À retenir

• La conformité IAM en Europe s’organise autour de plusieurs textes au statut hétérogène : RGPD (applicable depuis 2018), DORA (applicable depuis le 17 janvier 2025), NIS2 (directive non encore transposée en France au 15 juin 2026), eIDAS 2.0 (calendrier de déploiement progressif jusqu’en 2027).
• La distinction règlement / directive est centrale : un règlement européen s’applique directement, une directive doit être transposée par chaque État. C’est ce qui explique l’écart de maturité entre DORA (en application) et NIS2 (en attente côté France).
• L’IGA est l’un des principaux moyens de démontrer la conformité en matière d’accès, mais elle n’épuise aucun de ces textes : ils couvrent un périmètre plus large que la seule gestion des identités.
• La cohérence d’un programme de conformité tient à la lecture transverse des textes — qui partagent de nombreuses exigences IAM — plutôt qu’à un chantier par texte.

Introduction

Conformité réglementaire et IAM sont aujourd’hui indissociables. Une organisation qui veut démontrer la maîtrise de ses accès s’appuie sur les textes européens et nationaux qui lui imposent cette démonstration. Mais « la conformité » n’est pas un objet unique : c’est un assemblage de textes aux statuts hétérogènes, applicables à des périmètres différents, qui se croisent parfois et qui n’évoluent pas tous au même rythme.

Cette page propose une vue d’ensemble côté IAM des quatre textes les plus structurants pour les organisations européennes : le RGPD, la directive NIS2, le règlement DORA et le règlement eIDAS 2.0. Elle s’adresse en premier lieu aux RSSI et responsables conformité qui doivent intégrer ces exigences dans un programme IAM, et aux décideurs qui en mesurent les implications. Chaque texte fera l’objet d’un article dédié pour aller plus loin. Cet article est une mise en perspective, pas un avis juridique : pour la lecture précise des obligations dans un contexte donné, l’accompagnement par un conseil spécialisé reste indispensable.

Comment lire ces textes côté IAM

Avant d’entrer dans le détail de chaque réglementation, trois clés de lecture évitent les confusions les plus fréquentes.

Règlement ou directive : la différence compte. Un règlement européen s’applique directement dans tous les États membres dès la date prévue, sans transposition nationale. Une directive fixe des objectifs que chaque État membre doit traduire dans son droit national avant une date limite. Le RGPD et DORA sont des règlements ; NIS2 est une directive. C’est précisément ce qui explique l’écart de maturité actuel : DORA s’applique uniformément depuis le 17 janvier 2025, alors que NIS2 n’est pas encore pleinement opérante en France parce que sa loi de transposition n’est pas promulguée.

Périmètre transverse ou sectoriel. Le RGPD couvre tous les traitements de données personnelles, quel que soit le secteur. NIS2 vise un large ensemble de secteurs jugés critiques ou importants pour l’économie et la société. DORA est sectoriel : il couvre le secteur financier. eIDAS 2.0 vise spécifiquement l’identité numérique européenne. Une même organisation peut relever de plusieurs de ces textes simultanément, et c’est même fréquent pour les acteurs financiers.

Statut au 15 juin 2026. Les statuts ci-dessous sont datés à dessein. RGPD : applicable. DORA : en application directe depuis le 17 janvier 2025. NIS2 : directive entrée en vigueur en janvier 2023, transposition française toujours en cours au moment de la rédaction. eIDAS 2.0 : règlement publié en 2024, déploiement opérationnel encore à venir (échéance principale fin décembre 2026 pour la mise à disposition des wallets nationaux).

RGPD : le socle transverse

Le Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, dit RGPD, est applicable depuis le 25 mai 2018. C’est le texte le plus ancien et le plus stable de ce panorama, mais aussi celui dont les implications IAM sont les plus directes — parce que toute identité numérique correspond, par définition, au traitement de données personnelles.

Les principaux points d’ancrage IAM :

• Minimisation et finalité. Les données collectées et les droits attribués doivent se limiter à ce qui est nécessaire au regard d’une finalité explicite. Sur le terrain IAM, cela rejoint directement le principe du moindre privilège.
• Sécurité des traitements (article 32). Les responsables et sous-traitants doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité, dont le contrôle d’accès figure parmi les plus structurantes.
• Droits des personnes. Droit d’accès, de rectification, d’effacement, de portabilité. L’IAM contribue à les opérationnaliser, notamment via les comptes utilisateur et la traçabilité.
• Analyses d’impact (DPIA). Pour les traitements à risque, une analyse d’impact est exigée ; la cartographie des accès en est l’un des éléments d’entrée.

Une nuance importante : l’IAM contribue à la conformité RGPD, elle ne la garantit pas. Le RGPD couvre des dimensions juridiques (base légale, transferts hors UE, sous-traitance, droits des personnes) qui dépassent largement le périmètre IAM.

