Au second semestre 2026, les équipes GRC d'entreprises européennes jonglent simultanément avec trois corpus réglementaires : NIS2 pour la cybersécurité, DORA pour la résilience opérationnelle financière, EU AI Act pour la gouvernance de l'IA. Chacun a ses délais, ses autorités de contrôle, ses obligations propres. Mais leurs zones de chevauchement sont substantielles — et les organisations qui les traitent comme trois projets séparés dupliquent leurs efforts, épuisent leurs équipes et créent des incohérences documentaires qui fragilisent la conformité de chacun. Selon une étude du Forum GRC Europe publiée en 2026, les organisations ayant intégré leur programme multi-régulation réduisent leur charge documentaire de 38 % en moyenne, tout en améliorant leur score de maturité sur chaque cadre.
Trois régulations, une même infrastructure sous-jacente
NIS2 impose la gestion des risques cybersécurité, la surveillance des tiers, la notification d'incidents sous 24 heures. DORA impose la résilience opérationnelle numérique, la gestion des prestataires TIC, les tests de pénétration ciblés. EU AI Act impose la gouvernance des systèmes à risque élevé, la supervision humaine effective, l'auditabilité continue. Ces trois cadres partagent un socle commun non accidentel : registre des risques, cartographie des tiers critiques, chaîne d'audit, évaluation continue et documentation des systèmes. Une organisation qui traite ces obligations en silos produit trois registres distincts, trois politiques tiers, trois processus de notification — avec des définitions qui divergent à l'intérieur du même périmètre juridique.
La source du problème est souvent organisationnelle avant d'être documentaire. Dans beaucoup d'entreprises, les projets NIS2, DORA et EU AI Act ont été lancés par des équipes différentes — sécurité, risques financiers, direction juridique — avec des consultants différents, des outils différents, et sans coordination structurelle. Le résultat : un même prestataire cloud est évalué trois fois, sous trois questionnaires distincts, avec des résultats qui peuvent se contredire sans que personne ne le détecte.
Les quatre zones de chevauchement réel
Registre des tiers et chaîne de sous-traitance. NIS2 (article 21§3), DORA (articles 28-30) et EU AI Act (article 25) imposent chacun une cartographie des prestataires critiques avec des niveaux de due diligence variables. La définition de "prestataire critique" diffère selon le texte, mais les entités concernées se chevauchent massivement. Un prestataire cloud hébergeant un système d'IA financier peut tomber simultanément dans le périmètre DORA, NIS2 et EU AI Act — avec des équipes internes qui ne coordonnent pas leur évaluation, et des contrats qui ne couvrent les obligations que d'un seul cadre.
Notification d'incidents. NIS2 impose une première notification à l'ANSSI sous 24 h. DORA impose une notification aux autorités de supervision financière sous 4 h pour les incidents majeurs. EU AI Act impose une notification "sans délai injustifié" en cas de défaillance grave d'un système à risque élevé. Trois seuils, trois destinataires, trois formulaires. L'erreur documentée : un incident cybernétique touchant à la fois des systèmes financiers et un outil d'IA décisionnel est géré par trois équipes en parallèle, avec des déclarations qui décrivent différemment le même fait. Lors d'une investigation, cette incohérence est interprétée comme une défaillance de gouvernance — même si chaque obligation individuelle a techniquement été respectée.
Documentation des systèmes critiques. NIS2 exige la documentation des mesures de sécurité. DORA exige l'inventaire détaillé des actifs TIC. EU AI Act exige la documentation technique des systèmes à risque élevé. Si votre IA de scoring crédit s'exécute sur une infrastructure couverte par DORA, vous documentez le même environnement trois fois, sous trois terminologies différentes, pour trois autorités distinctes. La duplication n'est pas seulement inefficace — elle multiplie les points de désynchronisation.
Tests de résilience et audits. Les tests de pénétration ciblés DORA, les exercices de sécurité NIS2 et les tests de robustesse EU AI Act visent souvent la même infrastructure. Un test de résilience bien documenté peut alimenter les trois conformités — à condition que son périmètre ait été défini en tenant compte des trois référentiels. Sans coordination, les trois équipes commandent trois tests distincts sur le même périmètre, à des prestataires différents, à des dates décalées.
