NIS2 ou DORA
NIS2 vs DORA : deux lois européennes sur la cyber-résilience aux publics différents. DORA couvre en détail le secteur financier, NIS2 couvre bien d'autres secteurs.
NIS2 vs DORA se résume au secteur. DORA, le règlement sur la résilience opérationnelle numérique, est un règlement destiné aux entités financières et aux prestataires TIC dont elles dépendent, et il s'applique depuis le 17 janvier 2025.
Pour les entités financières, DORA est la règle spécifique et prime sur NIS2 là où elles se recoupent. Les autres entreprises concernées suivent NIS2. Une entreprise peut aussi être affectée indirectement, par exemple en tant que fournisseur informatique d'une banque.
Côte à côte
| Compétence | NIS2 | DORA |
|---|---|---|
| Nom complet | Directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information | Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique |
| Forme juridique | Directive, nécessite des lois nationales, les détails varient selon le pays | Règlement, applicable directement dans tous les États membres |
| Qui il couvre | Entités essentielles et importantes dans de nombreux secteurs | Banques, assureurs, sociétés d'investissement, prestataires de paiement et de crypto et autres entités financières, ainsi que les fournisseurs TIC critiques |
| Applicable à partir de | Les États membres devaient transposer avant le 17 octobre 2024, le calendrier national varie | 17 janvier 2025 |
| Gestion des risques liés aux TIC | Obligatoire, défini à un niveau général | Obligatoire, avec des règles plus détaillées et prescriptives |
| Déclaration des incidents | Alerte précoce, notification et rapport final aux autorités nationales | Signalement des incidents majeurs aux superviseurs financiers |
| Tests de résilience | Attendu dans le cadre de la gestion des risques | Programme de tests défini, tests avancés guidés par les menaces pour les entités importantes |
| Risque lié aux tiers | Mesures de sécurité de la chaîne d'approvisionnement | Règles détaillées de contrat et de registre pour les prestataires TIC |
| Sanctions | Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles, jusqu'à 7 millions ou 1,4 % pour les entités importantes | Fixé par les superviseurs nationaux et les autorités, vérifiez auprès de votre régulateur |
Les points forts de chacun
NIS2
- Large couverture des secteurs critiques et importants
- Exigences flexibles, basées sur le risque
- Inclut la chaîne d'approvisionnement et les obligations de gestion
- Élève le niveau de référence pour de nombreuses entreprises de taille moyenne
- Les lois nationales diffèrent selon les pays
- Moins détaillé que DORA sur les tests et les fournisseurs
- Le périmètre est difficile à évaluer sans conseil
DORA
- Une règle directement applicable dans toute l'UE
- Exigences détaillées pour le risque TIC et les tests
- Règles claires pour l'externalisation vers des prestataires TIC
- Primauté sur NIS2 pour les entités financières
- Lourds travaux de documentation et de contractualisation
- Uniquement pour le secteur financier et ses prestataires TIC
- Les fournisseurs peuvent être concernés via les contrats clients
Se pencher sur NIS2 quand
- Vous travaillez dans l'énergie, le transport, la santé, l'infrastructure numérique, la fabrication ou un autre secteur couvert
- Vous êtes un prestataire de services managés, de cloud ou un data centre
- Vous êtes une entreprise moyenne ou grande dans un secteur listé
- Un client vous demande de prouver une sécurité de niveau NIS2
- Vous devez vérifier ce que la loi nationale de votre pays exige
Se pencher sur DORA quand
- Vous êtes une banque, un assureur, une société d'investissement, un prestataire de paiement ou de crypto ou une entité financière similaire
- Vous fournissez des services TIC à des entités financières
- Un client financier modifie votre contrat pour DORA
- Vous devez tenir un registre de vos prestataires tiers de TIC
- Votre régulateur demande des tests de résilience
Questions fréquentes
NIS2 ou DORA s'appliquent-ils à mon entreprise ?
Les entités financières relèvent de DORA, et les autres entreprises des secteurs listés et au-dessus des seuils de taille relèvent de NIS2. Consultez le texte et votre droit national, ou demandez conseil à un juriste.
Quelle est la principale différence entre NIS2 et DORA ?
NIS2 est une directive qui couvre de nombreux secteurs de façon générale. DORA est un règlement pour la finance, avec des règles plus détaillées.
Les entreprises financières doivent-elles aussi suivre NIS2 ?
DORA est la règle sectorielle et prime là où les deux se recoupent. Certaines obligations NIS2 peuvent rester pertinentes, vérifiez donc auprès de votre régulateur.
Quand DORA a-t-elle commencé à s'appliquer ?
17 janvier 2025. NIS2 devait être transposée en droit national avant le 17 octobre 2024, mais les pays ont avancé à des rythmes différents.
Vous ne savez pas comment cela s'applique à vous ?
Un ingénieur senior analyse votre site, votre présence en ligne et la façon dont les demandes vous parviennent, puis note les trois points prioritaires à corriger. Vous conservez ce document quoi qu'il arrive.