Pourquoi l'article 38 est-il important ? Pourquoi les actes délégués sont le nouveau moteur de la cyber-résilience de l'UE.
Aujourd'hui, les responsables de la conformité ne se contentent plus d'hériter des règles : ils doivent désormais se préparer à celles qui ne sont pas encore entrées en vigueur. L'article 38 du règlement d'exécution (UE) 2024/2690 fait entrer l'Union européenne dans une nouvelle ère de gouvernance agile de la cybersécurité, en habilitant la Commission européenne, par le biais d'actes délégués, à faire évoluer les normes sans les contraintes des cycles législatifs complets. Il s'agit moins de modifications techniques que d'un contrat vivant et évolutif, en phase avec l'évolution réelle des menaces : une architecture conçue pour garantir la pertinence permanente des contrôles, et non leur simple mise en place formelle.
La conformité n’est plus une danse lente avec des règles statiques : c’est un réflexe qui s’adapte aussi vite que la menace.
Alors que la planification des audits s'articulait autrefois autour d'échéances fixes et connues, les actes délégués de l'article 38 imposent à votre cadre de contrôle du SMSI de s'appuyer sur l'anticipation et une révision continue. Le Parlement européen et le Conseil disposent du droit de veto essentiel, ainsi que du pouvoir de révoquer la délégation, ce qui vous offre des garde-fous institutionnels contre les excès réglementaires sans pour autant freiner la lutte contre les acteurs hostiles ou les incidents mondiaux.
Résultat ? Les responsables de la sécurité et de la conformité doivent désormais intégrer la veille stratégique de manière systématique, et non plus se contenter de plateformes évolutives, de journaux d’audit et d’une communication quasi instantanée avec les parties prenantes. Les actions déléguées constituent le nouveau moteur de votre conformité ; vos processus doivent donc évoluer et devenir des pratiques évolutives.
Comment le règlement est-il rédigé ? Au cœur de la consultation et de la surveillance : chaque acte délégué est contrôlé.
Si l'article 38 donne aux institutions leur moteur, la consultation en est le volant. Le processus d'adoption des actes délégués sollicite activement la contribution, non seulement des régulateurs nationaux et des autorités sectorielles, mais aussi des acteurs du secteur privé, en particulier ceux qui gèrent des chaînes d'approvisionnement complexes ou transfrontalières (y compris les PME).
Si vous n'êtes pas visible lors de la consultation, vous risquez d'être surpris par des exigences conçues pour les opérations de quelqu'un d'autre.
Pour les équipes de conformité, attendre la publication au Journal officiel revient à attendre l'alarme incendie avant de souscrire une assurance : c'est trop tard, on réagit trop vite. Les entreprises avisées désignent des responsables de la conformité chargés de suivre les appels à contributions de l'ENISA, de s'impliquer dans les consortiums sectoriels locaux et de nouer des relations précoces avec les autorités compétentes. C'est la voie la plus efficace pour une alerte précoce et une influence directe, essentielle si le fournisseur de confiance de votre entreprise, votre processus d'authentification ou votre registre des risques sectoriel sont susceptibles d'être mentionnés dans une future réglementation.
Avec les actes délégués, la publication n'est qu'un début : votre équipe de conformité doit décoder non seulement la loi principale, mais aussi les références annexes cachées et les superpositions sectorielles imposées au niveau national. Ici, la visibilité n'est pas synonyme de préparation, mais de vigilance.
Maîtrisez NIS 2 sans le chaos des feuilles de calcul
Centralisez les risques, les incidents, les fournisseurs et les preuves dans une seule plateforme propre.
Quel est le calendrier de Bruxelles à la réunion du conseil d'administration ? Cartographier le cycle de conformité pour une préparation pratique
Prévoir les étapes, de l'ébauche à l'application de la loi, constitue désormais un avantage concurrentiel. La conformité à l'article 38 ne dépend pas du premier lecteur du Journal officiel ; elle est assurée par ceux qui ont opérationnalisé chaque phase comme un processus, et non comme une simple note de politique générale.
La plupart des entreprises se démènent lorsque le calendrier est serré ; les dirigeants planifient la préparation bien avant le début du temps imparti.
