Dans les services financiers, DORA s’applique à la place de NIS2. NIS2 ne cite que trois types d’entités financières : les établissements de crédit, les opérateurs de plateformes de négociation et les contreparties centrales. Pour ces entités, DORA remplace les règles de NIS2 sur la gestion des risques, la notification des incidents et la supervision. Les assureurs, les entreprises d’investissement, les établissements de paiement et les gestionnaires de fonds ne sont pas du tout des entités NIS2 : seul DORA s’applique.
Ce guide NIS2 et DORA présente les entreprises financières que cite NIS2, la manière dont DORA l’écarte, les exigences et les délais de DORA, une comparaison, les prestataires TIC critiques, CER, les fournisseurs TIC et une liste de contrôle.
| Type d’entreprise | Dans l’annexe I de NIS2 ? | Dans DORA ? | Ce que vous appliquez |
|---|---|---|---|
| Établissement de crédit (banque) | Oui, point 3 | Oui | DORA ; NIS2 à la marge |
| Opérateur de plateforme de négociation ou contrepartie centrale | Oui, point 4 | Oui | DORA ; NIS2 à la marge |
| Entreprise d’investissement, établissement de paiement ou de monnaie électronique | Non | Oui | DORA |
| Entreprise d’assurance ou de réassurance, gestionnaire de FIA ou société de gestion d’OPCVM | Non | Oui | DORA |
| Dépositaire central de titres, prestataire de services sur crypto-actifs | Non | Oui | DORA |
| Prestataire TIC d’entités financières | Souvent (cloud, centre de données, MSP) | Par les contrats | NIS2 directement, plus les clauses DORA |
NIS2 s’applique-t-elle aux services financiers ?
Seulement à trois types d’entités, dans deux secteurs de l’annexe I :
- Point 3, secteur bancaire : les établissements de crédit au sens de l’article 4, point 1), du règlement (UE) n° 575/2013.
- Point 4, infrastructures des marchés financiers : les opérateurs de plateformes de négociation au sens de l’article 4, point 24), de la directive 2014/65/UE, et les contreparties centrales au sens de l’article 2, point 1), du règlement (UE) n° 648/2012.
La liste s’arrête là. Les assureurs, les entreprises d’investissement, les établissements de paiement, les gestionnaires de fonds et les dépositaires centraux de titres ne figurent dans aucune des deux annexes. Les lignes directrices de la Commission de 2023 sur l’article 4 confirment que les types d’entités couverts à la fois par NIS2 et par DORA comprennent les établissements de crédit, les plateformes de négociation et les contreparties centrales.
Pour ces trois types, les règles habituelles de champ d’application valent : les entités de taille moyenne ou plus relèvent de NIS2 (article 2, paragraphe 1), et celles qui dépassent les plafonds applicables aux moyennes entreprises sont essentielles (article 3). Deux cas particuliers :
- Une entité critique au sens de la directive CER relève de NIS2 quelle que soit sa taille (article 2, paragraphe 3) et est essentielle (article 3, paragraphe 1, point f)).
- NIS2 ne s’applique pas aux entités qu’un État membre a exclues de DORA en vertu de l’article 2, paragraphe 4, de DORA (article 2, paragraphe 10).
Les règles générales sont exposées dans le guide du champ d’application de NIS2 ; le vérificateur de périmètre NIS2 donne une première réponse.
NIS2 et DORA : lequel s’applique à une banque ?
DORA, pour presque tout. L’article 4, paragraphe 1, de NIS2 prévoit que, lorsqu’un acte juridique sectoriel de l’Union impose des mesures de gestion des risques ou des obligations de notification d’incidents ayant un effet au moins équivalent, les dispositions pertinentes de NIS2, y compris celles relatives à la supervision et à l’exécution, ne s’appliquent pas. L’article 1er, paragraphe 2, de DORA dispose que, pour les entités financières identifiées comme entités essentielles ou importantes en vertu des dispositions nationales transposant l’article 3 de NIS2, DORA « est considéré comme un acte juridique sectoriel de l’Union aux fins de l’article 4 ». Le considérant 16 de DORA le qualifie de lex specialis.
Le considérant 28 de NIS2 en tire la conséquence : les dispositions de DORA sur la gestion du risque lié aux TIC, la gestion et la notification des incidents, les tests de résilience, le partage d’informations et le risque lié aux prestataires tiers de services TIC « devraient s’appliquer au lieu de celles prévues par la présente directive ».