NIS2 : la cybersécurité élargie

La Directive (UE) 2022/2555, dite NIS2, succède à la directive NIS de 2016. Adoptée en décembre 2022, entrée en vigueur en janvier 2023, elle imposait aux États membres une transposition en droit national avant le 17 octobre 2024.

Un statut français toujours mouvant

Au 15 juin 2026, la transposition française n’est pas finalisée. Les éléments ci-dessous sont à recouper avec l’actualité à la date de votre lecture.

La France n’a pas respecté l’échéance européenne. Le projet de loi de transposition, dit « loi Résilience » (loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité), a été adopté en première lecture au Sénat en mars 2025, examiné en commission spéciale à l’Assemblée nationale en septembre 2025, et son examen en séance publique est attendu au cours de l’été 2026. La promulgation effective et la publication des décrets d’application qui rendront le texte pleinement opérationnel sont donc encore à venir.

Cette situation a une conséquence directe pour la Commission européenne : une procédure d’infraction est ouverte depuis novembre 2024, et un avis motivé a été adressé à la France le 7 mai 2025 — la France n’est pas seule dans ce cas, plusieurs autres États membres sont également visés.

En attendant la promulgation, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) joue un rôle de cadrage avancé. Trois éléments à connaître : le portail MonEspaceNIS2 d’auto-enregistrement des entités assujetties ; la plateforme MesServicesCyber ; et le Référentiel Cyber France (ReCyF), publié en version de travail le 17 mars 2026, qui constitue la feuille de route opérationnelle attendue. Les entités concernées peuvent — et ont intérêt à — préparer leur conformité dès maintenant, même si l’opposabilité juridique attend la promulgation.

Périmètre et catégories

NIS2 distingue deux catégories d’entités assujetties :

• Les entités essentielles, dans des secteurs hautement critiques (énergie, transports, santé, infrastructure numérique, eau, espace…).
• Les entités importantes, dans des secteurs sensibles mais moins critiques (chimie, alimentation, fabrication, gestion des déchets…).

Le périmètre français est large : les estimations publiques évoquent entre 15 000 et 18 000 entités concernées, là où la directive NIS de 2016 n’en couvrait que quelques centaines.

Ancrages IAM

NIS2 ne consacre pas un chapitre dédié à l’IAM, mais ses exigences en matière de gestion des risques de cybersécurité (article 21) en font l’un des terrains opérationnels les plus visibles : gestion des accès et des identités, authentification multifacteur, gestion sécurisée des comptes à privilèges, journalisation, sécurité des ressources humaines. Concrètement, un programme IGA bien tenu couvre une part significative de ce qui sera attendu — sans s’y résumer.

DORA : la résilience numérique du secteur financier

Le Règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), est entré en application directe le 17 janvier 2025. C’est un règlement, pas une directive : aucune transposition n’est nécessaire, le texte s’applique uniformément dans tous les États membres depuis cette date. C’est la principale différence de maturité avec NIS2 et l’une des raisons pour lesquelles DORA est aujourd’hui le texte le plus visible dans les programmes de conformité IAM des acteurs financiers.

Périmètre et autorités

DORA s’applique aux entités financières au sens large : banques, entreprises d’assurance et de réassurance, entreprises d’investissement, prestataires de services de paiement, gestionnaires d’actifs, plateformes de négociation, mais aussi — c’est une nouveauté importante — aux prestataires tiers de services TIC critiques sur lesquels ces entités s’appuient (fournisseurs de cloud, éditeurs, intégrateurs).

En France, les autorités compétentes sont l’ACPR (Autorité de contrôle prudentiel et de résolution) pour la banque et l’assurance, et l’AMF (Autorité des marchés financiers) pour les marchés financiers.

Lex specialis pour le secteur financier

Un point important pour les entités financières qui pourraient relever à la fois de DORA et de NIS2 : DORA est explicitement positionné comme lex specialis dans son périmètre. Ses dispositions prévalent sur celles de NIS2 sur les mêmes objets. Concrètement, une entité strictement financière se conforme à DORA, pas à NIS2 en parallèle sur les mêmes exigences. La situation peut différer pour les organisations multi-activités, dont une partie sort du champ de DORA.

Ancrages IAM

DORA structure ses exigences autour de cinq piliers (gouvernance, gestion des risques TIC, gestion des incidents, tests de résilience, gestion des risques liés aux prestataires tiers). Les ancrages IAM les plus directs sont la gouvernance des accès, la séparation des fonctions, la gestion du cycle de vie des identités (en particulier pour les prestataires) et la traçabilité des actions sensibles. Le registre d’information des prestataires TIC, désormais exigible par les autorités, place également la gestion des identités externes au cœur du dispositif.

eIDAS 2.0 et l’EUDI Wallet

Le Règlement (UE) 2024/1183, publié en avril 2024, révise le règlement eIDAS de 2014. Sa nouveauté la plus visible est l’introduction d’un portefeuille européen d’identité numérique (European Digital Identity Wallet, ou EUDI Wallet).