Le parcours en six étapes d'un acte délégué :
| Stage | Votre action de surveillance | Sortie/Déclencheur | Outils / Preuves |
|---|---|---|---|
| Loi sur la Commission du dessin | Activer les alertes par e-mail de l'ENISA/Commission | Signal de conformité précoce (traçable) | Flux réglementaire, journal des alertes internes |
| Consultation d'experts des États membres | Assister/surveiller les groupes sectoriels | Fenêtre de consultation des notes, position de préparation | Procès-verbal, ordre du jour de la réunion |
| Publication au Journal officiel | Horodatage, mise à jour des parties prenantes | Le compte à rebours de la conformité commence | Notification, ISMS.en ligne le journal des modifications |
| Délai d'objection (2 à 4 mois) | Suivre la fenêtre de veto, ordonner le gel si nécessaire | Suspension conditionnelle placée sur la mise à jour | Calendrier, modifier l'horaire |
| Entrée en vigueur | Lancer le flux de travail, attribuer des tâches de changement | Mise à jour des politiques/contrôles, formation du personnel, audit | Plan de projet, gestion des versions des politiques |
| Révocation ou expiration | Suivi via la communication CE/ENISA/Parlement | Inversion de politique/d'archive, restauration de contrôle | Étagère de politique, journal de restauration de version |
Prenons l'exemple d'un fournisseur de services cloud qui, suite à une délégation de pouvoirs nécessitant un chiffrement renforcé, a utilisé le flux de notification d'ISMS.online pour suspendre instantanément les modifications sensibles des projets, synchroniser le registre des risques et répartir les tâches de collecte de preuves entre les équipes dispersées. L'entreprise est ainsi passée d'une gestion réactive chaotique à une exécution fluide et auditable.
Quel est le risque d'un retard ? Les enjeux concrets d'un non-respect du délai de conformité
Les actes délégués ne sont pas hypothétiques. Tout manquement à une échéance peut entraîner un échec d'audit, l'obligation de signaler un incident , une rupture de la chaîne d'approvisionnement et des amendes publiques. Face à l'accélération du rythme réglementaire – illustrée par des cadres tels que DORA pour les services financiers – même un court retard dans l'adaptation des contrôles ou la production de preuves peut compromettre des contrats commerciaux lucratifs (KPMG).
Lorsque la conformité est une course, finir en retard n’est pas différent de ne pas finir du tout.
Tableau des risques : déclencheurs d'actes délégués et éléments à consigner
| Événement déclencheur | Mise à jour des risques | Lien Contrôle/SoA | Preuves enregistrées |
|---|---|---|---|
| Acte délégué publié | Risque de non-conformité | Mettre à jour la politique/le contrôle du SMSI | Date de la version, remerciements du propriétaire |
| Objection soulevée dans la fenêtre | Mise à jour en attente | Mettre en pause la mise en œuvre | Enregistrer une note, un journal de notifications |
| Acte délégué révoqué/expiré | Une action de retour est nécessaire | Restaurer les SoA/contrôles antérieurs | Journal de restauration, preuve d'audit |
À titre d'exemple, une entreprise de transport a écopé de sanctions suite à l'omission d'une mise à jour de la sécurité de sa chaîne d'approvisionnement, en raison d'un retard dans l'examen juridique. Après la violation de données, elle a mis en place un système automatisé de cartographie de chaque action, associé aux journaux de modifications et aux responsables des tâches, ce qui a permis de réduire les reprises et de rétablir la confiance des autorités de réglementation.
Soyez prêt pour NIS 2 dès le premier jour
Lancez-vous avec un espace de travail et des modèles éprouvés : personnalisez, attribuez et c'est parti.
Qui tient le frein ? Comprendre la surveillance qui vous protège des contrecoups réglementaires
L'article 38 n'accélère pas seulement le changement ; il encode des freins d'urgence. Le Parlement européen et le Conseil peuvent bloquer ou révoquer instantanément les pouvoirs délégués, suspendant ainsi leur application avec effet immédiat. Pour les architectes de la conformité, cela signifie que la gestion du changement exige non seulement une action, mais aussi un retrait, et une réserve vérifiable pour les contrôles « en pause » ou caducs.
