Observatoire réglementaire cyber : les nouveautés d'octobre 2026

Les cinq nouveautés réglementaires d'octobre 2026 qui comptent pour ceux qui assument le risque cyber : le décret italien d'application du règlement sur l'IA, l'enregistrement NIS2 simplifié, la position du Conseil de l'UE sur l'Omnibus numérique, une sanction de l'autorité italienne de protection des données après une violation de données par ransomware et le premier rappel des obligations de signalement du Cyber Resilience Act.

Observatoire réglementaire · octobre 2026 · par cybercoverinsurance

Octobre 2026 met pleinement en œuvre le règlement sur l'IA en Italie, simplifie la gestion de NIS2 et ouvre en Europe le débat sur un canal unique de notification des incidents. Pour ceux qui assument le risque cyber, l'information la plus utile est toutefois une sanction de l'autorité italienne de protection des données : elle détaille, contrôle par contrôle, les faiblesses qui ont transformé un ransomware en violation de données.

En bref

Règlement sur l'IA en Italie : depuis le 23 octobre 2026, le décret législatif 179/2026 est en vigueur ; il donne à l'ACN des pouvoirs de surveillance et fixe les sanctions.
NIS2 : la détermination ACN n° 314287/2026 simplifie l'enregistrement 2027 pour les entités déjà inscrites.
Omnibus numérique : le 21 octobre 2026, le Conseil de l'UE a adopté sa position, qui réécrit la notification des violations de données.
Autorité italienne de protection des données : un bureau d'ingénierie sanctionné de 120 000 euros après un ransomware, pour des faiblesses d'authentification, de segmentation et de sauvegarde.
Cyber Resilience Act : les autorités européennes rappellent aux fabricants l'obligation de signaler les vulnérabilités PHP exploitées.

1. Le décret d'application du règlement sur l'IA est en vigueur

Le décret législatif italien n° 179 du 7 octobre 2026, publié au Journal officiel n° 234 du 8 octobre, est en vigueur depuis le 23 octobre 2026 (Quotidiano Sanità, Normattiva). L'ACN devient l'autorité générale de surveillance du marché, avec des pouvoirs d'inspection, y compris sans préavis ; l'AgID supervise les organismes d'évaluation de la conformité ; l'autorité de protection des données, la Banca d'Italia, la Consob et l'IVASS coopèrent pour leurs secteurs. Les sanctions reprennent celles du règlement sur l'IA : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires pour les pratiques interdites, jusqu'à 15 millions ou 3 % pour les autres obligations.

Le décret interdit en outre que les décisions finales d'embauche, de licenciement, de sanction disciplinaire et d'évaluation des salariés soient prises par des systèmes automatisés seuls, sous peine de nullité.

Pour la souscription : avec le décret législatif 160/2026, en vigueur depuis le 30 septembre, le cadre italien est complet. Il existe une autorité dotée de pouvoirs d'inspection, et la violation du règlement sur l'IA fait présumer le lien de causalité dans une action en réparation. Détails dans la fiche sur le règlement sur l'IA.

2. NIS2 : un enregistrement simplifié à partir de 2027

La détermination ACN n° 314287/2026, applicable depuis le 25 octobre 2026, remplace la n° 127437/2026 (CyberSecItalia). Les entités déjà inscrites sur la liste NIS et sans données à modifier n'ont pas à s'enregistrer de nouveau lors de la fenêtre de janvier-février 2027. Des obligations spécifiques s'appliquent aux fusions et aux cessions de branches d'activité liées aux activités NIS. Le recensement et la catégorisation des activités et services restent fixés entre le 1er mai et le 30 juin.

Pour la souscription : la règle sur les fusions et cessions est utile lors des opérations sur le capital. Une branche d'activité NIS qui change de propriétaire emporte ses obligations d'enregistrement, et le questionnaire de souscription doit en tenir compte. Le cadre complet figure dans la fiche NIS2.

