DORA face à NIS2 : ce que vos travaux NIS2 couvrent déjà

Pour les entités financières de l'UE, DORA se substitue aux règles de sécurité de NIS2. Le fond est le même ; les différences portent sur le risque tiers, les tests et le reporting.

Si vous travaillez dans une entité financière de l'UE, la question n'est pas de savoir si DORA ou NIS2 s'applique à votre programme de sécurité. NIS2 prévoit qu'un acte sectoriel de l'Union imposant des exigences de cybersécurité au moins équivalentes prime, et pour le secteur financier, cet acte est le règlement sur la résilience opérationnelle numérique, règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025.

La question pratique est différente : si vous avez déjà construit un programme NIS2, ou si vous en gérez un pour le reste de votre groupe, quelle part en est reprise ? Nos données répondent article par article.

Le chiffre clé

Sur les 22 articles DORA, 20 (91%) correspondent à un élément de NIS2, 1 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Lisez-le comme « là où vos travaux NIS2 mènent déjà », et non comme « terminé ». Aucune correspondance publiée ne relie DORA à NIS2 : chaque lien présenté ici est donc éditorial ControlMapping. Nous avons mis DORA en correspondance, au niveau du paragraphe et du point, avec les mêmes sujets de sécurité que le règlement d'application de NIS2, et la raison de chaque lien figure sur la page de l'exigence.

DORA article par article

DORA	Exigence	Correspondance	NIS2
Art.5(2)(a)	Governance and organisation	Éditorial	2.1 7.1 1.2 2.2
Art.6(1)	ICT risk management framework	Éditorial	2.1 7.1 13.1 13.2
Art.7	ICT systems, protocols and tools	Aucune correspondance dans nos données	—
Art.8(1)	Identification	Éditorial	12.1 12.4 2.1 6.5
Art.9(1)	Protection and prevention	Éditorial	3.2 12.2 12.3 1.1
Art.10(1)	Detection	Éditorial	3.2 3.4 10.2 10.4
Art.11(1)	Response and recovery	Éditorial	4.1 4.3 3.1 3.5
Art.12(1)	Backup policies and procedures, restoration and recovery procedures and methods	Éditorial	4.2 4.1
Art.13(1)	Learning and evolving	Éditorial	3.5 3.6 8.1 8.2
Art.14(1)	Communication	Éditorial	4.3
Art.16(1)	Simplified ICT risk management framework	Éditorial	2.1 7.1
Art.17(1)	ICT-related incident management process	Éditorial	3.1 3.5 4.3
Art.18(1)	Classification of ICT-related incidents and cyber threats	Éditorial	3.1 3.3 3.5
Art.19(1)	Reporting of major ICT-related incidents and voluntary notification of significant cyber threats	Éditorial	3.3
Art.24(1)	General requirements for the performance of digital operational resilience testing	Éditorial	2.1 7.1
Art.25(1)	Testing of ICT tools and systems	Éditorial	6.5 6.10
Art.26(1)	Advanced testing of ICT tools, systems and processes based on TLPT	Éditorial	6.5 6.10
Art.27(1)	Requirements for testers for the carrying out of TLPT	Éditorial	6.5 6.10
Art.28(2)	General principles	Éditorial	5.1 6.1 5.2
Art.29(1)	Preliminary assessment of ICT concentration risk at entity level	Éditorial	5.1 6.1
Art.30(2)	Key contractual provisions	Éditorial	5.1 5.2 6.1 12.5
Art.45(1)	Information-sharing arrangements on cyber threat information and intelligence	Faiblement liés	2.1 4.3 6.10

Le recouvrement est large parce que les deux textes décrivent le même programme : un cadre documenté de gestion des risques, l'identification des actifs, la protection et la détection, la gestion des incidents, la continuité d'activité et la sécurité des fournisseurs. Lorsque DORA a un équivalent direct dans le règlement d'application, le sujet correspond ; le détail, souvent, non.

Photographie d'une pile de contrats imprimés épais avec pinces à dossier et intercalaires de couleur sur un bureau — DORA transforme les contrats fournisseurs en un ensemble de documents réglementés.

