Blog on Datargo

Un incident, deux circuits de notification : CRA et NIS2 depuis le 11 septembre 2026

Thu, 17 Sep 2026 00:00:00 +0000

L’article 14 du Cyber Resilience Act s’applique depuis le 11 septembre 2026. Les fabricants de produits comportant des éléments numériques doivent désormais notifier les vulnérabilités activement exploitées et les incidents de sécurité graves. Le reste du règlement ne s’applique qu’à partir du 11 décembre 2027 : l’obligation de notification est donc avancée de plus d’un an. Elle vise expressément aussi les produits mis sur le marché avant cette date.

Pour beaucoup d’entreprises, ce n’est pas la première obligation de ce type. Les entités essentielles et importantes au sens de la loi allemande de transposition de NIS2 notifient déjà les incidents importants au BSI depuis décembre 2025. Une entreprise qui commercialise un logiciel en tant que produit et qui est elle-même une entité NIS2 porte donc deux obligations qui se ressemblent sans se recouvrir.

Fin de clientAuth : pourquoi le mTLS avec des certificats publics touche à sa fin

Wed, 16 Sep 2026 00:00:00 +0000

Pendant longtemps, un certificat TLS de confiance publique pouvait remplir deux rôles à la fois : authentifier un serveur auprès des navigateurs et authentifier un client auprès d’un autre serveur. L’extension Extended Key Usage le permettait avec les usages serverAuth et clientAuth. Ce double rôle prend fin. La politique du Chrome Root Program exige des hiérarchies consacrées exclusivement à l’authentification des serveurs.

Les échéances

Selon la version 1.8 de la Chrome Root Program Policy, deux dates s’appliquent :

NIS2 après le délai de grâce : de l'enregistrement à la notification

Tue, 15 Sep 2026 00:00:00 +0000

Le délai légal d’enregistrement prévu par la loi allemande de transposition de NIS2 a expiré le 6 mars 2026, et la tolérance accordée par le BSI a pris fin le 31 juillet. Le BSI indique aujourd’hui sans ambiguïté que le délai est écoulé et invite les entreprises concernées à s’enregistrer sans attendre. Celles qui ne l’ont pas fait ne se trouvent plus dans une phase de transition.

Pour les entités enregistrées, une autre question se pose. L’enregistrement est une démarche ponctuelle ; l’obligation de notification prévue à l’article 32 de la loi allemande sur le BSI est un état permanent. La capacité d’une entreprise à la remplir ne se révèle qu’au moment de l’incident.

Facture électronique en 2027 : ce que les émetteurs doivent régler avant la fin de l'année

Thu, 10 Sep 2026 00:00:00 +0000

Depuis le 1er janvier 2025, les entreprises établies en Allemagne doivent être en mesure de recevoir des factures électroniques. Pour l’émission, une règle transitoire s’applique en vertu de l’article 27, paragraphe 38, de la loi allemande sur la TVA : jusqu’au 31 décembre 2026, tous les émetteurs peuvent encore établir une « autre facture » au lieu d’une facture électronique, c’est-à-dire une facture papier ou un format électronique non structuré. Au changement d’année, cette règle prend fin pour une grande partie des entreprises.

Enregistrement NIS2 : pourquoi le 31 juillet 2026 est la vraie échéance

Mon, 20 Jul 2026 00:00:00 +0000

Le délai d’enregistrement de trois mois prévu par la loi allemande de transposition de NIS2 a expiré le 6 mars 2026. Pourtant, pour de nombreuses entités, la date la plus importante est une autre : le 31 juillet 2026. Le BSI attend d’ici là les enregistrements en suspens et traite les déclarations tardives avec une certaine indulgence pratique jusqu’à cette date. Sur environ 29 500 entreprises concernées, seules quelque 11 500 s’étaient enregistrées à l’échéance légale, pour atteindre environ 18 500 fin mai. Une part importante manque donc toujours.

ViDA : ce qui vient après l'obligation allemande de facturation électronique

Thu, 16 Jul 2026 00:00:00 +0000

Beaucoup d’entreprises considèrent la facturation électronique comme un sujet allemand doté d’un calendrier allemand : réception depuis 2025, émission à partir de 2027 et 2028. C’est exact, mais incomplet. Au-dessus de ce plan national par étapes se trouve une réforme européenne qui fixe le cadre à long terme : la TVA à l’ère numérique, ou ViDA, formellement adoptée le 11 mars 2025 sous la forme de la directive (UE) 2025/516. Qui conçoit aujourd’hui son architecture de facturation électronique uniquement autour des échéances allemandes voit trop court.

