Impacts de l’omnibus numérique sur la cybersécurité

Depuis février 2025, en réponse à la demande du Conseil européen, la Commission européenne a présenté au Conseil et au Parlement, pour adoption, douze propositions de simplification, également appelées « trains de mesures omnibus ».

En particulier, le septième train de mesures, proposé par la Commission le 19 novembre 2025, comprend les deux textes suivants visant à simplifier le cadre législatif pour le numérique :

• la proposition de règlement dit « Omnibus numérique » (1) modifiant plusieurs règlementations relatives aux données dont notamment le règlement général sur la protection des données (RGPD) (2), le règlement européen sur la protection des données (RPDUE) (3) et la directive « vie privée et communications électroniques » (4) ;
• le règlement dit « Omnibus numérique sur l’IA » (5), relatif à la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle, dont le règlement sur l’IA (RIA) (6) qui a été définitivement adopté le 29 juin 2026 ;

Ces textes visent à simplifier le cadre législatif applicable aux données et à l’intelligence artificielle, mais ont également des impacts sur la cybersécurité.

En effet, face à l’accumulation de normes sectorielles et transversales, les directions juridiques et les responsables de la sécurité des systèmes d’information (RSSI) peinent à rationaliser leurs politiques de conformité.

Constat d’un empilement réglementaire en matière de notification cyber

L’obligation de notifier les incidents de sécurité varie aujourd’hui d’un texte à l’autre, créant de l’incertitude juridique et des doublons opérationnels. Ainsi :

• en vertu de l’article 23 de la directive NIS 2 (7), tout « incident important (significant incident) », susceptible de causer une perturbation grave des services ou des pertes financières ou matérielles importantes, doit être notifié par les entités essentielles et importantes au CSIRT national compétent (l’ANSSI en France). La procédure s’articule en trois temps : les entités doivent transmettre une alerte précoce dans un délai de 24 heures à compter de la prise de connaissance, suivie d’une notification d’incident complète sous 72 heures, puis soumettre un rapport final détaillant la cause racine au plus tard un mois après l’alerte précoce ;
• conformément aux obligations de notification du Cyber Resilience Act ou CRA (8), les fabricants de produits comportant des éléments numériques doivent signaler toute vulnérabilité exploitée activement ou tout incident de sécurité majeur impactant leurs matériels ou logiciels. L’information doit être transmise au CSIRT (Centres de réponse aux incidents de sécurité informatique) désigné ainsi qu’à l’ENISA (Agence de l’Union européenne pour la cybersécurité) via une plateforme centralisée. Le calendrier impose une alerte précoce à émettre sous 24 heures après en avoir eu connaissance, une notification détaillée intégrant les premières mesures d’atténuation sous 72 heures, et la fourniture d’un rapport final de résolution (ou la mise à disposition d’un correctif) dans un délai d’un mois ;
• en vertu de l’article 19 du règlement DORA (9), les entités financières doivent notifier tout « incident majeur lié aux TIC » (technologies de l’information et de la communication) aux autorités nationales compétentes (telles que l’ACPR -Autorité de contrôle prudentiel et de résolution- ou l’AMF -Autorité des marchés financiers- en France). La procédure de déclaration s’effectue en trois étapes : l’entité doit transmettre une notification initiale sans délai (au plus tard dans les 4 heures suivant la qualification de l’incident comme majeur ou 24 heures après en avoir pris connaissance), suivie d’un rapport intermédiaire dans un délai de 72 heures, et enfin soumettre un rapport final détaillant l’analyse des causes fondamentales et l’impact financier au plus tard un mois après la résolution de l’incident ;
• aux termes de l’article 73 du RIA, les fournisseurs de systèmes d’IA à haut risque et de modèles d’IA à usage général sont tenus de déclarer tout « incident grave », tel qu’une atteinte à la santé ou aux droits fondamentaux, un décès ou une perturbation majeure d’infrastructures critiques. La notification doit être adressée aux autorités de surveillance du marché nationales et au Bureau européen de l’IA (AI Office). Elle doit intervenir immédiatement et au plus tard dans un délai de 15 jours à compter de la prise de connaissance de l’incident, ce délai étant ramené à 72 heures ou sans délai en cas d’urgence absolue de sécurité publique ;
• en vertu de l’article 33 du RGPD, toute « violation de données à caractère personnel » susceptible de présenter un risque pour les droits et libertés des personnes physiques doit être notifiée à la Cnil. Ainsi, les responsables du traitement (ou les sous-traitants le cas échéant) doivent notifier dans un délai de 72 heures au plus tard après en avoir pris connaissance. En outre, les personnes concernées doivent également être informées lorsque cette violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, en vertu de l’article 34 du RGPD.

Ce chevauchement engendre un risque de sur-notification et une mobilisation inefficace des équipes de crise.

Impacts de l’omnibus numérique sur ces obligations de notifications

Face au chevauchement de ces régimes (NIS 2, DORA, RGPD, CRA, RIA), la Commission européenne a soumis le septième train de mesures « Omnibus numérique », afin de rationaliser le droit du numérique européen.

