DORA ou NIS2
Comparaison du cadre de l’UE sur la résilience numérique du secteur financier et de sa directive transsectorielle sur la cybersécurité
Comparaison rapide
Vue d’ensemble côte à côte des principales dimensions réglementaires
| Dimension | DORA | NIS2 |
|---|---|---|
| Instrument juridique | Règlement (UE) 2022/2554, directement applicable dans tous les États membres | Directive (UE) 2022/2555, qui doit être transposée par chaque État membre |
| Champ d’application | Secteur financier uniquement : banques, assureurs, entreprises d’investissement, établissements de paiement, prestataires de services sur crypto-actifs et prestataires tiers critiques de services TIC | Transsectoriel : entités essentielles et importantes de 18 secteurs, dont l’énergie, les transports, la santé, les infrastructures numériques, l’administration publique, etc. |
| Objectif principal | Garantir la résilience opérationnelle numérique des entités financières face aux perturbations TIC et aux cyberattaques | Atteindre un niveau élevé commun de cybersécurité des réseaux et systèmes d’information dans toute l’UE |
| Gestion des risques | Cadre détaillé de gestion du risque lié aux TIC, avec des exigences prescriptives d’identification, de protection, de détection, de réponse, de rétablissement et d’apprentissage | Approche fondée sur les risques, exigeant des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées au risque |
| Notification des incidents | Notification en trois étapes aux autorités de surveillance financière : notification initiale (dans les 4 heures suivant la classification), rapport intermédiaire (dans les 72 heures) et rapport final (dans un délai d’un mois) | Alerte précoce dans les 24 heures, notification complète de l’incident dans les 72 heures et rapport final dans un délai d’un mois, adressés aux CSIRT nationaux ou aux autorités compétentes |
| Tests de résilience | Programme obligatoire de tests de résilience opérationnelle numérique, incluant des tests de pénétration fondés sur la menace (TLPT) tous les 3 ans pour les entités importantes | Aucun régime de tests spécifique : les mesures de sécurité doivent être appropriées, mais les exigences de tests relèvent de la mise en œuvre nationale |
| Gestion des tiers | Cadre complet de gestion du risque lié aux prestataires tiers de services TIC, incluant des clauses contractuelles obligatoires, un registre des prestataires tiers et une surveillance au niveau de l’UE des prestataires TIC critiques | Exigences de sécurité de la chaîne d’approvisionnement, dont la diligence raisonnable envers les fournisseurs, mais moins prescriptives que DORA sur les mécanismes contractuels et de surveillance |
| Sanctions | Fixées par les États membres ; pour les prestataires TIC critiques, jusqu’à 1 % du chiffre d’affaires mondial journalier moyen par jour de non-conformité (6 mois au maximum) | Entités essentielles : amendes maximales nationales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu ; entités importantes : au moins 7 millions d’euros ou 1,4 % |
Différences clés
Ce qui distingue ces réglementations
- DORA
DORA est la lex specialis des services financiers
DORA prévaut sur NIS2 pour les entités financières. Lorsque les deux réglementations couvrent le même domaine, comme la notification des incidents ou la gestion des risques de cybersécurité, les entités financières doivent appliquer les exigences plus prescriptives de DORA plutôt que celles de NIS2.
- NIS2
NIS2 couvre 18 secteurs, pas seulement la finance
NIS2 s’applique largement à l’énergie, aux transports, à la santé, à l’eau, aux infrastructures numériques, à l’administration publique, à l’espace, aux services postaux, à la gestion des déchets, à l’industrie manufacturière, à l’alimentation et à la chimie, bien au-delà du secteur financier visé par DORA.
- DORA
DORA impose des tests de pénétration avancés
DORA exige des entités financières importantes qu’elles réalisent des tests de pénétration fondés sur la menace (TLPT) selon le cadre TIBER-EU au moins tous les trois ans. NIS2 ne prescrit ni méthodologie ni fréquence de test spécifique.
- NIS2
NIS2 fixe des niveaux minimaux pour les amendes maximales
NIS2 impose aux États membres de fixer des amendes maximales d’au moins 10 millions d’euros ou 2 % du chiffre d’affaires pour les entités essentielles, le montant le plus élevé étant retenu, tandis que DORA laisse la plupart des montants à l’appréciation nationale et ne prévoit que des astreintes pour les prestataires tiers critiques de services TIC.
- DORA
DORA crée un cadre de surveillance directe de l’UE pour les prestataires TIC critiques
DORA instaure un mécanisme unique de superviseur principal, par lequel les autorités européennes de surveillance supervisent directement les prestataires tiers critiques de services TIC. NIS2 s’appuie sur les autorités nationales compétentes pour l’application.
- NIS2
NIS2 introduit une responsabilité personnelle des dirigeants
NIS2 permet explicitement aux États membres de tenir les organes de direction personnellement responsables des manquements et d’interdire temporairement à des personnes d’exercer des fonctions de direction. DORA exige la responsabilité de la direction, mais va moins loin en matière de responsabilité personnelle.
Points communs
Les domaines communs aux deux réglementations
- Les deux exigent des organisations des mesures de gestion des risques de cybersécurité, avec une gouvernance au plus haut niveau de direction
- Les deux imposent une notification rapide des incidents aux autorités compétentes, selon un processus en plusieurs étapes
- Les deux traitent la gestion des risques liés à la chaîne d’approvisionnement et aux tiers comme un élément essentiel de la posture de cybersécurité
- Les deux rendent les dirigeants responsables de la gouvernance et de la conformité en matière de cybersécurité
- Les deux encouragent le partage d’informations sur les cybermenaces entre entités pour renforcer la résilience collective
Lequel s’applique à vous ?
Cas courants et réglementation qui prévaut
Vous êtes une banque ou une compagnie d’assurance opérant dans l’UE
DORA est votre principale obligation de conformité et prévaut en tant que lex specialis. Vous devez toutefois examiner NIS2 pour tout aspect que DORA ne couvre pas spécifiquement, en particulier si la transposition nationale ajoute des exigences.
Vous êtes une entreprise technologique fournissant des services cloud à des institutions financières
Vous pouvez relever à la fois de DORA (en tant que prestataire tiers critique de services TIC du secteur financier) et de NIS2 (en tant que fournisseur d’infrastructures numériques). Vous devez satisfaire aux exigences contractuelles et de surveillance de DORA imposées par vos clients financiers tout en respectant les obligations de NIS2.
Vous êtes un prestataire de soins de santé ou une entreprise énergétique dans l’UE
NIS2 est votre principale réglementation en matière de cybersécurité. DORA ne s’applique pas à votre secteur. Concentrez-vous sur les exigences de NIS2 en matière de gestion des risques, de notification des incidents et de sécurité de la chaîne d’approvisionnement, telles que transposées dans votre État membre.
Vous êtes une fintech qui fournit également des services d’infrastructure numérique
Vous relevez probablement à la fois de DORA et de NIS2. Cartographiez soigneusement les exigences qui se recoupent : DORA prévaut pour vos activités de services financiers, tandis que NIS2 s’applique à votre rôle plus large d’infrastructure numérique. Une approche de conformité intégrée réduira les doublons.
Questions fréquentes
Questions courantes sur ces réglementations
Lire les guides complets
Autres comparaisons
Gérez DORA et NIS2 ensemble avec Reversa
Gérez les obligations de cybersécurité qui se recoupent depuis une seule plateforme. Identifiez les contrôles communs, supprimez le travail en double et suivez l’évolution des deux cadres.
- 01Réunion initiale
- 02Démonstration sur votre cas
- 03Déploiement en quelques semaines