En pratique, une banque n’applique pas les mesures de l’article 21 en plus de DORA, n’envoie pas d’alertes précoces NIS2 et rend des comptes à son autorité de surveillance financière. Selon les lignes directrices de la Commission, l’article 20 sur les organes de direction ne devrait pas s’appliquer non plus ; l’article 5 de DORA remplit ce rôle.
Ce que NIS2 continue de faire pour une entité DORA
- Identification. L’article 1er, paragraphe 2, de DORA est construit autour des entités identifiées au titre de l’article 3 de NIS2. Selon les lignes directrices de la Commission, les dispositions de NIS2 sur la liste et l’enregistrement (article 3, paragraphe 3, et article 27, paragraphe 2) ne devraient pas s’appliquer à ces entités, mais les États membres peuvent tout de même les inscrire sur leur liste. Vérifiez votre droit national.
- Informations sur les incidents. L’autorité de surveillance DORA transmet les détails des incidents majeurs aux autorités NIS2, aux points de contact uniques ou aux CSIRT (article 19, paragraphe 6, de DORA). Les États membres peuvent aussi exiger que les entités envoient leurs rapports DORA aux autorités NIS2 ou aux CSIRT (article 19, paragraphe 1).
- Gestion de crise. Selon les lignes directrices, les cadres nationaux de gestion des crises cyber de NIS2 (article 9) et EU-CyCLONe (article 16) devraient continuer de s’appliquer.
- Délais. Les banques, les plateformes de négociation, les contreparties centrales et les autres entités NIS2 perdent un report de week-end prévu par DORA pour la notification initiale et le rapport intermédiaire, comme expliqué plus bas.
Qu’exige DORA ?
DORA, le règlement (UE) 2022/2554, s’applique directement dans chaque État membre depuis le 17 janvier 2025 (article 64).
L’article 2, paragraphe 1, énumère 20 types d’entités financières, plus les prestataires tiers de services TIC. On y trouve les banques, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les infrastructures de marché, les prestataires de services sur crypto-actifs, les gestionnaires de fonds, les entreprises d’assurance et les intermédiaires d’assurance, les institutions de retraite professionnelle, les agences de notation de crédit, les administrateurs d’indices de référence d’importance critique et les prestataires de services de financement participatif. L’article 2, paragraphe 3, exclut notamment les petits gestionnaires de FIA, les petites entreprises d’assurance et les intermédiaires d’assurance qui sont des PME.
| Pilier | Chapitre de DORA | Obligation principale |
|---|---|---|
| Gestion du risque lié aux TIC | II (articles 5 à 16) | Cadre documenté, réexaminé au moins une fois par an |
| Notification des incidents | III (articles 17 à 23) | Classer les incidents, déclarer les incidents majeurs |
| Tests de résilience | IV (articles 24 à 27) | Tests annuels pour les fonctions critiques ou importantes ; TLPT pour les entités sélectionnées |
| Risque lié aux prestataires tiers de services TIC | V (articles 28 à 44) | Registre, risque de concentration, clauses contractuelles, supervision des prestataires critiques |
| Partage d’informations | VI (article 45) | Partage volontaire d’informations sur les cybermenaces |
L’organe de direction assume la responsabilité ultime de la gestion du risque lié aux TIC (article 5, paragraphe 2), et ses membres doivent maintenir activement leurs connaissances à jour, notamment en suivant régulièrement une formation spécifique (article 5, paragraphe 4). Les tests de pénétration fondés sur la menace (TLPT) sont exigés au moins tous les trois ans, et uniquement pour les entités que l’autorité de surveillance identifie (article 26).
Quels sont les délais de notification des incidents DORA ?
Un incident majeur lié aux TIC est déclaré à l’autorité de surveillance financière en trois étapes (article 19, paragraphe 4, de DORA). L’article 5 du règlement délégué (UE) 2025/301 fixe les délais :
| Rapport | Délai DORA | NIS2, pour comparaison |
|---|---|---|
| Notification initiale | 4 heures après la classification de l’incident comme majeur, au plus tard 24 heures après la prise de connaissance | Alerte précoce dans les 24 heures |
| Rapport intermédiaire | 72 heures après la notification initiale, même si rien n’a changé | Notification d’incident dans les 72 heures |
| Rapport final | Un mois après le dernier rapport intermédiaire | Un mois après la notification d’incident |
La classification suit le règlement délégué (UE) 2024/1772 ; les modèles figurent dans le règlement d’exécution (UE) 2025/302. Si un incident n’est classé comme majeur qu’après les premières 24 heures, la notification initiale est due dans les 4 heures suivant la classification (article 5, paragraphe 2). Un délai qui tombe un week-end ou un jour férié peut être respecté jusqu’à midi le jour ouvrable suivant, sauf pour la notification initiale et le rapport intermédiaire des établissements de crédit, des contreparties centrales, des opérateurs de plateformes de négociation et des autres entités identifiées comme essentielles ou importantes au titre de NIS2. Les clients dont les intérêts financiers sont affectés doivent en être informés sans retard injustifié (article 19, paragraphe 3, de DORA).