Les dirigeants ne se contentent pas de suivre les changements ; ils repèrent les inversions et font preuve d’une surveillance continue.
Adoptez un système de gestion des modifications : une archive indexée des contrôles inactifs ou annulés, horodatée et accompagnée de journaux de preuves. Un litige vous bloque ? Restaurez votre déclaration d'activité et vos contrôles antérieurs en quelques secondes. Une mesure abrogée ? Justifiez instantanément la modification de votre politique ou la mise en place d'une procédure de sécurité pour vos clients et auditeurs. Ainsi, les changements de conformité, sources de panique, deviennent un gage de sécurité et préservent la dynamique de votre entreprise, même face à l'évolution du contexte juridique.
ISMS.online et les plateformes similaires automatisent désormais cette opération, en synchronisant les contrôles, la documentation et la formation en amont et en aval.
Peut-il y avoir une « Europe unique » ? Pourquoi la double cartographie est-elle une réalité pour le contrôle multinational ?
Le modèle d'acte délégué vise l'uniformité ; en pratique, il crée un spectre allant de l'harmonisation au patchwork. Traductions nationales, superpositions législatives, calendriers sectoriels : tout cela complique le rêve d'une « plateforme unique, une mise à jour unique », en particulier pour les multinationales opérant dans des environnements réglementaires divergents.
Tableau : Conformité harmonisée ou disparate dans la pratique
| Élément de conformité | Harmonisé (Idéal) | Patchwork (Réalité) |
|---|---|---|
| Mise à jour de la politique | Déploiement unique dans toute l'UE | Adaptations spécifiques à chaque pays |
| Gestion des fournisseurs | Exigences uniformes | Personnalisation locale requise |
| La piste de vérification | Un registre de preuves | Journaux multiples et interconnectés |
| Gestion des incidents | Plan unifié | Répartition par secteur et juridiction |
Préparez-vous à une « double cartographie » : conservez à la fois la version principale de la CE et les superpositions locales. Cela implique des politiques parallèles, des SDA cartographiés et un suivi des données probantes à travers une matrice de juridictions. Une participation précoce aux consultations, tant à Bruxelles qu'au niveau local, peut anticiper une grande partie de cette complexité, rendant l'unification possible même dans un paysage fragmenté.
Tous vos NIS 2, tout en un seul endroit
Des articles 20 à 23 aux plans d’audit, exécutez et prouvez la conformité, de bout en bout.
Comment l'article 38 transforme-t-il le droit en un contrôle vivant ? Les mécanismes d'intégration du changement
Dans le domaine de la conformité moderne, le terme « loi » ne signifie rien s'il n'est pas étroitement lié aux flux de travail de la plateforme, aux responsables désignés et aux journaux de preuves en temps réel.
Un acte délégué qui n'atteint pas votre SMSI en 7 jours constitue déjà un risque lors de votre prochain audit.
Chaîne de changement automatisée :
- Lancez le flux de travail avec le déclencheur d'acte EC, attribuez un propriétaire clair, modifiez l'horodatage.
- Mettre à jour la déclaration d'applicabilité (SoA), en fournissant la justification de la clause et la référence croisée à la loi.
- Joignez des preuves : e-mails, journaux de formation, accords avec les fournisseurs, mises à jour de politiques, tous référencés et versionnés pour l'audit.
- Utilisez les tableaux de bord de la plateforme pour que chaque partie prenante (informatique, juridique, achats) agisse de manière synchronisée et que rien ne soit oublié en raison d'une communication cloisonnée.
ISMS.online permet un alignement en direct : un acte délégué arrive le vendredi, les notifications et les mises à jour des projets sont déclenchées le lundi, et les journaux de preuves lient l'action à la date limite, ce qui produit une piste d'audit à la fois en temps quasi réel et de niveau régulateur (ISMS.online Audit DB).
Et maintenant ? Étapes suivantes pour bâtir un système de réponse aux actes délégués résilient
La course à la conformité n'est pas gagnée par ceux qui lisent la loi le plus rapidement, mais par ceux qui comblent l'écart entre le changement et les preuves prêtes pour l'audit grâce à la clarté et à l'automatisation.
