Ce tableau des échéances réglementaires recense, texte par texte, ce qui s'applique déjà aux entreprises en France et ce qui arrive d'ici 2028 : facturation électronique, NIS2, DORA, règlement européen sur l'IA, Cyber Resilience Act et Data Act. Il est tenu à jour au fil des évolutions, la dernière le 12 novembre 2026.
Pour transformer ces dates en plan d'action, voir le guide de conformité NIS2, DORA et règlement IA, qui propose une feuille de route par période.
Calendrier des échéances réglementaires 2025-2028
2025
- 17 janvier 2025 : DORA s'applique aux entités financières.
- 2 février 2025 : règlement IA, interdiction de certaines pratiques et obligation de maîtrise de l'IA.
- 2 août 2025 : règlement IA, obligations des modèles d'IA à usage général.
- 12 septembre 2025 : le Data Act devient applicable.
- 14 octobre 2025 : fin du support de Windows 10 par Microsoft.
- 24 novembre 2025 : l'ANSSI ouvre le pré-enregistrement NIS2 sur MonEspaceNIS2.
2026
- 8 juillet 2026 : la Commission européenne saisit la Cour de justice de l'UE contre la France pour défaut de transposition de NIS2.
- 27 juillet 2026 : entrée en vigueur du règlement (UE) 2026/1744, qui reporte les obligations IA à haut risque.
- 2 août 2026 : règlement IA, obligations de transparence (article 50).
- 1er septembre 2026 : facturation électronique, réception obligatoire pour toutes les entreprises, émission pour les grandes entreprises et les ETI.
- 11 septembre 2026 : Cyber Resilience Act, signalement des vulnérabilités activement exploitées et des incidents graves.
- 9 novembre 2026 : le projet de loi Résilience, qui transpose NIS2, est discuté en séance à l'Assemblée nationale.
2027
- 1er septembre 2027 : facturation électronique, émission obligatoire pour les PME et micro-entreprises.
- 2 décembre 2027 : règlement IA, obligations des systèmes à haut risque de l'annexe III.
- 11 décembre 2027 : Cyber Resilience Act, application de l'ensemble des exigences, marquage CE compris.
2028
- 2 août 2028 : règlement IA, obligations des systèmes à haut risque intégrés aux produits de l'annexe I.
Fiche par texte : qui est concerné, qui contrôle, quel outil
Chaque fiche se déplie. Elle indique le périmètre, la situation actuelle, la prochaine échéance, l'autorité compétente en France et l'outil officiel qui permet de vérifier sa propre situation.
Facturation électronique
- Concerne : toutes les entreprises assujetties à la TVA établies en France.
- Déjà applicable : réception par une plateforme agréée pour toutes ; émission pour les grandes entreprises et les ETI.
- Prochaine échéance : 1er septembre 2027, émission pour les PME et micro-entreprises.
- Autorité : DGFiP.
- Outil officiel : la liste des plateformes agréées, publiée sur impots.gouv.fr.
- Pour aller plus loin : six leviers pour l'expert-comptable.
NIS2 (cybersécurité)
- Concerne : les entités essentielles et importantes de 18 secteurs, selon des seuils de taille, et certaines entités quelle que soit leur taille.
- Déjà applicable : rien en France tant que la loi de transposition n'est pas promulguée.
- Prochaine échéance : adoption de la loi Résilience, puis décrets d'application. Cette ligne sera mise à jour à la promulgation.
- Autorité : ANSSI.
- Outil officiel : le test d'éligibilité et le pré-enregistrement sur MonEspaceNIS2. Le résultat reste indicatif jusqu'à l'adoption des textes.
DORA (résilience opérationnelle du secteur financier)
- Concerne : les entités financières et leurs prestataires de services TIC.
- Déjà applicable : l'ensemble du règlement, depuis le 17 janvier 2025, dont le registre d'informations sur les prestataires TIC.
- Prochaine échéance : remise annuelle du registre d'informations au superviseur.
- Autorité : ACPR ou AMF, selon le statut de l'entité.
- Outil officiel : le dossier DORA de l'AMF et les FAQ publiées par l'ACPR.
- Pour aller plus loin : conformité opérationnelle DORA.
Règlement européen sur l'IA
- Concerne : les entreprises qui développent, déploient ou distribuent des systèmes d'IA dans l'Union.
- Déjà applicable : pratiques interdites et maîtrise de l'IA, modèles à usage général, obligations de transparence.
- Prochaine échéance : 2 décembre 2027 pour les systèmes à haut risque de l'annexe III.
- Autorité : pas encore désignée par la loi au 12 novembre 2026. Le schéma présenté par le Gouvernement fait de la DGCCRF le point de contact unique et donne un rôle central à la CNIL.
- Outil officiel : le vérificateur de conformité (Compliance Checker) de la Commission européenne, sur l'AI Act Service Desk.
- Pour aller plus loin : IA et audit légal.
Cyber Resilience Act (produits numériques)
- Concerne : les fabricants, importateurs et distributeurs de produits comportant des éléments numériques vendus dans l'Union.
- Déjà applicable : signalement des vulnérabilités activement exploitées et des incidents graves, depuis le 11 septembre 2026.
- Prochaine échéance : 11 décembre 2027, ensemble des exigences.
- Autorité de surveillance en France : non vérifiée à ce jour.
- Texte officiel : règlement (UE) 2024/2847.
Data Act (données)
- Concerne : notamment les fabricants de produits connectés, les fournisseurs de services associés et les fournisseurs de services cloud.
- Déjà applicable : depuis le 12 septembre 2025.
- Autorité en France : non vérifiée à ce jour.
- Texte officiel : règlement (UE) 2023/2854.
Windows 10 (hors réglementation)
- Fin du support Microsoft le 14 octobre 2025.
- Effet : un poste non maintenu fragilise le respect des obligations de sécurité de NIS2 et du RGPD.
- Source : politique de cycle de vie Microsoft.
Une date ne dit pas qui, dans l'entreprise, devra changer sa façon de travailler. C'est souvent là que se joue le respect de l'échéance.
Ces textes touchent souvent les mêmes systèmes et les mêmes équipes. La méthode RESONANCE™ part de ce constat : évaluer d'abord ce que l'organisation peut absorber, puis séquencer les chantiers pour que les équipes ne subissent pas toutes les échéances à la fois.
Évaluer votre exposition réglementaire
Journal des mises à jour
- 12 novembre 2026 : refonte du tableau en calendrier et fiches par texte ; report des obligations IA à haut risque (règlement (UE) 2026/1744) ; entrée en vigueur de la facturation électronique ; signalement CRA ; situation de la transposition NIS2.
- 16 novembre 2025 : première publication.
Sources
Sources consultées pour cet article, liste mise à jour en novembre 2026. Vérifiez les dates sur les textes officiels avant de vous y fier.
Textes européens (EUR-Lex)
France
- Ministère de l'Économie, Tout savoir sur la facturation électronique pour les entreprises
- ANSSI, MonEspaceNIS2
- AMF, dossier thématique DORA
- ACPR, FAQ du webinaire DORA du 23 janvier 2026 (PDF)
- Le Monde Informatique, NIS 2 : la loi Résilience arrive enfin à l'Assemblée, 10 novembre 2026
- AOCSI, Loi Résilience : où en est la transposition de NIS2 (dont la saisine de la CJUE du 8 juillet 2026)
- Chartia, Qui contrôle l'AI Act en France ? (état du projet de loi de désignation des autorités)
Union européenne
Les sources secondaires divergent sur la désignation des autorités de contrôle du règlement IA en France ; la fiche retient la position la plus prudente.
