Guide NIS2 · 8 min
NIS2 vs DORA : en quoi ils diffèrent, où ils se recoupent, et lequel s'applique à vous
NIS2 et DORA sont les deux régimes européens de cyberrésilience qui ont le plus de chances d'atterrir sur le même bureau en 2026, et on les confond sans arrêt. Ils visent le même but (la résilience opérationnelle et cyber) et s'appuient sur bon nombre des mêmes contrôles, mais ils ciblent des organisations différentes, et pour le secteur financier, l'un l'emporte là où ils se télescopent. Ce guide expose la différence, le recoupement et la façon de savoir lequel est le vôtre, avec une réponse nette pour les équipes chaîne d'approvisionnement et tierces parties qui finissent par servir des clients relevant des deux.
Points clés
- NIS2 est large et transsectoriel ; DORA est le régime propre au secteur financier, centré sur les TIC.
- Pour les entités financières, DORA est lex specialis. Il prime sur les dispositions NIS2 qui se recoupent.
- Dans les deux cas, ils vous rendent responsable du risque tiers et attendent une assurance continue, pas annuelle.
Ce qu'est chacun
Tous deux sont issus du même paquet européen de résilience de 2022, mais ce sont des instruments différents visant des populations différentes.
NIS2 : large, transsectoriel
Une directive (transposée en droit national, échéance 17 octobre 2024) couvrant les entités essentielles et importantes dans l'énergie, les transports, la santé, l'eau, l'infrastructure numérique, l'administration publique, l'industrie manufacturière et plus encore. Elle fixe une base de mesures de gestion des risques (art. 21) et de notification d'incidents (art. 23).
DORA : secteur financier, centré TIC
Un règlement (directement applicable, applicable depuis le 17 janvier 2025) pour le secteur financier de l'UE (banques, assureurs, entreprises d'investissement, prestataires de crypto-actifs et plus) ainsi que la surveillance de leurs prestataires TIC tiers critiques. Il fixe des règles détaillées de gestion du risque TIC, de tests de résilience et de gouvernance des tiers.
Où ils se recoupent
Mettez l'un en œuvre correctement et une bonne part de l'autre vous semblera familière. Tous deux exigent :
- Responsabilité de la direction : la direction doit assumer et superviser le risque cyber/TIC, et peut en être tenue responsable.
- Mesures de gestion des risques : des contrôles documentés et proportionnés sur tout le cycle de vie de la sécurité.
- Notification d'incidents : une notification structurée aux autorités selon des délais définis.
- Risque tiers et de chaîne d'approvisionnement. Vous répondez du risque cyber que vos prestataires apportent.
- Tests et amélioration continue : la résilience se juge dans la durée, elle n'est pas certifiée une fois puis rangée.
La règle clé : DORA est lex specialis pour les entités financières
Les deux régimes ont été rédigés pour ne pas réglementer en double. Pour une entité financière, DORA est lex specialis : la loi plus spécifique qui prime. Là où DORA et NIS2 couvriraient le même terrain de gestion du risque TIC ou de notification d'incidents, ce sont les exigences de DORA qui s'appliquent et les dispositions NIS2 équivalentes ne s'empilent pas par-dessus.
En pratique, une banque ne mène pas deux programmes cyber parallèles. Elle suit DORA pour le risque TIC, les tests, la notification d'incidents et la surveillance des tiers. NIS2 façonne toujours l'écosystème autour d'elle (bon nombre de ses fournisseurs compris) mais sur les sujets qui se recoupent, l'entité financière elle-même est régie par DORA.
Lex specialis s'applique là où l'acte sectoriel impose des exigences au moins équivalentes à NIS2. La frontière peut être nuancée pour les groupes mixtes ; confirmez votre statut auprès de votre autorité compétente.
Voyez comment vos fournisseurs se situent réellement
7 jours gratuits · sans carte bancaire · annulez à tout moment
Lequel s'applique à vous ?
Une aide à la décision rapide. Pour beaucoup d'organisations, la réponse honnête est « l'un directement, l'autre via vos clients ».
Une entité financière (banque, assureur, entreprise d'investissement, prestataire de crypto-actifs…)
DORA s'applique en tant que lex specialis à votre risque TIC ; les dispositions NIS2 équivalentes ne s'ajoutent pas par-dessus.
Une entité d'un secteur critique hors finance (énergie, santé, transports, eau, infrastructure numérique, administration publique…)
NIS2 s'applique. Vérifiez les secteurs de l'annexe I/II et les seuils de taille pour confirmer votre niveau.
Un prestataire TIC d'entités financières
Le régime des tiers de DORA vous atteint via les contrats de vos clients, et les plus grands prestataires peuvent être désignés critiques et surveillés directement par les AES. Si vous êtes aussi un prestataire TIC ou de services gérés de l'annexe I, vous pouvez relever aussi de NIS2.
Un fournisseur d'une entité NIS2
L'obligation de chaîne d'approvisionnement de NIS2 (art. 21(2)(d)) vous atteint via la diligence de vos clients (questionnaires, demandes de preuves, monitoring continu) même non désigné.
L'essentiel pour les équipes chaîne d'approvisionnement
Que votre client relève de DORA ou de NIS2, l'exigence à votre égard converge. Tous deux rendent les organisations responsables du risque cyber de leurs prestataires, et tous deux traitent la résilience comme une chose évaluée en continu plutôt qu'attestée une fois par an. La question pour un fournisseur est donc rarement « NIS2 ou DORA ? ». C'est « puis-je démontrer, à la demande, que ma sécurité tient ? »
C'est pourquoi l'assurance tierce devient continue des deux côtés de la ligne. Le registre d'informations DORA d'une banque et le programme fournisseurs NIS2 d'un industriel demandent à leurs fournisseurs la même chose : une preuve actuelle et étayée du niveau de sécurité, pas un tableur qui était vrai au printemps dernier.
Sources : Règlement (UE) 2022/2554 (DORA) et directive (UE) 2022/2555 (NIS2). Confirmez la frontière de recoupement auprès de votre autorité nationale compétente et des orientations des AES.
Comment norppa.io aide
norppa.io vous donne l'assurance continue et étayée sur vos fournisseurs et prestataires TIC que NIS2 comme DORA attendent désormais. Chaque domaine surveillé est vérifié sur plus de cent points de contrôle chaque jour, les plus sensibles toutes les six heures, avec des constats prêts à exporter vers votre registre d'informations DORA ou votre dossier fournisseur NIS2.
Les questionnaires d'auto-évaluation captent les contrôles de processus et contractuels, et chaque réponse est placée à côté du profil technique en direct. De sorte que, que l'auditeur de votre client cite DORA ou NIS2, vous pouvez présenter des preuves actuelles et corroborées plutôt que des affirmations.