Actions à emporter :
- Affectez la surveillance des actes délégués à un rôle planifié, quotidien ou hebdomadaire, et non annuel.
- Mappez chaque modification à une politique, un processus, un contrôle et une clause SoA spécifiques et versionnés : enregistrez qui agit et quand.
- Intégrez les obligations de notification dans les contrats des fournisseurs/vendeurs ; assurez-vous également que la conformité de vos partenaires est vérifiable.
- Choisissez un SMSI qui automatise les alertes, le contrôle des versions, la collecte de preuves et la synchronisation entre les équipes, afin qu'aucun acte, aucune pause ou aucun retour en arrière ne soit manqué.
Aujourd'hui, le leader de la conformité se mesure non seulement à la rapidité des mises à jour, mais aussi à la clarté et à la fiabilité des traces qu'il laisse. À l'ère du droit, votre piste d'audit doit dépasser le calendrier juridique et votre plateforme doit transformer les actes délégués, non plus comme un risque, mais comme une preuve de compétitivité.
L’avenir de la cyberconformité européenne ne se résume pas à des contrôles définis et oubliés : il repose sur des équipes résilientes, des changements vérifiables et une preuve d’adaptabilité à chaque étape.
Questions fréquemment posées
Qui exerce, supervise et peut révoquer en dernier ressort les pouvoirs délégués en vertu de l’article 38 du NIS 2 ?
L’article 38 de la deuxième directive NIS confère à la Commission européenne le pouvoir d’adopter des actes délégués, mais place ce pouvoir sous le contrôle direct et permanent du Parlement européen et du Conseil. Le rôle de la Commission est d’édicter des actes délégués permettant d’ajuster rapidement les modalités techniques de la directive, telles que les exigences de sécurité ou les clarifications sectorielles. Cependant, la Commission ne peut agir unilatéralement. Chaque projet doit faire l’objet d’une consultation formelle avec des experts techniques de tous les États membres de l’UE, généralement coordonnée par l’ENISA ou des groupes d’experts sectoriels, afin de garantir la prise en compte des priorités nationales et des réalités techniques.
Dès l'adoption d'un acte délégué, le Parlement et le Conseil en sont immédiatement informés. Chaque institution, et non une seule, peut s'y opposer, empêchant ainsi l'acte de produire ses effets juridiques. De plus, toutes deux peuvent révoquer à tout moment le pouvoir de la Commission d'émettre des actes délégués, avec effet dès le lendemain de l'annonce de leur décision. Ce « double veto » garantit que l'agilité technique ne compromet jamais le contrôle démocratique.
Tableau de supervision des pouvoirs délégués
| phase | Rôle de la Commission | Surveillance par le Parlement/Conseil | Contribution d'experts via ENISA/Sectoriel |
|---|---|---|---|
| Projet d'acte délégué | Projet/adoption | Notification immédiate | Retour technique obligatoire |
| Post-adoption | Délai d'objection de 2 (+2) mois | ||
| Révocation de l'autorité déléguée | À tout moment, prend effet instantanément |
Références:
Quels délais stricts et notifications s’appliquent à l’exercice ou à la révocation des pouvoirs délégués en vertu de l’article 38 ?
Les pouvoirs délégués au titre de l'article 38 sont accordés pour une durée fixe de cinq ans, renouvelable automatiquement sauf intervention du Parlement ou du Conseil. Lorsqu'elle adopte un acte délégué, la Commission européenne doit en informer immédiatement le Parlement et le Conseil, ce qui ouvre un délai de deux mois pour formuler des objections (prolongeable de deux mois supplémentaires sur demande formelle). Un acte délégué n'entre en vigueur que si les deux institutions laissent expirer ce délai sans objection. La révocation des pouvoirs de la Commission – si le Parlement ou le Conseil estime qu'ils ont été utilisés à mauvais escient – prend effet le lendemain de la notification publique, sauf indication contraire.
Neuf mois avant la clôture du cycle quinquennal, la Commission doit rendre compte de l'exercice de ses pouvoirs délégués, laissant ainsi au Parlement et au Conseil suffisamment de temps pour les examiner, s'y opposer ou autoriser leur renouvellement automatique. Les actes déjà en vigueur au moment de la révocation restent généralement en vigueur, sauf annulation expresse.