Le premier rapport des AES (autorités européennes de surveillance) sur les incidents majeurs DORA (juin 2026, portant sur 2025) en a recensé 3 383. Seuls 10 % étaient liés à la cybersécurité ; les défaillances de systèmes et les événements externes en étaient les principales causes. Un processus qui ne cherche que des attaquants passe à côté de la plupart des incidents à déclarer. Les étapes NIS2 sont détaillées dans le calendrier de notification des incidents NIS2.
NIS2 et DORA : quelles différences ?
| NIS2 | DORA | |
|---|---|---|
| Forme juridique | Directive, lois nationales devant s’appliquer à partir du 18 octobre 2024 | Règlement, directement applicable depuis le 17 janvier 2025 |
| Champ financier | Établissements de crédit, opérateurs de plateformes de négociation, contreparties centrales | 20 types d’entités financières |
| Gestion des risques | Dix mesures minimales, approche « tous risques » (art. 21) | Cadre de gestion du risque lié aux TIC (art. 5 à 16) |
| Notification des incidents | 24 heures, 72 heures, un mois (art. 23) | 4 heures après la classification (24 heures au plus après la prise de connaissance), 72 heures, un mois |
| Tests | Politiques d’évaluation de l’efficacité (art. 21, par. 2, point f)) | Tests annuels ; TLPT au moins tous les trois ans pour les entités sélectionnées |
| Risque lié aux tiers | Sécurité de la chaîne d’approvisionnement (art. 21, par. 2, point d), et par. 3) | Registre, risque de concentration, clauses obligatoires, supervision des prestataires critiques |
| Autorités de surveillance | Autorités NIS2 nationales | Autorités de surveillance financière, BCE pour les banques importantes ; AES pour les prestataires TIC critiques |
| Sanctions | Maximum d’au moins 10 000 000 EUR ou 2 % du chiffre d’affaires (entités essentielles), 7 000 000 EUR ou 1,4 % (entités importantes) (art. 34) | Fixées par les États membres (art. 50) ; prestataires TIC critiques : astreintes journalières jusqu’à 1 % du chiffre d’affaires quotidien moyen réalisé au niveau mondial |
Registre d’informations et supervision des prestataires critiques : de quoi s’agit-il ?
Le registre. L’article 28, paragraphe 3, impose à chaque entité financière de tenir un registre d’informations sur tous les accords contractuels portant sur des services TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Au moins une fois par an, l’entité communique les nouveaux accords à son autorité de surveillance ; le registre complet est transmis sur demande. Les modèles figurent dans le règlement d’exécution (UE) 2024/2956. L’article 29 impose une évaluation du risque de concentration avant de conclure un contrat pour des fonctions critiques ou importantes, par exemple lorsqu’un prestataire n’est pas facilement substituable. DORA ne fixe aucun plafond de concentration.
Prestataires tiers critiques de services TIC. Les AES les désignent et attribuent à chacun un superviseur principal (article 31). Le 18 novembre 2025, elles ont publié la première liste : 19 prestataires dans le cloud, les centres de données, les télécommunications, les données de marché et les services informatiques. Un superviseur principal peut imposer des astreintes journalières allant jusqu’à 1 % du chiffre d’affaires quotidien moyen réalisé au niveau mondial, pendant six mois au maximum (article 35). Lorsqu’un tel prestataire est aussi une entité essentielle au titre de NIS2, l’autorité NIS2 doit informer le forum de supervision de DORA lorsqu’elle prend des mesures de supervision ou d’exécution (article 32, paragraphe 10, de NIS2).
Où s’inscrit la directive CER ?
La directive (UE) 2022/2557 (CER) sur la résilience des entités critiques vise les risques autres que cyber ; les questions couvertes par NIS2 en sont exclues (article 1er, paragraphe 2, de CER). Ce n’est pas le règlement sur la cyberrésilience (CRA), qui encadre les produits comportant des éléments numériques (voir l’obligation de signalement du CRA). L’annexe de CER cite les mêmes types d’entités financières que NIS2.