La méthode des trois strates
La rationalisation ne signifie pas fusionner ce qui doit rester séparé. Elle signifie construire une architecture documentaire à trois niveaux.
Strate 1 — Socle commun : registre de risques partagé, politique de gestion des tiers unifiée avec arbre de qualification (NIS2 / DORA / AI Act / chevauchement), catalogue des systèmes et actifs critiques, processus de notification d'incidents avec arbre de décision multi-régulation. Ces éléments alimentent les trois conformités sans duplication. Un seul registre tiers, mis à jour une fois, propage les informations aux trois référentiels.
Strate 2 — Modules spécifiques : chaque régulation ajoute ses obligations propres sur ce socle. NIS2 : mesures techniques de cybersécurité, plan de continuité, reporting ANSSI. DORA : tests TLPT, clauses contractuelles renforcées pour les prestataires TIC critiques, registre des concentrations. EU AI Act : évaluation des biais, effectivité de la supervision humaine en production, notification aux autorités nationales compétentes.
Strate 3 — Interfaces réglementaires : les documents finaux formatés selon les exigences de chaque autorité. Cette strate est la seule qui se triplique — et c'est acceptable, car elle s'appuie sur une base commune cohérente. L'erreur classique est d'opérer à l'envers : partir des formats attendus par les régulateurs pour construire en sens inverse. Cette approche produit inévitablement des silos, car les formats différents encodent implicitement des définitions différentes que les équipes finissent par traiter comme distinctes.
Trois signaux que vos silos coûtent
Votre responsable NIS2 et votre responsable DORA ne se parlent pas de façon structurée. Si la gestion des incidents cybernétiques n'inclut pas une décision systématique sur les obligations DORA applicables à l'événement, vous avez un silo opérationnel actif.
Vos prestataires reçoivent plusieurs questionnaires de due diligence distincts de différentes équipes de votre organisation. En plus d'être inefficace, ce signal révèle à vos partenaires une désorganisation interne — problème d'image pour une organisation dont la proposition de valeur repose sur la maîtrise des risques.
Votre documentation technique EU AI Act ne référence pas vos politiques NIS2, alors que vos systèmes d'IA s'exécutent sur une infrastructure qui en dépend. Cette incohérence documentaire est précisément ce que les premières inspections croisées — un inspecteur AI Act qui demande à voir la politique de sécurité de l'infrastructure — font remonter immédiatement.
Évaluer votre niveau de convergence
Un diagnostic de convergence peut se conduire en deux semaines : inventaire des systèmes et prestataires communs aux trois périmètres, analyse des incohérences entre les définitions utilisées dans chaque projet, cartographie des tests et audits réalisés pour identifier les doublons. Les organisations qui démarrent cette démarche maintenant — avec les premières vérifications EU AI Act prévues à l'automne 2026 — ont encore la fenêtre pour construire la strate socle avant d'être auditées sur chacun des trois cadres séparément. Presidio propose un module de mapping multi-régulation qui automatise la propagation d'un registre de risques commun vers les trois référentiels. Pour qualifier votre niveau de convergence actuel, voir aussi notre analyse sur la gouvernance des tiers sous NIS2 et les lacunes structurelles EU AI Act, ou contacter notre équipe pour un entretien de 30 minutes.
Conclusion
NIS2, DORA et EU AI Act ne sont pas trois projets — ils sont trois vues sur le même risque opérationnel numérique. Les organisations qui ont compris cela avant les premières inspections croisées ont un avantage structurel : leurs équipes ne dupliquent pas, leurs registres ne se contredisent pas, et leur réponse aux incidents est cohérente quel que soit le régulateur qui pose la question. Les deuxièmes vagues d'audit de 2026-2027 ne feront que creuser l'écart entre ceux qui ont architecturé leur programme GRC et ceux qui l'ont assemblé en urgence. La question n'est pas si vous convergerez. C'est à quel coût vous attendrez pour le faire.