Aperçu rapide de la chronologie de l'article 38
| L'évenement important | Chronologie/Fenêtre | Acteur responsable |
|---|---|---|
| Pouvoirs conférés | Cinq ans (à partir de janvier 2023) | Commission, Parlement, Conseil |
| Notification de la nouvelle loi adoptée | Immédiat | Commission aux deux institutions |
| Fenêtre d'objection standard | 2 (+2) mois | Parlement ou Conseil |
| Rapport avant renouvellement | 9 mois avant expiration | Commission |
| Action en révocation | À tout moment ; le lendemain | Parlement ou Conseil |
Références:
Comment le régime de délégation de pouvoir de l’article 38 modifie-t-il la gestion quotidienne de la conformité pour les organisations réglementées ?
L’article 38 fait passer la conformité d’exercices ponctuels de vérification à une vigilance réglementaire en temps réel. Toute obligation technique déléguée peut désormais être modifiée – avec un préavis de seulement deux à quatre mois – si la Commission publie un nouvel acte. Pour les organisations, cela engendre à la fois agilité et risques. Les responsables de la conformité (ou les propriétaires de la plateforme SMSI) doivent :
- Suivi des nouveaux actes délégués (Journal officiel, communiqués de l'ENISA, communiqués de presse de la CE)
- Mettre à jour les registres de risques et de contrôle immédiatement lorsqu'un acte délégué entre en vigueur ou lorsqu'une objection bloque ou annule une modification
- Informer les équipes concernées et les partenaires de la chaîne d'approvisionnement des changements ou des annulations, en particulier lorsqu'un acte est révoqué ou contesté après le début de la mise en œuvre locale
- Preuve d'audit Les pistes sont fréquentes, car les contrôles manquants ou obsolètes liés à un acte délégué nouvellement appliqué (ou révoqué) exposent l'organisation à des lacunes d'audit, à des risques contractuels, voire à des mesures réglementaires.
La conformité moderne ne se mesure pas par la reconnaissance de la loi, mais par la rapidité et la confiance avec lesquelles votre équipe passe du changement de politique aux preuves prêtes à être auditées.
Les entreprises qui utilisent des plateformes de conformité automatisées dotées de fonctionnalités de traçabilité (telles que ISMS.online) peuvent centraliser la cartographie des actes délégués, minimiser la supervision manuelle et démontrer aux auditeurs qu'elles comblent rapidement les lacunes réglementaires.
Références:
- AuditBoard : Traçabilité de la conformité NIS2
- ISMS.online : Cartographie des actes délégués
Quelles consultations et procédures doivent avoir lieu avant qu’un acte délégué soit adopté par la Commission ?
Avant la finalisation d'un acte délégué, une consultation technique d'experts est obligatoire. La Commission consulte des experts désignés par chaque État membre, généralement par l'intermédiaire de groupes de spécialistes organisés par l'ENISA ou d'organismes sectoriels. Ces consultations permettent d'affiner la précision technique et de garantir la prise en compte des priorités des États membres. Une participation plus large des acteurs de l'industrie, de la société civile ou des organisations de surveillance n'est pas juridiquement requise, mais elle est de plus en plus recherchée ; les organisations souhaitant contribuer peuvent souvent contacter les décideurs via l'ENISA ou les groupes de travail nationaux. Après examen technique, le projet est publié et le Parlement et le Conseil sont informés de l'ouverture de leur période de deux mois (+2 mois) pour formuler des objections.
Tableau d'adoption des actes délégués
| phase | Responsable de la coordination | Consultation obligatoire |
|---|---|---|
| préparation | Commission | ENISA + représentants techniques des États membres |
| Avis d'experts | candidats des États membres | Procès-verbaux conservés ; résultats souvent publics |
| Contribution de non-experts | Optionnel (industrie/ONG) | Non obligatoire, mais recommandé |
| Notification | Commission | Parlement, Conseil, Journal officiel |
Références:
- Coalition du Centre pour les politiques de cybersécurité
Quels protocoles les organisations devraient-elles activer si le Parlement ou le Conseil bloque ou révoque un acte délégué ou les pouvoirs de la Commission ?
