Directive NIS 2
Directive (UE) 2022/2555 visant à assurer la sécurité des réseaux et des systèmes d'information

La directive NIS 2 (ou SRI 2) a été publiée le 27 décembre 2022 et devait être transposée dans le droit national des États membres de l'UE avant le 17 octobre 2024. En Allemagne, la loi de transposition de la directive NIS 2 est entrée en vigueur le 6 décembre 2025. D'autres pays membres de l'UE ont eux aussi déjà transposé la directive NIS 2 dans leur droit national. Cette directive vise à renforcer de manière durable la résilience des entreprises et des chaînes d'approvisionnement face aux cybermenaces.

Les entités (entreprises) importantes et essentielles pour la société doivent prendre des mesures techniques et organisationnelles pour élever leur niveau de cyberrésilience afin de garantir la continuité des affaires. Ces mesures incluent notamment :

• la gestion des risques
• la définition des responsabilités
• l'obligation de signaler les incidents de sécurité à l'autorité
• l'obligation d'informer les clients en cas d'incidents de sécurité majeurs 
• les obligations d'enregistrement et de justification

Radio Equipment Directive (directive relative aux équipements radioélectriques) (RED)
La directive (UE) 2014/53 a été complétée par un acte délégué et est contraignante depuis le 1er août 2025.

La directive de l'UE relative aux équipements radioélectriques (RED) définit les exigences applicables aux appareils électroniques avec interfaces radio au sein de l'UE. La directive RED a été complétée avec effet au 1er août 2025 par un acte délégué juridiquement contraignant, comprenant des exigences en matière de cybersécurité. Le respect de la directive RED est confirmé de manière formelle dans la déclaration de conformité. Les produits qui ne satisfont pas aux exigences de sécurité de la directive RED élargie ne peuvent plus être mis sur le marché dans l'UE et dans l'EEE depuis le 1er août 2025.

• La directive RED s'applique à tous les appareils électriques et électroniques utilisant les ondes radioélectriques. Ces appareils doivent notamment répondre aux exigences en matière de sécurité électrique, de compatibilité électromagnétique (CEM) et d'utilisation efficace du spectre radio.
• La directive RED élargie inclut par exemple les exigences additionnelles suivantes :
  • Prévention des atteintes au réseau
  • Prévention des fraudes numériques
  • Protection des données à caractère personnel

Règlement machines (RM)
Le règlement (UE) 2023/1230 entrera en vigueur le 20 janvier 2027 et remplacera la directive sur les machines.

Le règlement de l'UE a été publié en juillet 2023 et, après une période de transition de 42 mois, sera contraignant pour tous les États membres de l'UE à compter de la mi-janvier 2027. Le respect de ce règlement est confirmé de manière formelle dans la déclaration de conformité. Les machines qui ne répondent pas aux exigences de sécurité du règlement sur les machines ne pourront plus être mises sur le marché dans l'UE et dans l'EEE à compter du 20 janvier 2027.

• Le règlement sur les machines (RM), tout comme la directive sur les machines (DM), impose aux fabricants de machines des exigences fondamentales en matière de sécurité fonctionnelle et de protection de la santé. Il porte sur la conception et la sécurité électrique des machines, pose des exigences en matière de nuisances sonores et d'ergonomie, exige certains documents techniques attestant de la conformité et indique les informations utilisateur requises à fournir, par exemple, dans la notice d'exploitation.
• Contrairement à la directive sur les machines, le règlement sur les machines fait de la cybersécurité une obligation du fabricant. Cela signifie notamment que :
  • Les liaisons à d'autres appareils ne doivent pas constituer une source de danger.
  • Les fonctions de sécurité (sécurité fonctionnelle) ne doivent pas être compromises.
  • Les accès doivent être enregistrés (données de connexion).
  • Il faut empêcher tout accès non autorisé à une machine.
  • Il faut également tenir compte des éléments logiciels qui influencent la sécurité fonctionnelle.

Cyber Resilience Act (règlement sur la cyberrésilience) (CRA)
Le règlement (UE) 2024/2847 sera contraignant à compter du 11 décembre 2027.

Le règlement CRA est le premier règlement européen à fixer un niveau de cybersécurité minimal pour tous les produits connectés mis sur le marché dans l'UE. Le respect du règlement CRA est confirmé de manière formelle dans la déclaration de conformité. Les produits qui ne satisfont pas aux exigences du règlement CRA ne pourront plus être mis sur le marché dans l'UE et dans l'EEE à compter du 11 décembre 2027.

• Le règlement CRA concerne tous les produits comprenant des éléments numériques pouvant être reliés de manière directe, logique ou physique au réseau ou à d'autre produits via des liaisons de communication, ainsi que les logiciels.
• Il définit les exigences minimales techniques en matière de cybersécurité.
• Ce règlement exige en outre le respect d'obligations procédurales telles que :
  • Réalisation d'une analyse des menaces et des risques (TRA ou threat and risk analysis)
  • Respect de principes de cybersécurité lors du développement des produits
  • Fourniture de conseils de cybersécurité dans la documentation
  • Analyses régulières de la cybersécurité
  • Signalement de vulnérabilités et mise à disposition de mises à jour

Le règlement de l'UE sur les données (2023/2854) (Data Act) est contraignant depuis le 12 septembre 2025.

Le règlement européen concernant des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données (en abrégé "Data Act") vise à renforcer les droits des utilisatrices et utilisateurs de produits et services connectés. En outre, le cadre juridique harmonisé a pour objectif de favoriser l'échange de données entre les entreprises au sein de l'UE et d'offrir de nouvelles perspectives pour les modèles d'entreprise basés sur les données.