- Recensement. Les États membres devaient recenser les entités critiques au plus tard le 17 juillet 2026 (article 6, paragraphe 1). Cette date est passée ; les entités recensées en reçoivent notification dans un délai d’un mois (article 6, paragraphe 3).
- Peu d’obligations directes. En vertu de l’article 8, les États membres « veillent à ce que l’article 11 et les chapitres III, IV et VI ne s’appliquent pas » aux entités critiques des secteurs des banques, des infrastructures des marchés financiers et des infrastructures numériques. Une banque recensée comme entité critique n’a pas d’obligations CER d’évaluation des risques, de mesures de résilience, de vérification des antécédents ni de notification d’incidents, sauf si le droit national les ajoute. Le cadre national du chapitre II continue de s’appliquer (considérant 21).
- Le lien avec NIS2. Une entité critique relève de NIS2 quelle que soit sa taille (article 2, paragraphe 3, de NIS2) et est essentielle (article 3, paragraphe 1, point f)). Pour un établissement de crédit en dessous du seuil de taille de NIS2, c’est le recensement au titre de CER qui le fait entrer dans le champ. DORA s’applique néanmoins à la place de NIS2 pour la gestion des risques et la notification.
Que change DORA pour les prestataires TIC des entités financières ?
Un prestataire TIC n’est pas une entité financière, mais DORA l’atteint par les contrats. Les entités financières ne peuvent recourir qu’à des prestataires TIC qui respectent des normes adéquates en matière de sécurité de l’information (article 28, paragraphe 5), et l’article 30 énumère ce que le contrat doit contenir. Les fournisseurs de cloud, de centres de données et de services gérés peuvent aussi être des entités NIS2 à part entière.
DORA, ARTICLE 30 : CLAUSES AUXQUELLES UN PRESTATAIRE TIC DOIT S'ATTENDRE
Tous les contrats de services TIC (art. 30, par. 2)
[ ] Services décrits ; conditions de sous-traitance pour les
fonctions critiques ou importantes
[ ] Lieux des services et des données ; préavis en cas de
changement
[ ] Disponibilité, authenticité, intégrité, confidentialité
des données
[ ] Accès aux données et restitution en cas d'insolvabilité
ou de résiliation
[ ] Description des niveaux de service
[ ] Assistance en cas d'incident sans frais supplémentaires
ou à un coût déterminé ex ante
[ ] Coopération pleine avec les autorités de surveillance
du client
[ ] Droits de résiliation et délais de préavis minimaux
[ ] Participation aux formations de sensibilisation à la
sécurité du client
Fonctions critiques ou importantes, en plus (art. 30, par. 3)
[ ] Objectifs de performance quantitatifs et qualitatifs précis
[ ] Notification des évolutions pouvant affecter le service
[ ] Plans d'urgence testés et mesures de sécurité des TIC
[ ] Participation aux TLPT du client
[ ] Droits illimités d'accès, d'inspection et d'audit
[ ] Stratégie de sortie avec une période de transition
adéquate obligatoireEn pratique, ce sont les droits d’audit, la coopération aux TLPT et l’assistance en cas d’incident qui coûtent le plus à un fournisseur. Une approche raisonnable consiste à tout préparer une fois : un avenant DORA type, une liste des sous-traitants et des lieux, un engagement de notification d’incident qui laisse à votre client le temps de tenir son délai de 4 heures, et un dossier de preuves. La négociation de ces annexes est expliquée dans l’annexe de sécurité, clause par clause ; le volet NIS2 dans la sécurité de la chaîne d’approvisionnement NIS2.
Ce que DORA laisse en suspens dans la pratique
- L’horloge exige des horodatages. Une autorité de surveillance demandera quand vous avez pris connaissance de l’incident et quand vous l’avez classé. La réponse doit venir des enregistrements des systèmes, pas de la mémoire.
- La classification exige des chiffres. S’il faut une journée pour compter les clients touchés, le plafond de 24 heures est déjà dépassé.
- Le registre s’écarte de la réalité. Construit à partir des données d’achat, il omet les services payés par carte et les sous-traitants de vos prestataires.
- Les fonctions exigent une cartographie. Les tests, le registre et la classification supposent tous de savoir quels systèmes soutiennent quelle fonction critique ou importante.
