Risques & Conformité
NIS2 pas encore transposée en France, un régime suisse distinct, un AI Act aux échéances redessinées, des clients qui exigent déjà des preuves. La conformité n'est plus un sujet de juristes : c'est un arbitrage de direction.
Ce que nous constatons
≈ 15 000
entités attendues dans le périmètre NIS2 en France, contre quelques centaines aujourd’hui
Commission européenne ; estimation
24 h
délai de signalement d'une cyberattaque à l'OFCS pour les infrastructures critiques suisses, depuis le 1er avril 2025
OFCS, bacs.admin.ch
35 M€ · 7 %
plafond des amendes AI Act pour les pratiques interdites ; 15 M€ ou 3 % pour la plupart des autres obligations
Règlement (UE) 2024/1689, art. 99
France. NIS2 doit faire passer le nombre d'entités réglementées de quelques centaines à un ordre de 15 000, dans 18 secteurs, dès 50 salariés ou 10 M€. La loi de transposition n'est pas votée ; la Commission a saisi la Cour de justice le 8 juillet 2026. Attendre la loi est un pari, pas un plan.
Suisse. NIS2 ne s'applique pas directement. Depuis le 1er avril 2025, les exploitants d'infrastructures critiques annoncent toute cyberattaque à l'OFCS sous 24 heures, avec une amende pouvant atteindre 100 000 CHF depuis le 1er octobre 2025. Six mois après l'entrée en vigueur, 164 signalements avaient été enregistrés. Hors infrastructures critiques, aucune obligation légale, mais vos clients de l'UE pourront vous l'imposer par contrat.
IA. L'article 50 de l'AI Act est applicable depuis le 2 août 2026. Les obligations « haut risque » de l'Annexe III sont reportées au 2 décembre 2027 par le Règlement (UE) 2026/1744. Les amendes atteignent 35 M€ ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 M€ ou 3 % pour la plupart des autres obligations.
Ce que cela change
Trois calendriers, trois juridictions. La bonne question n'est pas « sommes-nous conformes ? » mais « à quoi sommes-nous tenus, vis-à-vis de qui, pour quand ? ».
Ce que vous obtenez
Une vue claire de ce qui s'applique, de ce qui est exigé par contrat et de ce qui peut attendre.
Des preuves que vous remettez à un client sans les reconstituer.
Un responsable nommé pour chaque obligation.
Six situations
01« Un grand client nous envoie un questionnaire sécurité de quarante pages. »
Décision
Quel niveau de preuve fournir, sur quel référentiel.
Livrable
Dossier de preuves et plan de comblement des écarts, réutilisable pour les clients suivants.
Quelques semaines
02« Nous ne savons pas si nous sommes dans le périmètre. »
Décision
Ce qui s'applique à nous, ce qui nous sera imposé, ce qui peut attendre.
Livrable
Carte d'exposition à trois voies.
Mission courte
03« Nos équipes utilisent l'IA sans règle. »
Décision
Quels outils, avec quelles données, sous quelle responsabilité.
Livrable
Politique d'usage, inventaire des systèmes, classification au regard de l'AI Act.
Mission courte
04« Nous avons subi un incident. »
Décision
Qui informer (autorité, clients, assureur), dans quels délais.
Livrable
Dossier d'incident documenté et plan d'amélioration, avec les experts de réponse à incident du réseau.
À la demande
05« Un investisseur ou un acquéreur va nous auditer. »
Décision
Ce qu'il faut régulariser avant, ce qu'il faut assumer.
Livrable
Dossier de conformité prêt pour la data room.
Quelques semaines
06« Nous vendons dans l'UE depuis la Suisse (ou l'inverse). »
Décision
Représentant, DPO, transferts de données.
Livrable
Matrice des juridictions (LPD / RGPD) et obligations associées.
Mission courte
Nos services
Notre cadre
Chaque texte est classé sur l'une des trois voies, avec son échéance, son responsable interne et l'écart constaté.
Obligatoire
Ce que la loi vous impose aujourd'hui, selon votre rôle : entité essentielle ou importante, déployeur ou fournisseur d'IA, responsable de traitement.
Contractuel
Ce que vos clients, assureurs et investisseurs exigent, même sans loi.
À surveiller
Échéance connue, non applicable à ce jour.
Livrable
Une page de synthèse, annexes détaillées par texte.
Selon votre taille
PME · 10 à 50 M€
Rarement de RSSI ni de DPO à temps plein. Nous visons un socle de contrôles opposables, pas un système de management complet, et mobilisons des fonctions externalisées du réseau.
ETI · à partir de 50 M€
Une direction des risques existe, plusieurs référentiels se superposent. Nous les consolidons en un seul plan et préparons l'audit interne.
Selon votre secteur
Finance & Capital
DORA, applicable depuis le 17 janvier 2025 : tiers TIC critiques, tests de résilience, registre des prestataires. En Suisse, exigences FINMA sur les risques opérationnels et la résilience (circulaire 2023/1).
Santé & Sciences de la vie
HDS en France, MDR/IVDR, EHDS. IA embarquée dans un dispositif médical : haut risque de l'Annexe I, échéance 2 août 2028.
Industrie, Énergie & Infrastructures
NIS2 (énergie, eau, transport, fabrication) ; en Suisse, signalement OFCS sous 24 h ; segmentation IT/OT.
Commerce, Services & Expérience client
RGPD et LPD (fidélité, profilage) ; article 50 (agents conversationnels, contenus générés) ; outils de tri de candidatures : haut risque, Annexe III, 2 décembre 2027.
Tech, Innovation & Secteur public
Vos clients NIS2 et DORA vous demandent des preuves ; Cyber Resilience Act (obligations de notification dès septembre 2026, exigences produit en décembre 2027) ; éditeurs utilisés en infrastructure critique : vérifier si la LSI suisse vous concerne.
Scénario type · illustratif
Éditeur de logiciel suisse de 25 M€ de CA, clients dans l'énergie en Allemagne et en France. Son plus gros client exige des preuves de sécurité de la chaîne d'approvisionnement avant renouvellement. En trois semaines : périmètre clarifié (obligatoire pour lui, contractuel pour ses clients), huit écarts classés, preuves réutilisables pour les trois autres clients.
Ce qu'un outil d'IA ne fera pas à votre place
Un assistant résume NIS2. Il ne portera pas votre dossier devant votre client, ne choisira pas les écarts que vous acceptez, ne répondra pas de la qualité de la preuve. Aegryn engage un expert nommé, responsable de son périmètre.
Notre accompagnement ne remplace pas un avis juridique ; nous travaillons avec des cabinets partenaires.
Mettre en œuvre
Déployer le plan de mise en conformité : politiques, procédures et registres.
Mettre en place les contrôles et le dossier de preuves opposable aux clients.
Former les équipes et les comités de direction aux nouvelles exigences.
Piloter la remédiation jusqu’à la clôture des écarts.
Trente minutes avec un expert du réseau, nommé et responsable de son périmètre. Pas d’engagement à ce stade ; les conditions sont transmises après cadrage.
Évaluer votre expositionNewsletter · Built to Last
Analyses de marché, cycles de vie des organisations, retours d’expérience. Une lettre, pas de prospection.
