DORA et NIS 2 : les différences entre les deux textes

Le règlement DORA et la directive NIS 2 portent la même date : le 14 décembre 2022, et ont été publiés ensemble au Journal officiel du 27 décembre 2022. Ils font partie du même effort européen pour élever le niveau de cybersécurité, mais par des voies différentes :

• NIS 2 fixe des exigences de cybersécurité pour les entités essentielles et importantes de 18 secteurs (énergie, transports, santé, numérique, administration…), dont le secteur bancaire et les infrastructures des marchés financiers. Comme toute directive, elle doit être transposée par chaque État membre.
• DORA fixe des exigences détaillées de résilience opérationnelle numérique pour 20 catégories d'entités financières, dont l'assurance et la gestion d'actifs, que NIS 2 ne vise pas. Comme tout règlement, il s'applique directement.

Pour aller plus loin sur NIS 2 elle-même, consultez notre guide NIS 2 et nos articles sur les secteurs concernés par NIS 2 et l'évolution de NIS à NIS 2.

L'article 4 de NIS 2 prévoit que, lorsqu'un acte juridique sectoriel de l'Union impose à des entités essentielles ou importantes des mesures de gestion des risques ou des obligations de notification d'incidents au moins équivalentes à celles de la directive, ce sont les dispositions de cet acte qui s'appliquent. L'article 1er, paragraphe 2, de DORA indique précisément que, pour les entités financières identifiées comme essentielles ou importantes au titre de NIS 2, DORA est considéré comme un tel acte sectoriel.

Concrètement, une banque qui serait une entité essentielle au titre de NIS 2 applique DORA, et non les articles 21 et 23 de NIS 2, pour la gestion de ses risques et la notification de ses incidents. Le lien entre les deux régimes est maintenu par les autorités : DORA prévoit que l'autorité financière transmet les notifications d'incidents aux autorités et centres de réponse aux incidents désignés au titre de NIS 2.

Les montants de NIS 2 sont les plafonds minimaux que chaque État doit prévoir ; notre article sur les sanctions de NIS 2 les détaille.

Les deux régimes se rencontrent surtout chez les prestataires. Un hébergeur, un éditeur de logiciel en ligne ou un fournisseur de services gérés peut être une entité essentielle ou importante au titre de NIS 2, dans les secteurs des infrastructures numériques ou de la gestion des services TIC, tout en recevant de ses clients financiers les exigences contractuelles de DORA. Et s'il est désigné prestataire critique, il est en plus supervisé par une autorité européenne.

Notre article risques tiers : ce qu'exigent NIS 2 et DORA compare en détail les exigences des deux textes, et du RGPD, vis-à-vis des fournisseurs.

DORA s'applique en France depuis le 17 janvier 2025, sans attendre de loi. NIS 2, en revanche, devait être transposée avant le 17 octobre 2024 : au 9 octobre 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, attend toujours son examen en séance à l'Assemblée nationale. Ce projet transpose aussi la directive (UE) 2022/2556 qui accompagne DORA. Le point complet est dans notre article sur la loi résilience.

Un groupe qui compte à la fois des entités financières et des entités non financières (une filiale informatique, une activité de santé…) peut se retrouver avec DORA, NIS 2 et ISO 27001 sur des périmètres différents. Les exigences se recoupent largement : analyse de risques, politique de sécurité, gestion des incidents, continuité, maîtrise des fournisseurs. La bonne pratique consiste à construire un socle commun, par exemple un SMSI ISO 27001, puis à ajouter les exigences propres à chaque texte.

Pour finir, le glossaire DORA rassemble les définitions du règlement.