Ce train de mesures adapte les règles sectorielles pour éviter qu’un même incident (ex. un ransomware touchant un logiciel médical géré par une IA) n’oblige l’entreprise à rédiger quatre déclarations parallèles avec des repères temporels contradictoires (24h, 72h, 15j).

Il modifie et précise les dispositions du RGPD en matière de notification pour aligner les règles sur la logique Cyber (NIS 2 / DORA / CRA / RIA). L’objectif est d’éviter la « sur-notification » préventive à la Cnil pour les incidents purement techniques où l’atteinte aux données n’est pas encore établie.

A ce titre, dans un avis commun (10) , le Comité européen de la protection des données (CEPD/EDPB) et le Contrôleur européen de la protection des données (CEPD/EDPS) sont favorables à l’augmentation du seuil de risque conduisant à l’obligation de notifier une violation de données à l’autorité de protection des données compétente et à la prolongation du délai pour soumettre une telle notification car cela réduirait considérablement la charge administrative pesant sur les organisations sans porter atteinte à la protection des données à caractère personnel des personnes.

Pour les systèmes d’IA intégrés dans des secteurs critiques couverts par NIS 2 ou DORA, les obligations de déclaration sous le RIA sont réarticulées : si un incident d’IA relève d’une attaque de cybersécurité sans violation directe des droits fondamentaux, les canaux de déclaration NIS 2 / DORA priment afin d’éviter les doublons déclaratifs.

Omnibus numérique : Vers un guichet unique de notification des incidents

Le Guichet Unique de Notification (Single-Entry Point ou SEP) est l’innovation centrale du paquet Omnibus numérique pour concrétiser la simplification administrative.

Il s’agit d’une plateforme numérique centralisée à l’échelle européenne, développée et maintenue sous la responsabilité de l’ENISA (Agence de l’UE pour la cybersécurité) qui permet :

• une saisie unique : l’entreprise renseigne les faits (nature de l’attaque, périmètre des données touchées, systèmes d’IA impactés, mesures prises) ;
• un routage automatique intelligent : le système de l’ENISA ventile et transmet immédiatement les données pertinentes aux différentes autorités nationales et européennes concernées en fonction du champ d’application de l’incident (ex. transmission simultanée du volet données à la Cnil et du volet sécurité à l’ANSSI).
• l’utilisation de formulaires standardisés : les champs de saisie, la qualification des seuils d’impact et les typologies d’indicateurs de compromission (IoC) sont unifiés.

Ainsi, au lieu d’alimenter séparément les portails de la Cnil, de l’ANSSI, de la DGCCRF ou du Bureau de l’IA, l’entité victime d’un incident remplit un formulaire unifié en ligne.

Conclusion

En anticipant cette convergence des règlementations et des obligations de notification, les entreprises pourraient se doter d’une réelle valeur ajoutée stratégique : passant d’une conformité subie à un levier d’agilité organisationnelle et commerciale.

Pour cela, ces acteurs doivent mettre à jour leurs trames contractuelles avec leurs fournisseurs TIC et revoir ou prévoir leurs procédures de gestion d’incidents pour s’adapter à la rationalisation des règles.

---

(1) Proposition de règlement dit « omnibus numérique » : Proposition de règlement du Parlement Européen et du Conseil modifiant les règlements (UE) 2016/679, (UE) 2018/1724, (UE) 2018/1725 et (UE) 2023/2854 ainsi que les directives 2002/58/CE, (UE) 2022/2555 et (UE) 2022/2557 en ce qui concerne la simplification du cadre législatif numérique, et abrogeant les règlements (UE) 2018/1807, (UE) 2019/1150 et (UE) 2022/868 ainsi que la directive (UE) 2019/1024.
(2) RGPD : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
(3) RPDUE : Règlement (UE) 2018/1724 du Parlement européen et du Conseil du 2 octobre 2018 établissant un portail numérique unique pour donner accès à des informations, à des procédures et à des services d’assistance et de résolution de problèmes, et modifiant le règlement (UE) n° 1024/2012.
(4) « Vie privée et communications électroniques » : Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques. 
(5) « Omnibus numérique sur l’IA » : Règlement (UE) 2026/1744 du Parlement européen et du Conseil du 8 juillet 2026 modifiant les règlements (UE) 2024/1689, (UE) 2018/1139 et (UE) 2023/1230 en ce qui concerne la simplification de la mise en œuvre des règles harmonisées concernant l’intelligence artificielle.
(6) RIA : Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l’intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828.
(7) NIS 2 : Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148.
(8) Cyber Resilience Act ou CRA : Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n° 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828.
(9) DORA : Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) no 648/2012, (UE) no 600/2014, (UE) no 909/2014 et (UE) 2016/1011.
(10) Avis commun du CEPD du 10 février 2026 : EDPB-EDPS Joint opinion 2/2026 on the Proposal for a Regulation as regards the simplification of the digital legislative framework (Digital Omnibus) (en anglais).