3. Omnibus numérique : le Conseil de l'UE réécrit la notification des violations de données

Le 21 octobre 2026, le Conseil de l'UE a adopté sa position sur l'Omnibus numérique, le paquet de simplification des règles numériques (NicFab). Deux points concernent directement la gestion des incidents :

la notification d'une violation de données à l'autorité ne serait obligatoire que pour les violations à risque élevé, dans un délai de 96 heures au lieu des 72 actuelles ;
le point d'entrée unique européen pour les notifications d'incidents deviendrait un point d'information orientant vers les canaux nationaux, avec un nouvel article 23 ter de NIS2.

La position s'étend aussi à la notification des incidents DORA. Le texte n'est pas encore en vigueur : la négociation avec le Parlement européen doit suivre.

Pour la souscription : s'il est adopté, moins de notifications obligatoires aux autorités de protection des données signifie moins de frais de notification et moins de sanctions pour notification tardive lors d'incidents mineurs. Rien ne change pour NIS2, DORA et le CRA, qui conservent leurs propres délais.

4. Autorité italienne de protection des données : les faiblesses derrière un ransomware

Par une décision de juillet 2026, commentée le 13 octobre, l'autorité italienne de protection des données a sanctionné de 120 000 euros un bureau d'études d'ingénierie victime d'un ransomware en octobre 2024 (Data Protection Law). La société traitait des données pour le compte de plus de 1 200 clients ; une partie des données volées, dont des données de santé, a été publiée sur le dark web en décembre 2024. L'autorité a retenu la violation des articles 5 et 32 du RGPD et relevé cinq faiblesses :

blocage des comptes après dix tentatives échouées, mais déblocage automatique au bout de cinq minutes ;
authentification multifacteur sur une partie seulement des comptes, ni sur le VPN, ni sur le pare-feu, ni sur les équipements réseau ;
réseau non segmenté, les contrôleurs de domaine pouvant atteindre tous les VLAN, y compris celui des sauvegardes ;
aucune sauvegarde hors ligne ou immuable, la dernière sauvegarde utilisable datant de deux mois ;
aucun processus formel de gestion des vulnérabilités.

Pour la souscription : les cinq faiblesses correspondent aux questions clés d'un questionnaire de souscription cyber. La décision confirme aussi qu'un prestataire comptant de nombreux clients, ici plus de 1 200, est un point de cumul : une seule attaque produit un sinistre pour le prestataire et des obligations de notification pour chaque client.

5. Cyber Resilience Act : premier rappel sur les vulnérabilités PHP

Le 21 octobre 2026, la Commission européenne, l'ENISA, le CERT-EU, Europol et le réseau des CSIRT ont publié une déclaration conjointe sur des vulnérabilités critiques de PHP (NicFab). Elle rappelle que depuis le 11 septembre 2026 les fabricants doivent signaler les vulnérabilités activement exploitées via la plateforme unique de l'ENISA. C'est la première fois que les autorités rappellent publiquement cette obligation pour une vulnérabilité largement répandue.

Pour la souscription : pour les éditeurs de logiciels qui intègrent PHP dans leurs produits, l'obligation de signalement est déjà active. Ceux qui n'ont pas signalé s'exposent à des sanctions et, à partir du 9 décembre 2026, à une position plus faible dans une action pour produit défectueux. Détails dans la fiche sur le Cyber Resilience Act.

Prochaines échéances

2 décembre 2026 : nouvelles interdictions du règlement sur l'IA visant les systèmes qui génèrent des images intimes non consenties.
9 décembre 2026 : la directive (UE) 2024/2853 fait du logiciel un produit au regard de la responsabilité du fait des produits défectueux.
1er janvier - 28 février 2027 : fenêtre d'enregistrement NIS 2027 en Italie, selon les nouvelles règles de la détermination 314287/2026.

Impact pour les assureursMoyen

Octobre complète le cadre italien du règlement sur l'IA et simplifie NIS2, tandis que l'Omnibus numérique est encore en négociation ; la sanction de l'autorité de protection des données fournit une liste concrète de contrôles à vérifier lors de la souscription.