La Commission européenne est prise en étau entre un risque cyber toujours plus prégnant, d’où la nécessité d’une réglementation forte, et la nécessité d’alléger la charge administrative des entreprises.
Dans le cadre de son paquet Omnibus VII (aussi appelé « Omnibus numérique ») [1], la Commission européenne a annoncé, le 19 novembre 2025, diverses mesures de simplification en lien avec la cybersécurité. Alors que ce texte est encore loin d’être publié, l’exécutif européen a également présenté, le 20 janvier 2026 [2], un « paquet cybersécurité », qui inclut quelques mesures de simplification, mais aussi de nouvelles obligations structurantes, notamment pour les entreprises soumises à la directive NIS II [3].
Ces textes devraient évoluer sensiblement d’ici leur publication, mais un état des lieux est d’ores et déjà possible. Il donne la mesure des vents contraires auxquels est exposée l’Union européenne, prise en étau entre un risque cyber toujours plus prégnant et la nécessité d’alléger la charge administrative des entreprises.
Des allègements bienvenus
Vers une unification des déclarations d’incidents cyber. Dans sa proposition de règlement transversal (aussi appelé « règlement sur l’acquis numérique »), la Commission européenne propose deux réelles mesures de simplification de la réglementation cyber, qui ne peuvent aller l’une sans l’autre.
L’objectif de celles-ci est de rationaliser le signalement des incidents de cybersécurité, en intégrant dans un mécanisme de signalement unique une large part des obligations de signalement existantes : les obligations de signalement imposées par les directives NIS II et CER, le RGPD, les règlements DORA et eIDAS II seraient à l’avenir concernées [4].
Un guichet...