- Les groupes ont besoin d’un processus unique. Un groupe comprenant une banque soumise à DORA et une filiale soumise à NIS2 a besoin d’un seul processus d’incident, qui oriente chaque cas vers le bon régime.
Tout cela, ce sont des preuves conservées dans vos propres systèmes. Collectées en continu, avec une personne qui examine les exceptions, elles sont prêtes quand l’autorité de surveillance les demande. C’est ainsi que fonctionne la plateforme CloudSoul : une plateforme automatisée, avec une expertise humaine dans la boucle. Le programme complet se trouve sur la page conformité NIS2.
Liste de contrôle NIS2 et DORA pour les entreprises financières
- Vérifiez votre type d’entité au regard de l’annexe I de NIS2 et de l’article 2, paragraphe 1, de DORA.
- Si vous êtes une banque, une plateforme de négociation ou une contrepartie centrale, vérifiez comment votre loi nationale NIS2 traite l’inscription des entités DORA sur la liste.
- Demandez à votre autorité de surveillance si vous avez été recensé comme entité critique au titre de CER.
- Testez la classification des incidents au regard des délais DORA, y compris un week-end.
- Rapprochez le registre d’informations des services TIC réellement utilisés.
- Rattachez les systèmes TIC aux fonctions critiques ou importantes et planifiez les tests annuels.
- Examinez les contrats TIC au regard de l’article 30, en commençant par les fonctions critiques ou importantes.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 4, 9, 16, 20, 21, 23, 27, 32 (paragraphe 10), 34 et 41, considérant 28, annexe I, points 3 et 4, EUR-Lex.
- Règlement (UE) 2022/2554 (DORA), articles 1er, 2, 5, 6, 19, 24, 26, 28 à 31, 35, 45, 46, 50 et 64, considérant 16, EUR-Lex.
- Règlement délégué (UE) 2025/301 de la Commission, article 5, EUR-Lex.
- Règlement d’exécution (UE) 2025/302 de la Commission, EUR-Lex.
- Règlement délégué (UE) 2024/1772 de la Commission, EUR-Lex.
- Règlement d’exécution (UE) 2024/2956 de la Commission, EUR-Lex.
- Directive (UE) 2022/2557 (CER), articles 1er, 6 et 8, considérant 21 et annexe, EUR-Lex.
- Lignes directrices de la Commission sur l’application de l’article 4, paragraphes 1 et 2, de la directive (UE) 2022/2555, 2023/C 328/02, EUR-Lex.
- AES, désignation des prestataires tiers critiques de services TIC, 18 novembre 2025, EBA.
- AES, premier rapport sur les incidents majeurs liés aux TIC au titre de DORA, 3 juin 2026, EBA.
Questions fréquentes
NIS2 s'applique-t-elle aux banques ?
Les établissements de crédit figurent à l'annexe I de NIS2 : une banque de taille moyenne ou plus est donc une entité essentielle ou importante. Mais DORA est un acte juridique sectoriel au sens de l'article 4 de NIS2 : la banque suit donc DORA pour la gestion du risque lié aux TIC, la notification des incidents, les tests, le risque lié aux tiers et la supervision.
NIS2 s'applique-t-elle aux assureurs, aux entreprises d'investissement ou aux établissements de paiement ?
Non. Dans le secteur financier, NIS2 ne vise que les établissements de crédit, les opérateurs de plateformes de négociation et les contreparties centrales. Les assureurs, les entreprises d'investissement, les établissements de paiement et de monnaie électronique et les gestionnaires de fonds relèvent de DORA, applicable depuis le 17 janvier 2025.
Quels sont les délais de notification des incidents DORA ?
La notification initiale est due dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir pris connaissance. Le rapport intermédiaire suit dans les 72 heures suivant la notification initiale, et le rapport final dans le mois suivant le dernier rapport intermédiaire.
La directive CER est-elle la même chose que le règlement sur la cyberrésilience ?
Non. CER est la directive (UE) 2022/2557 sur la résilience des entités critiques face aux risques autres que cyber. Le règlement sur la cyberrésilience (CRA) est le règlement (UE) 2024/2847 relatif aux produits comportant des éléments numériques.
DORA s'applique-t-il aux prestataires TIC ?
Par leurs contrats : l'article 30 énumère les clauses que chaque entité financière doit inclure dans ses contrats de services TIC. Les prestataires désignés comme critiques par les autorités européennes de surveillance (AES), 19 dans la première liste de novembre 2025, font aussi l'objet d'une supervision directe.