Cadre de souveraineté du cloud : quand la souveraineté devient un critère de marché mesurable

Mon, 13 Jul 2026 00:00:00 +0000

La souveraineté numérique a longtemps été un terme réservé aux discours de principe, difficile à cerner et plus difficile encore à vérifier. Avec le cadre de souveraineté du cloud, la Commission européenne en a fait une grille d’évaluation. La version publiée en octobre 2025 (1.2.1) définit huit objectifs de souveraineté et une méthodologie permettant de classer les fournisseurs de cloud de façon structurée. Avril 2026 a apporté l’épreuve pratique : un contrat-cadre de 180 millions d’euros pour des services de cloud souverain destinés aux institutions de l’UE, attribué à quatre fournisseurs européens.

Le Data Act européen et la fin des frais de changement : le passage d'un cloud à l'autre devient une obligation

Tue, 23 Jun 2026 00:00:00 +0000

L’enfermement propriétaire a longtemps servi de moyen de pression commercial : qui voulait partir payait pour la sortie, se débattait avec des formats propriétaires et perdait des semaines en travaux de migration. Le Data Act européen (règlement (UE) 2023/2854) inverse cette logique. Le règlement est applicable depuis le 12 septembre 2025, et son chapitre VI fait du changement de fournisseur cloud un droit opposable des clientes et clients.

Ce qui s’applique depuis septembre 2025

Les fournisseurs de services de traitement de données (IaaS, PaaS, SaaS) doivent lever tous les obstacles qui compliquent un changement, qu’ils soient précommerciaux, commerciaux, techniques, contractuels ou organisationnels. Concrètement, cela signifie : un préavis maximal de deux mois, une phase de transition de 30 jours pour le déménagement proprement dit (prolongeable jusqu’à sept mois en cas d’impossibilité technique) et le droit d’emporter ses données et ses actifs numériques. Pour les nouveaux contrats, ces obligations s’appliquent déjà.

Les API dans la chaîne d'approvisionnement : pourquoi la sécurité des interfaces devient une question de preuve

Tue, 23 Jun 2026 00:00:00 +0000

Un logiciel est rarement un monolithe aujourd’hui. Composants, services partenaires et locataires communiquent par des interfaces, et ces API sont les liaisons discrètes de la chaîne d’approvisionnement. NIS2 exige expressément la sécurité de la chaîne d’approvisionnement dans l’analyse des risques. Une question longtemps jugée purement technique passe ainsi au premier plan : quel est le niveau de sécurité de ses propres interfaces, et peut-on le démontrer ?

L’interface est la surface d’attaque

Les faiblesses d’API les plus fréquentes ne sont pas des exploits sophistiqués, mais des défauts d’autorisation. Dans l’OWASP API Security Top 10, la Broken Object Level Authorization occupe la première place : une API livre des données sans vérifier correctement si le compte demandeur a le droit de les voir. Il suffit alors de modifier l’identifiant d’un objet dans la requête pour récupérer les données d’un autre. Trois points de contrôle déterminent la robustesse en pratique :

Les passkeys en entreprise : une authentification résistante à l'hameçonnage, au-delà du mot de passe et de l'OTP

Tue, 23 Jun 2026 00:00:00 +0000

L’hameçonnage reste la porte d’entrée la plus fiable vers les réseaux d’entreprise, et la plupart des seconds facteurs n’y changent pas grand-chose. Un mot de passe assorti d’un code SMS, d’une application TOTP ou d’une confirmation push passe pour de l’authentification multifacteur, mais reste attaquable en son cœur : qui attire l’utilisatrice sur une page falsifiée peut aussi capter le second facteur en temps réel. Les passkeys FIDO2 interviennent précisément à cet endroit.

Quand le chatbot doit se faire connaître : la transparence de l'IA dans le service client à partir d'août 2026

Tue, 23 Jun 2026 00:00:00 +0000

Réponses initiales automatisées, préclassification des tickets assistée par IA, suggestions de réponse générées : dans le service client, l’IA est depuis longtemps une réalité quotidienne. À partir du 2 août 2026, l’article 50 de l’AI Act européen devient applicable, et des obligations de transparence contraignantes s’appliquent dès lors à ces systèmes précisément. Ces obligations sont à distinguer des règles visant les fournisseurs de modèles d’IA à usage général (GPAI) : il n’est pas question ici du modèle, mais de l’interaction avec les personnes.

