L’actualité réglementaire décryptée pour vous.
RGPD, NIS 2, IA Act, DORA — suivez les évolutions réglementaires qui impactent votre organisation, avec l’analyse d’impact Examin pour chaque actualité majeure.
NIS 2 : publication de l’ordonnance de transposition française — ce qui change
L’ordonnance de transposition de NIS 2 en droit français a été publiée au Journal Officiel. Les entités essentielles et importantes disposent désormais d’un délai de 12 mois pour se mettre en conformité. L’ANSSI a également actualisé son portail de déclaration.
IA Act : les obligations pour les systèmes à haut risque entrent en vigueur
À partir du 2 août 2026, les fournisseurs de systèmes d’IA à haut risque devront respecter les exigences de l’IA Act en matière de transparence, documentation et surveillance humaine. La Commission publie les premières lignes directrices d’interprétation.
CNIL : amende record de 90 M€ contre un acteur du secteur santé pour transfert illicite
La CNIL a prononcé une sanction de 90 millions d’euros à l’encontre d’un opérateur de santé pour transfert de données vers les États-Unis sans garanties suffisantes. La décision réaffirme l’exigence de BCR ou CCT pour tout transfert hors EEE.
DORA : premières sanctions prononcées par l’EBA contre des établissements financiers
L’Autorité bancaire européenne a prononcé ses premières sanctions dans le cadre de DORA, ciblant des établissements dont les tests de résilience opérationnelle numérique présentaient des lacunes majeures. Un signal fort pour le secteur.
ISO/IEC 27001:2022 — fin de la période de transition en novembre 2025 : bilan
La période de transition vers la version 2022 de la norme ISO 27001 s’est achevée en novembre 2025. Les organismes de certification font état d’un taux de migration de 78% chez les organisations certifiées françaises. Retour sur les principales évolutions.
CJUE : clarification sur la notion de « dommage moral » indemnisable en cas de violation RGPD
La Cour de Justice de l’Union Européenne précise sa jurisprudence sur l’indemnisation des victimes de violations de données. Le simple fait d’une violation ne suffit plus — la personne concernée doit démontrer un préjudice réel, même non financier.