Calendrier des échéances numériques 2026-2027

Mis à jour le 31 octobre 2026. Sources vérifiées le 31 octobre 2026. Prochaine mise à jour début décembre 2026. Temps de lecture : 6 minutes.

CalendrierRéférence

Chaque texte a son dossier de référence, tenu à jour : AI Act, Cyber Resilience Act, eIDAS 2 et NIS2 en France.

Sommaire

1. Échéances à venir
2. Déjà en vigueur depuis avril 2026
3. Textes en discussion, sans date fixée
4. Questions fréquentes
5. Ce qui a changé depuis la dernière mise à jour
6. Sources

Échéances à venir

Date	Texte	Ce qui change	Qui est concerné	Statut
3 novembre 2026	Projet de loi Résilience (transposition de NIS2)	La conférence des présidents de l’Assemblée nationale se réunit. Elle peut réinscrire le texte, retiré de l’ordre du jour le 6 octobre. Voir notre fiche NIS2.	Entités essentielles et importantes au sens de NIS2	Incertain
Vers le 18 novembre 2026, échéance indicative	DMA, article 17 : AWS et Azure	La Commission a ouvert deux enquêtes de marché le 18 novembre 2025 et s’efforce de les conclure en douze mois. Le 25 juin 2026, elle a estimé à titre préliminaire qu’AWS et Azure devraient être désignés contrôleurs d’accès. En cas de désignation, six mois pour se conformer.	Clients d’AWS et d’Azure, fournisseurs cloud concurrents	Aucune décision au 31 octobre 2026
2 décembre 2026	AI Act modifié par le règlement (UE) 2026/1744, articles 5 et 111	Deux nouvelles interdictions s’appliquent, sous conditions : l’IA qui génère ou manipule des contenus intimes sans consentement, et celle qui produit des contenus d’abus sexuels sur mineurs (article 5). Les systèmes d’IA générative mis sur le marché avant le 2 août 2026 doivent appliquer le marquage de l’article 50, paragraphe 2 (article 111, paragraphe 4).	Fournisseurs et utilisateurs de systèmes d’IA générative	Adopté
9 décembre 2026	Directive (UE) 2024/2853, responsabilité du fait des produits défectueux	Pour les produits mis sur le marché ou en service après cette date, le logiciel est un produit, y compris en SaaS, comme les systèmes d’IA. Les mises à jour sous contrôle du fabricant sont couvertes. La franchise et le plafond optionnel de la directive de 1985 disparaissent ; un contrat ne peut pas limiter cette responsabilité. Voir notre analyse.	Fabricants, éditeurs, importateurs, entreprises qui modifient substantiellement un produit	Adopté ; transposition française non identifiée
24 décembre 2026 (calcul)	eIDAS 2, article 5 bis	Chaque État fournit au moins un portefeuille européen d’identité numérique, 24 mois après l’entrée en vigueur des actes d’exécution, le 24 décembre 2024. La Commission écrit « fin 2026 ». La DINUM écrit « courant 2027 ». Voir notre analyse.	Citoyens et administrations, puis entreprises	Adopté
12 janvier 2027	Data Act, article 29	Plus de frais de changement de fournisseur cloud ; jusque-là, ils sont limités aux coûts directement liés. En utilisation simultanée de plusieurs fournisseurs, des frais de sortie restent possibles, au coût réel (article 34). En France, les frais de transfert de données lors d’un changement sont déjà plafonnés à 0 € par un arrêté du 17 novembre 2025, pris sur proposition de l’Arcep. Voir notre analyse.	Clients et fournisseurs cloud	Adopté
18 mai 2027 au plus tard (calcul)	DMA, article 19 : enquête de marché sur le cloud	Rapport de la Commission dû 18 mois après l’ouverture de l’enquête, le 18 novembre 2025. Il peut s’accompagner d’une proposition d’obligations nouvelles.	Fournisseurs et clients cloud	Enquête en cours
2 août 2027	AI Act, article 111, paragraphe 3	Les modèles d’IA à usage général mis sur le marché avant le 2 août 2025 doivent être conformes. L’omnibus IA ne change pas cette date.	Fournisseurs de modèles d’IA à usage général	Adopté
1er septembre 2027	Facturation électronique, seconde étape	Les PME, TPE et micro-entreprises doivent émettre leurs factures sous forme électronique. Elles doivent déjà pouvoir en recevoir depuis le 1er septembre 2026.	PME, TPE et micro-entreprises, et leurs clients et fournisseurs	Adopté
12 septembre 2027	Data Act, chapitre IV	L’interdiction des clauses abusives entre entreprises s’étend à certains contrats conclus au plus tard le 12 septembre 2025 (article 50).	Entreprises liées par un contrat d’accès ou d’utilisation de données	Adopté
2 décembre 2027	AI Act, haut risque de l’annexe III	Les exigences s’appliquent, notamment à l’IA de recrutement, d’évaluation de la solvabilité, d’éducation et de biométrie. L’omnibus IA a reporté cette date. Voir notre analyse sur l’IA de recrutement.	Fournisseurs et déployeurs de ces systèmes, dont les ETI qui utilisent l’IA en RH ou en notation	Adopté
11 décembre 2027	Cyber Resilience Act, article 71	Application générale : exigences essentielles, évaluation de la conformité et marquage CE des produits comportant des éléments numériques. Un SaaS autonome n’est pas visé ; il relève, le cas échéant, de NIS2.	Fabricants, éditeurs de logiciels installés, importateurs, distributeurs	Adopté
24 décembre 2027 (calcul)	eIDAS 2, article 5 septies	Les entreprises tenues à l’authentification forte des utilisateurs doivent accepter le portefeuille européen d’identité, à la demande de l’utilisateur. Secteurs cités : transports, énergie, banque et finance, sécurité sociale, santé, eau potable, services postaux, infrastructures numériques, éducation, télécommunications. Les micro et petites entreprises sont exclues. Voir notre analyse.	Entreprises de ces secteurs ; les très grandes plateformes, sans délai fixé	Adopté