Calendrier de déploiement

Les échéances ci-dessous sont fixées par le règlement ; leur traduction opérationnelle évolue. À recouper à la date de lecture.

• Fin décembre 2026 : chaque État membre doit mettre à disposition au moins un EUDI Wallet pour ses citoyens, résidents et entreprises.
• Fin 2027 environ : les entités réglementées (banques, télécoms, grandes plateformes désignées par le Digital Services Act) doivent l’accepter comme moyen d’identification.

En France, l’EUDI Wallet est porté par l’application France Identité, en cours de déploiement progressif.

Ancrages IAM

eIDAS 2.0 est davantage un sujet CIAM (Customer IAM) qu’IGA. L’enjeu pour les entreprises ne porte pas sur leur gouvernance interne mais sur leur capacité à accepter un moyen d’identification européen au moment de l’inscription ou de l’authentification de leurs utilisateurs externes. Le règlement s’inscrit aussi dans une logique de divulgation sélective des attributs (prouver qu’on a plus de 18 ans sans révéler sa date de naissance, par exemple), qui pourrait à terme transformer les parcours KYC et les inscriptions B2C.

Un article dédié traitera plus en détail les implications côté CIAM ; le pilier IGA gère, lui, les identités internes pour lesquelles l’EUDI Wallet n’est pas l’enjeu principal.

Comment les textes se superposent

Une même organisation peut relever simultanément de plusieurs de ces textes. Une banque européenne qui propose des services en ligne se trouve typiquement concernée par les quatre : RGPD pour les données personnelles de ses clients, DORA pour la résilience opérationnelle (qui prévaut sur NIS2 dans son cœur d’activité), NIS2 pour ses éventuelles activités hors champ DORA, et eIDAS 2.0 pour l’acceptation du wallet européen côté CIAM.

Construire un programme par texte est l’erreur la plus coûteuse. Les exigences IAM se recoupent largement entre les quatre cadres : gestion du cycle de vie des identités, contrôle d’accès basé sur les rôles, séparation des tâches sur les fonctions sensibles, traçabilité, revues périodiques. Une démarche IAM bien construite répond simultanément à une part importante de chacun, à condition d’être conçue par fonction (cycle de vie, rôles, recertification, traçabilité) et non par texte.

L’IGA comme socle de conformité

Toutes ces réglementations partagent un attendu commun : être capable de démontrer qui peut faire quoi, pourquoi, et avec quelle traçabilité. C’est précisément l’objet de la gouvernance des identités (IGA), traitée comme discipline dans une autre page dédiée.

La conformité IAM ne se résume pas à cocher des cases. Ce qu’un auditeur — interne ou externe — vérifie en pratique, c’est la cohérence entre les droits effectifs dans les systèmes, les politiques déclarées dans la documentation, et les mécanismes qui maintiennent cette cohérence dans la durée. C’est cette cohérence qui est portée par les fonctions structurantes de l’IGA :

• Le cycle de vie des identités (JML) assure que les accès suivent les événements (arrivée, mobilité, départ) sans accumulation silencieuse.
• Le provisioning et le déprovisioning garantissent que l’attribution et le retrait des droits laissent une trace exploitable.
• Le contrôle d’accès basé sur les rôles (RBAC, ABAC, PBAC) structure les attributions selon les fonctions, ce qui rend les revues possibles.
• La séparation des tâches traite les cumuls interdits que tous les référentiels exigent de prévenir.
• La recertification maintient l’alignement entre droits attribués et droits légitimes au fil du temps.

Aucun de ces sujets n’est piloté par un seul texte réglementaire — ils sont tous attendus, à des degrés divers, par les quatre.

Erreurs fréquentes

• Construire un programme par texte plutôt que par fonction. Une équipe NIS2, une équipe DORA, une équipe RGPD : multiplication des comités, exigences redondantes, et incohérences à la frontière. Mieux vaut un cadre IAM transverse aligné sur la fonction (JML, recertification…) qui répond à plusieurs textes simultanément.
• Confondre conformité documentaire et contrôle effectif. Une matrice de séparation des tâches non appliquée techniquement n’a aucune valeur d’audit, même bien rédigée.
• Croire que l’outil IGA « apporte » la conformité. L’outil instrumente une démarche ; sans politique, sans qualité des données et sans gouvernance, il produit de la documentation, pas de la conformité.
• Attendre la promulgation de NIS2 pour s’en préoccuper. Le décalage entre l’attendu européen et le cadre opérationnel français est précisément ce qui rend la préparation utile dès maintenant.
• Sous-estimer la gestion des prestataires. Le RGPD, DORA et NIS2 attendent tous une maîtrise des accès des prestataires et des sous-traitants — souvent l’angle mort des programmes IAM centrés sur les salariés.

