsabilité des dirigeants.
NIS2 et DORA font peser une responsabilité directe sur les organes de direction, avec des obligations de formation et, dans certains cas, une responsabilité personnelle. Un conseil d'administration flou sur la conformité n'est plus seulement un problème de culture : c'est une exposition réglementaire. Inscrivez la conformité à l'ordre du jour du conseil avec des indicateurs clairs, et non comme une formalité annuelle.
2. Recaler dès maintenant votre feuille de route réglementaire.
N'attendez pas le prochain report. Identifiez les obligations confirmées (signalement CRA, DORA, transparence de l'AI Act en décembre 2026), celles qui ont été décalées (IA à haut risque, CSRD, CS3D) et celles encore en attente auniveau national (NIS2 dans plusieurs pays). Utilisez le temps gagné pour construire correctement, et non pour vous arrêter.
3. Construire un référentiel de contrôles unique, pas un par réglementation.
Reliez une seule fois les réglementations aux obligations, les obligations aux risques, les risques aux contrôles et les contrôles aux preuves. Un même contrôle d'accès ou une même procédure de gestion d'incident couvre souvent DORA, NIS2, l'ISO 27001 et le RGPD. Le tester une fois et réutiliser la preuve, c'est là que se trouvent les gains d'efficacité.
4. Désigner un responsable pour chaque obligation.
La responsabilité se perd encore dans les interstices entre les directions.Chaque obligation, chaque contrôle et chaque plan d'action doit avoir un responsable nommé, une échéance et une piste de suivi. En cas de problème, « l'équipe » n'est pas une réponse qu'un régulateur acceptera.
5. Industrialiser la n otification des incidents et des vulnérabilités.
Avec des délais de 24 heures désormais effectifs, on ne peut plus improviser ses circuits de notification en pleine crise. Définissez à l'avance qui qualifie l'incident, quelles réglementations il déclenche, qui notifie qui, et avec quel modèle.
6. Abandonner les tableurs.
Excel reste un excellent outil, mais pas pour piloter un programme deconformité multi-réglementations, multi-entités et audité en continu. La conformité n'est pas un projet avec un début et une fin : c'est un processus continu, qui exige une plateforme conçue pour la surveillance continue, la traçabilité et la réutilisation.
Faire de la conformité unavantage
La conformité est encore souvent perçue comme un coût défensif. En 2026, elle devient de plus en plus un facteur de différenciation : dans les appels d'offres, les partenariats et auprès des investisseurs, les organisations capables de démontrer leur maîtrise rapidement et de façon crédible gagnent la confiance et les contrats.
C'est précisément ce pourquoi la plateforme GRC d'Oxial a été conçue. Elle relie réglementations, obligations, risques, contrôles et preuves dans un environnement unique. Vous pouvez ainsi absorber les évolutions réglementaires sans reconstruire votre référentiel à chaque fois, et prouver à tout moment votre niveau de conformité auxr égulateurs, aux auditeurs et à vos clients.
Pour échanger sur la manière dont nous aidons des organisations du monde entier à garder une longueur d'avance sur un paysage réglementaire en mouvement, contactez-nous.