« Calcul » signale une date que le texte ne donne pas en toutes lettres et que nous déduisons d’un délai qu’il fixe.

Déjà en vigueur depuis avril 2026

Date	Texte	Ce qui a changé
17 avril 2026	Décret n° 2026-272 du 14 avril 2026 (article 31 de la loi SREN)	Les données d’une sensibilité particulière de l’État, de ses opérateurs et de ses GIP confiées à un cloud privé doivent l’être sur une offre conforme au référentiel de l’ANSSI, approuvé par l’arrêté du 12 août 2026. Un projet déjà engagé peut obtenir une dérogation motivée : 18 mois au plus après qu’une offre acceptable existe en France, sinon un an renouvelable. Voir notre analyse.
27 juillet 2026	Règlement (UE) 2026/1744 (omnibus IA), publié le 24 juillet	Report des obligations haut risque ; allègements des PME étendus aux petites entreprises à moyenne capitalisation (moins de 750 salariés) ; l’obligation de maîtrise de l’IA (article 4) devient une obligation de moyens.
1er septembre 2026	Facturation électronique	Toutes les entreprises concernées doivent pouvoir recevoir des factures électroniques. Les grandes entreprises et les ETI doivent les émettre et transmettre leurs données de transaction.
11 septembre 2026	Cyber Resilience Act, article 14	Les fabricants envoient une alerte précoce sous 24 heures, puis une notification sous 72 heures, pour les vulnérabilités activement exploitées et les incidents graves, y compris pour les produits déjà sur le marché. Voir notre analyse.
12 septembre 2026	Data Act, article 3	Les produits connectés mis sur le marché après cette date doivent donner accès à leurs données dès la conception.

Textes en discussion, sans date fixée

• Loi Résilience (transposition de NIS2) : adoptée au Sénat le 12 mars 2025, inscrite en séance à l’Assemblée les 7 et 9 octobre 2026 puis retirée le 6 octobre. La Commission a saisi la Cour de justice contre la France le 8 juillet 2026. L’ANSSI permet le pré-enregistrement depuis le 24 novembre 2025.
• Omnibus numérique (COM(2025) 837, 19 novembre 2025) : il modifie le RGPD, les règles sur les cookies, la notification des violations et des incidents, et le Data Act. Le Conseil a arrêté sa position le 21 octobre 2026 ; au Parlement européen, pas de vote à ce jour.
• Révision ciblée de NIS2 (COM(2026) 13, 20 janvier 2026) : elle crée une catégorie de « petites entreprises à moyenne capitalisation », moins de 750 salariés et au plus 150 millions d’euros de chiffre d’affaires ou 129 millions de bilan, qui seraient en règle générale entités importantes (texte de la proposition).
• Cloud and AI Development Act (COM(2026) 502, 3 juin 2026) : quatre « niveaux d’assurance » de souveraineté pour le cloud et l’IA, et des critères de valeur ajoutée européenne dans les achats publics (Commission).
• Règlement sur les marchés publics (COM(2026) 590, 9 septembre 2026) : il remplacerait les directives de 2014 et introduirait des critères de préférence européenne (proposition).

Questions fréquentes

Quelle est la prochaine échéance qui concerne la plupart des ETI ?

Le 12 janvier 2027 pour celles qui achètent du cloud : un fournisseur ne pourra plus facturer le changement de fournisseur. Le 1er septembre 2027 les touche aussi indirectement, puisque leurs fournisseurs PME devront émettre des factures électroniques.

Ce calendrier remplace-t-il un avis juridique ?

Non. Il signale des dates et renvoie aux textes. L’application à une entreprise dépend de son activité, de sa taille et de ses contrats. Pour NIS2, voir notre analyse sur le cas d’un infogéreur.

Ce qui a changé depuis la dernière mise à jour

31 octobre 2026, ajout : liens vers nos analyses de l’omnibus IA (2 décembre 2027) et du portefeuille européen d’identité (24 décembre 2026 et 24 décembre 2027) ; position de la DINUM sur le calendrier du portefeuille français.

31 octobre 2026, en soirée : liens vers nos analyses de la directive 2024/2853 et de l’article 14 du Cyber Resilience Act ; délais de l’article 14 précisés (24 heures, puis 72 heures).

31 octobre 2026 : première publication. Chaque ligne a été vérifiée sur une source primaire ; quand EUR-Lex était inaccessible, sur une reproduction du Journal officiel de l’UE (springlex.eu).