FAQ

Quelle différence entre un règlement européen et une directive ? Un règlement européen s’applique directement dans tous les États membres dès la date prévue, sans transposition nationale. Une directive fixe des objectifs que chaque État membre doit traduire dans son droit national avant une date limite. RGPD et DORA sont des règlements ; NIS2 est une directive. Cette distinction explique pourquoi DORA s’applique uniformément depuis le 17 janvier 2025 alors que NIS2 n’est pas encore opérante en France.

Une entreprise française est-elle déjà soumise à NIS2 si la transposition n’est pas finalisée ? Juridiquement, les obligations issues du droit national n’entreront en vigueur qu’après promulgation de la loi de transposition (en France, le projet de loi Résilience). Mais les entités concernées sont incitées à se préparer dès maintenant, à la fois pour anticiper la mise en conformité et parce que la procédure d’infraction engagée par la Commission européenne contre la France maintient une pression vers une promulgation rapide. L’ANSSI propose déjà des outils d’auto-positionnement.

Une entité financière soumise à DORA doit-elle aussi appliquer NIS2 ? DORA est un lex specialis pour le secteur financier : ses dispositions prévalent sur celles de NIS2 dans son périmètre. Une entité financière strictement soumise à DORA n’a pas à appliquer également NIS2 sur les mêmes obligations. La situation peut différer pour des entités qui couvrent plusieurs activités, certaines hors champ de DORA.

L’IGA suffit-elle pour être conforme ? Non. L’IGA est l’un des principaux moyens de démontrer la maîtrise des accès, ce qui couvre une part importante des exigences en gestion des identités. Mais aucune des réglementations citées ne se réduit à l’IAM : NIS2 couvre la cybersécurité dans son ensemble, DORA couvre la résilience opérationnelle numérique, le RGPD couvre toutes les données personnelles. L’IGA est un pilier, pas la totalité du dispositif.

Comment hiérarchiser les chantiers de mise en conformité ? En partant de ce qui est applicable et opposable maintenant (DORA pour le secteur financier, RGPD partout), puis en intégrant ce qui se prépare (NIS2 pour les entités concernées, eIDAS 2.0 pour les acteurs CIAM). Et en évitant de bâtir un programme spécifique par texte : les exigences se recoupent largement sur les fondamentaux IAM (gestion du cycle de vie, contrôle d’accès, journalisation, revues régulières).

Conclusion

La conformité IAM en Europe ne s’organise pas autour d’un seul texte mais d’un ensemble de réglementations au statut hétérogène — applicables, en cours de transposition, ou en cours de déploiement opérationnel. La lecture côté IAM permet de constater que ces textes attendent, dans leur diversité, les mêmes fondamentaux : maîtrise du cycle de vie des identités, contrôle d’accès structuré, séparation des tâches sur les fonctions sensibles, revues régulières, traçabilité. Une démarche IGA bien construite ne « fait » pas la conformité, mais elle en porte une part substantielle. Pour démarrer concrètement, le plus utile est de cartographier les textes auxquels l’organisation est effectivement soumise, puis de bâtir une démarche IAM par fonction qui réponde à plusieurs textes simultanément — plutôt qu’un chantier par texte qui multiplie les coûts sans renforcer le contrôle.

Cet article propose une lecture côté IAM ; il ne se substitue pas à un accompagnement juridique pour l’application précise de ces textes à une organisation donnée.

Sources

• Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD), applicable depuis le 25 mai 2018.
• Directive (UE) 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’Union (NIS2). Date limite de transposition : 17 octobre 2024. Pour la France, transposition en cours via le projet de loi de résilience des infrastructures critiques et de renforcement de la cybersécurité, statut à recouper à la date de lecture.
• Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA), en application directe depuis le 17 janvier 2025. Autorités compétentes en France : ACPR et AMF.
• Règlement (UE) 2024/1183 du 11 avril 2024 modifiant le règlement (UE) n° 910/2014 en ce qui concerne l’établissement du cadre européen relatif à une identité numérique (eIDAS 2.0). Mise à disposition d’au moins un EUDI Wallet par État membre attendue d’ici fin décembre 2026.
• ANSSI — Référentiel Cyber France (ReCyF), version de travail publiée le 17 mars 2026 ; portails MonEspaceNIS2 et MesServicesCyber.
• ACPR — Page dédiée à DORA, qui consolide la réglementation européenne et les autorités de contrôle pour le secteur financier français.
• Commission européenne — Page de suivi de la transposition de NIS2 par les États membres (procédure d’infraction engagée contre la France notamment, avis motivé du 7 mai 2025).