En cas d'objection, les organismes doivent suspendre et, si nécessaire, annuler les activités de mise en conformité liées à l'acte contesté. Cela implique de geler la mise en œuvre, de mettre à jour les dossiers d'audit et les registres fournisseurs, et de documenter les raisons des modifications apportées à tous les éléments de preuve et registres de contrôle (« objection déposée » ou « délégation révoquée »). Si le Parlement ou le Conseil révoque intégralement les pouvoirs de la Commission, aucun nouvel acte délégué ne peut être promulgué, mais les actes en vigueur restent généralement applicables, sauf abrogation formelle. Les équipes de conformité expérimentées « gelent » les contrôles à leur dernier état valide, maintiennent une communication étroite avec les partenaires internes et externes et constituent une chaîne de preuves visible en vue d'un audit ou d'un contrôle juridique ultérieur.
Les responsables de la conformité qui réussissent traitent chaque objection réglementaire non pas comme un chaos, mais comme une routine – un test de leur préparation, et non de leur réflexe de précipitation.
Tableau des réponses de conformité
| Événement déclencheur | Action organisationnelle | Documentation requise |
|---|---|---|
| Objection du Parlement/Conseil | Mettre en pause/inverser les commandes ; informer le personnel/les fournisseurs | Consigner dans les journaux de preuves/d'audit |
| Révocation globale du pouvoir | Arrêtez de vous préparer à de nouveaux actes | Mise à jour du registre/journal ; alerte des équipes |
| L'acte existant demeure | Vérifier les modifications ; maintenir l'alignement | Conserver les journaux de contrôle, noter le statut |
Références:
- Maçons de Pinsent – Mise en œuvre de la loi NIS2
En quoi les pouvoirs délégués en vertu de l’article 38 diffèrent-ils de ceux du DORA ou du RGPD, et que doivent faire les organisations réglementées de manière croisée ?
L’article 38 de la NIS 2 adopte une approche exceptionnellement large et rapide, permettant au Parlement et au Conseil de bloquer ou d’abroger une mesure, et prévoyant un mandat de consultation technique clair. La DORA ( secteur financier ) et le RGPD (protection des données personnelles) appliquent des procédures plus restrictives : la DORA limite les objections au Parlement, impose des consultations publiques et clôture plus rapidement le délai d’opposition ; la mise en œuvre du RGPD varie selon les États membres et est parfois moins transparente ou plus lente.
Les organisations soumises à une réglementation croisée doivent :
- Suivre plusieurs fenêtres d’objection (NIS2 = 2+2 mois, DORA = 1–2 mois, GDPR = très variable)
- Maintenir des cartes/journaux de conformité clairs et distincts pour chaque acte délégué du régime, en suivant les chevauchements et en répondant aux révocations dans chaque système de manière indépendante
- Restez attentifs aux contradictions dues à la « surréglementation » nationale, où les réglementations locales dépassent ou diffèrent de la base de référence de l’UE.
- S'assurer que les équipes de conformité/juridiques sont équipées pour une analyse prospective continue et inter-cadres, sans s'appuyer sur un « calendrier de conformité » unique pour tout
Les réglementations de l’UE promettent une harmonisation, mais la conformité dans le monde réel est un patchwork mouvant ; les organisations survivent non pas en prévoyant chaque acte, mais en suivant chaque changement qui compte pour elles.
Pouvoirs délégués : comparaison des régimes de l'UE
| Régime | Qui peut bloquer | Type de consultations | Objection/Chronologie | Impact sur les entreprises |
|---|---|---|---|---|
| NIS 2 | Parlement/Conseil | Experts ENISA + MS | 2 (+2) mois | Obligations pansectorielles et larges |
| DORA | Parliament | Public, fenêtre plus courte | 1 + mois | Secteur financier uniquement, technique |
| GDPR | Parlement (principal) | Variable, principalement local | Variable | Fragmenté par État membre |
Références:
- Guide officiel ENISA NIS2 (PDF)
- Briefing du Parlement britannique : DORA/RGPD
