Depuis l'entrée en application du règlement DORA en janvier 2025 et de la directive NIS2 transposée en droit national, les RSSI et DSI sont confrontés à un nouveau défi : articuler deux textes européens exigeants en matière de cybersécurité et de résilience numérique.
Mais DORA et NIS2 ne sont pas des doublons. Ils se complètent. Comprendre leurs points communs, leurs différences et leurs zones d'articulation est indispensable pour bâtir un système d'information conforme et résilient.
À plus de 6 mois d'application, nous avons une vision qui s'affine de l'articulation entre ces deux textes. En effet, si certains y voient une duplication d'efforts, d'autres comprennent qu'ensemble, ils constituent un socle cohérent de cybersécurité européenne.
01. Objectifs comparés : deux logiques complémentaires
02. Périmètre d’application
03. Obligations principales
04. Qui supervise quoi ?
05. Points de convergence
06. Différences structurantes
07. Articuler DORA et NIS2 : mode d’emploi
08. Conseils pratiques pour les RSSI et DSI
09. En conclusion
10. FAQ
DORA : Assurer la résilience opérationnelle numérique des entités financières, y compris via leurs prestataires TIC.
NIS2 : Renforcer la cybersécurité des secteurs critiques au niveau européen, en incluant notamment les services financiers.
En clair :
DORA
S’applique exclusivement aux entités financières (banques, assurances, sociétés de gestion, plateformes crypto, etc.) et à leurs prestataires IT critiques (cloud, SaaS, data centers…).
Environ 22 000 entités concernées dans l’UE.
NIS2
S’applique à un large éventail de secteurs critiques, dont le secteur financier fait partie. Elle concerne aussi bien les entités essentielles que les entités importantes selon des critères de taille et d’impact.
Environ 160 000 entités concernées dans l’UE.
À retenir : un acteur financier peut être doublement supervisé : par une autorité sectorielle européenne (DORA) et une autorité nationale (NIS2).
Culture du risque : les deux textes renforcent la responsabilisation des directions générales sur la cybersécurité.
Notification d'incident : obligation de déclarer tout incident significatif dans des délais courts.
Documentation & preuves : les entités doivent démontrer leurs actions (auditabilité, registres, politiques à jour).
Gestion des prestataires TIC : bien que DORA aille plus loin, NIS2 impose aussi une vigilance accrue.
Elle est :
Elle devra :
Au-delà de cette démarche, il faut construire une régularité dans les contrôles, un budget pour anticiper la sécurité dans le développement du SI et inscrire une démarche d'amélioration continue.
DORA et NIS2 ne s'opposent pas. Ensemble, ils structurent une nouvelle ère de cybersécurité en Europe.
Pour les acteurs financiers, DORA est le cadre de résilience opérationnelle à respecter en priorité. NIS2 est un complément généraliste qui impose de décloisonner la cybersécurité au sein de l'organisation.
Résilience, souveraineté, responsabilité : ce sont les maîtres-mots de cette convergence réglementaire.
N'oublions jamais que l'incident coûte plus cher que la mise en place de mesures de cybersécurité. C'est pour cette raison que les régulateurs imposent la mise en place d'un cadre de gestion des risques cohérent : connaître ses risques et appliquer les bonnes mesures selon le principe de proportionnalité.
Se faire accompagner, c'est, dans une période transitoire, se doter des meilleures chances d'atteindre le niveau requis de conformité sur les deux textes. Notre expérience dans les domaines financier et assurantiels nous a démontré que l'identification des bonnes guidelines est un point essentiel.
Faut-il se conformer aux deux textes ? Oui, s'ils s'appliquent à votre organisation. Le secteur financier est concerné par les deux dans la majorité des cas.
Comment savoir si je dois faire des TLPT ? Si vous êtes une entité financière critique (au sens DORA), les tests d'intrusion fondés sur les menaces sont obligatoires tous les 3 ans.
Mon fournisseur cloud est-il concerné ? S'il est considéré comme prestataire critique (DORA), il sera supervisé directement par les autorités européennes. Même sans cela, vous devez contractualiser des obligations spécifiques.
Comment éviter la duplication d'efforts ? En menant une cartographie croisée des exigences et en instaurant une gouvernance unifiée pour piloter les deux conformités.
Quels sont les délais de notification différents ? DORA impose une notification sous 4h, NIS2 sous 24h puis un rapport technique sous 72h. Les processus peuvent être coordonnés.
Nous vous aidons à :