Certificats de 47 jours : la feuille de route CA/Browser jusqu'en 2029

Tue, 09 Jun 2026 00:00:00 +0000

Le débat est tranché, et une partie en est déjà la réalité du terrain : depuis le 15 mars 2026, les certificats TLS publiquement reconnus ne peuvent plus dépasser 200 jours de validité, contre 398 auparavant. C’est le premier palier d’une feuille de route que le CA/Browser Forum a adoptée en avril 2025 avec le scrutin SC-081v3 : à l’unanimité, par 29 voix pour et aucune voix contre. Au terme de cette feuille de route, la durée de vie maximale tombera à 47 jours.

Cyber Resilience Act : ce que le 11 septembre 2026 signifie pour les fabricants de produits numériques

Tue, 09 Jun 2026 00:00:00 +0000

Dans à peine trois mois, un règlement devient réalité opérationnelle. À partir du 11 septembre 2026 prennent effet les premières obligations contraignantes du Cyber Resilience Act (règlement (UE) 2024/2847), précisément celles qui supposent le plus de processus : la notification des vulnérabilités activement exploitées et des incidents de sécurité graves. Les autres obligations de produit et de conformité suivent avec l’application complète le 11 décembre 2027.

Quiconque fabrique, importe ou distribue dans l’UE des produits comportant des éléments numériques ne devrait donc pas traiter septembre comme une date lointaine, mais comme le jour où une voie de notification opérationnelle doit exister.

eIDAS 2.0 et l'EUDI-Wallet : ce que les parties utilisatrices doivent préparer d'ici fin 2026

Tue, 09 Jun 2026 00:00:00 +0000

Dans environ six mois expire une échéance que bien des entreprises traitent encore comme une réglementation lointaine : d’ici au 24 décembre 2026, les 27 États membres de l’UE devront mettre à la disposition de leurs citoyennes et citoyens au moins un European Digital Identity Wallet (EUDI-Wallet). Le fondement en est le règlement (UE) 2024/1183 (« eIDAS 2.0 »), entré en vigueur le 20 mai 2024.

Pour la plupart des entreprises, la question la plus intéressante n’est pas de savoir quand le wallet arrive, mais quand elles devront l’accepter. Et cette échéance suit de près.

Souveraineté des données après le Data Privacy Framework : pourquoi l'hébergement européen devient une question d'architecture

Tue, 02 Jun 2026 00:00:00 +0000

Quiconque transfère des données personnelles vers les États-Unis s’appuie depuis 2023 sur la décision d’adéquation relative au Data Privacy Framework UE-États-Unis (DPF). En septembre 2025, le Tribunal de l’Union européenne a rejeté un recours dirigé contre elle, ce qui laisse au cadre sa valeur de base juridique. Mais l’affaire n’est pas close : fin octobre 2025, un pourvoi a été formé devant la Cour de justice de l’Union européenne (affaire C-703/25 P). Un nouveau renversement, un « Schrems III », n’est pas exclu.

AI Act de l'UE : l'application aux modèles GPAI à partir du 2 août 2026 et ce que le Digital Omnibus a reporté

Tue, 26 May 2026 00:00:00 +0000

L’AI Act de l’UE s’applique depuis août 2024, mais nombre de ses obligations entrent en vigueur par étapes. Une date se détache : le 2 août 2026 commence l’application active à l’égard des fournisseurs de modèles d’IA à usage général (GPAI) par le Bureau européen de l’IA, et les régimes nationaux de sanctions prennent effet en parallèle. En Allemagne s’y ajoute la loi sur les mesures et l’innovation en matière d’IA (KI-MIG). Quiconque utilise ou met à disposition de l’IA devrait connaître l’échéance, mais aussi les reports les plus récents.

SD-JWT VC et OpenID4VP : les protocoles derrière l'EUDI Wallet

Tue, 12 May 2026 00:00:00 +0000

On parle beaucoup de l’EUDI Wallet au niveau politique et organisationnel : mise à disposition par les États membres d’ici fin 2026, obligations d’enregistrement, délais d’acceptation. Mais quiconque veut effectivement accepter le wallet se trouve tôt ou tard face à une question technique : comment vérifier concrètement qu’un attribut présenté est authentique, valide et suffisant pour mon usage ? Cet article se penche sur le versant de la vérification et sur les briques qui s’y assemblent.

Archiver les factures électroniques structurées conformément aux GoBD : la question des huit ans

Tue, 21 Apr 2026 00:00:00 +0000

Le débat sur la facture électronique tourne le plus souvent autour de l’émission et de la réception. L’obligation plus discrète, mais plus durable, ne commence qu’ensuite : la conservation. Une facture structurée n’est pas un document au sens classique, mais un jeu de données, et celui-ci doit demeurer inaltérable et exploitable par machine pendant des années. L’intégrer dès la construction de ses processus évite des reprises coûteuses plus tard.

Ce qui a changé pour le délai

Longtemps, les pièces comptables ont été soumises à un délai de conservation de dix ans. La quatrième loi allemande d’allègement bureaucratique (BEG IV) l’a réduit à huit ans au 1er janvier 2025. Le nouveau délai s’applique à toutes les pièces dont l’ancien délai de dix ans n’avait pas encore expiré à cette date.

NIS2 en pratique : de l'obligation de notification à la preuve solide

Tue, 14 Apr 2026 00:00:00 +0000

Depuis le 6 décembre 2025, NIS2 a force de loi en Allemagne. La loi de transposition de NIS2 et de renforcement de la cybersécurité (NIS2UmsuCG) a été adoptée par le Bundestag le 13 novembre 2025, confirmée par le Bundesrat le 20 novembre, et est entrée en vigueur sans période de transition. Environ 29 500 entreprises, réparties sur 18 secteurs, sont concernées. La date limite d’enregistrement auprès du BSI, le 6 mars 2026, est passée ; un enregistrement tardif reste possible et demeure recommandé.

ACME au-delà du serveur web : automatiser les certificats pour les services internes et le mTLS

Tue, 17 Mar 2026 00:00:00 +0000

La réduction des durées de vie des certificats TLS publics, vers 47 jours à terme, a fait prendre conscience que le renouvellement manuel ne tient plus l’échelle. Ce que l’on néglige souvent : à l’intérieur d’une entreprise se cachent en général bien plus de certificats qu’à la lisière visible de l’extérieur. La communication de service à service, le mTLS dans un service mesh, les API internes et les connexions de bases de données vivent toutes de certificats, et ceux-ci suivent d’autres schémas que le web public.

DORA pour les prestataires TIC : risque lié aux tiers et notification des incidents

Tue, 09 Dec 2025 00:00:00 +0000

DORA, le Digital Operational Resilience Act (règlement (UE) 2022/2554), s’applique au secteur financier européen depuis le 17 janvier 2025. Depuis le 19 novembre 2025, la supervision a pris une forme concrète : les autorités européennes de surveillance EBA, EIOPA et ESMA ont publié la première liste officielle de 19 tiers prestataires de services TIC désignés comme critiques, parmi lesquels AWS, Google Cloud, Microsoft, Oracle, SAP, IBM et Deutsche Telekom. Cette liste est actualisée chaque année.

Cryptographie post-quantique : pourquoi la migration commence en 2026, pas en 2030

Tue, 16 Sep 2025 00:00:00 +0000

Depuis août 2024, les trois premiers standards post-quantiques sont définitifs. Le NIST a publié FIPS 203 (ML-KEM, dérivé de Kyber), FIPS 204 (ML-DSA, issu de Dilithium) et FIPS 205 (SLH-DSA, issu de SPHINCS+), concluant un processus de sélection de huit ans. Beaucoup lisent le titre, voient l’année 2030 souvent citée et remisent le sujet. C’est un malentendu : 2030 est une échéance, pas un coup d’envoi.

Le « harvest now, decrypt later » rend la chose urgente

La menace n’attend pas le premier calculateur quantique performant. Des attaquants interceptent dès aujourd’hui du trafic chiffré et le stockent pour le déchiffrer plus tard. Tout ce qui doit rester protégé longtemps est dès lors déjà exposé : contrats, données de santé et de personnel, clés à longue durée de vie, propriété intellectuelle, secrets d’État et d’affaires. Pour ces données, ce qui compte n’est pas le moment où un calculateur quantique deviendra réalité, mais la durée pendant laquelle elles doivent rester secrètes.

L'obligation de facturation électronique en Allemagne : la feuille de route 2025 à 2028 sans les mythes

Tue, 11 Feb 2025 00:00:00 +0000

Depuis le 1er janvier 2025, la facture électronique n’est plus facultative dans les échanges B2B en Allemagne. La première étape de la nouvelle obligation s’applique : toute entreprise établie sur le territoire doit être en mesure de recevoir des factures électroniques structurées. L’émission par voie électronique n’est pas encore obligatoire, mais la réception, elle, l’est. Le fondement juridique est la loi sur les opportunités de croissance (Wachstumschancengesetz), adoptée par le Bundesrat le 22 mars 2024 ; les modalités sont précisées par la circulaire du ministère fédéral des Finances (BMF) du 15 octobre 2024.