Ce que DORA ajoute

Un registre d'informations. L'article 28, paragraphe 3, exige un registre de tous les accords contractuels pour les services TIC, tenu au niveau de l'entité et du groupe, avec un reporting annuel à l'autorité compétente. NIS2 vous demande de gérer la sécurité des fournisseurs ; il ne demande pas de registre réglementé.
Des clauses contractuelles obligatoires. L'article 30 énumère ce que tout contrat de services TIC doit contenir, notamment le lieu de traitement des données, l'accès aux données et leur restitution, l'assistance en cas d'incident sans surcoût ou à un coût fixé à l'avance, et les droits de résiliation. Les contrats portant sur des fonctions critiques ou importantes ajoutent des droits d'audit, la participation aux tests fondés sur la menace et des périodes de sortie.
Risque de concentration et sortie. Avant de contracter, l'article 29 demande si un prestataire serait difficile à remplacer et comment les chaînes de sous-traitance vous affectent ; l'article 28, paragraphe 8, exige des stratégies de sortie testées pour les fonctions critiques ou importantes.
Tests d'intrusion fondés sur la menace. Les entités sélectionnées par leur autorité doivent réaliser des TLPT sur des systèmes de production en conditions réelles au moins tous les trois ans (article 26), avec des testeurs répondant aux exigences de l'article 27. Le règlement d'application de NIS2 vous demande d'évaluer l'efficacité de vos mesures ; il ne prescrit pas de TLPT.
Classification des incidents et rapports échelonnés. L'article 18 fixe les critères qui déterminent si un incident est majeur, et l'article 19 exige une notification initiale, des rapports intermédiaires et un rapport final. NIS2 a son propre calendrier : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois. Si vous notifiez selon les deux régimes dans différentes parties d'un groupe, conservez deux procédures.
Obligations nominatives de l'organe de direction. Les deux textes rendent la direction responsable. DORA précise ce que l'organe de direction doit approuver, de la stratégie de résilience opérationnelle numérique à la politique relative aux services TIC fournis par des tiers (article 5, paragraphe 2).

L'autre sens

Sur les 49 points d'exigence NIS2, 44 (90%) correspondent à un élément de DORA, 5 sont seulement faiblement liés et 0 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Venant de DORA, le règlement d'application de NIS2 n'ajoute guère de nouveauté sur le fond. Quelques points d'exigence ne partagent avec DORA qu'un résultat général dans nos données, généralement parce que DORA traite le sujet dans ses normes techniques, que nous ne mettons pas en correspondance. Vérifiez-les :

NIS2	Exigence	Correspondance	DORA
6.2	Secure development life cycle	Faiblement liés	Art.8(1)Art.8(4)Art.8(6)
6.3	Configuration management	Faiblement liés	Art.28(8)Art.30(2)
6.9	Protection against malicious and unauthorised software	Faiblement liés	Art.9(1)Art.10(1)Art.10(3)Art.10(2)
10.1	Human resources security	Faiblement liés	Art.5(4)Art.10(3)Art.13(6)
10.3	Termination or change of employment procedures	Faiblement liés	Art.10(3)

Si vous avez déjà construit pour NIS2

Confirmez le régime applicable à chaque entité du groupe. Les entités financières relèvent de DORA ; d'autres sociétés du groupe peuvent rester sous NIS2.
Réutilisez le socle. L'évaluation des risques, les inventaires d'actifs, la gestion des accès, la journalisation, la réponse aux incidents et les plans de continuité sont repris ; adaptez leurs fréquences de revue à celles de DORA (par exemple, le cadre de gestion des risques TIC est revu au moins une fois par an).
Construisez la couche tiers. Démarrez tôt le registre d'informations et revoyez vos modèles de contrats au regard de l'article 30. C'est généralement le plus gros chantier nouveau.
Planifiez les tests. Même si votre autorité ne vous a pas sélectionné pour les TLPT, l'article 24 exige un programme de tests, avec des tests annuels des systèmes qui soutiennent les fonctions critiques ou importantes.
Séparez les procédures de reporting lorsque les deux régimes s'appliquent dans le groupe.

Points clés

Les travaux NIS2 couvrent la majeure partie du champ de DORA ; l'analyse d'écarts le montre exigence par exigence.
Le travail propre à DORA concerne le risque tiers : le registre, les clauses contractuelles, le risque de concentration et la sortie.
Les tests d'intrusion fondés sur la menace et la classification des incidents de DORA n'ont pas d'équivalent dans NIS2.

Où aller ensuite

La page du référentiel DORA répertorie chaque article que nous mettons en correspondance avec son texte officiel, la comparaison NIS2 vs DORA présente les deux sens en détail, et notre guide NIS2 couvre le volet NIS2.

Questions

Une entité financière doit-elle se conformer à la fois à DORA et à NIS2 ?

Pour sa gestion des risques TIC et le signalement des incidents, une entité financière relevant du champ de DORA suit DORA : NIS2 prévoit qu'un acte sectoriel de l'Union aux exigences au moins équivalentes prime, et DORA est cet acte pour le secteur financier. Les groupes qui comptent aussi des entités non financières, et les prestataires TIC qui servent des banques, peuvent néanmoins satisfaire aux deux.

Existe-t-il une correspondance officielle entre DORA et NIS2 ?

Aucune correspondance publiée ne relie les deux. Les liens sur ControlMapping sont éditoriaux : nous avons mis en correspondance DORA, au niveau du paragraphe et du point, avec les mêmes sujets de sécurité que le règlement d'application de NIS2, et chaque lien indique sa raison.

Que demande DORA que NIS2 ne demande pas ?

Principalement un registre d'informations sur tous les contrats de services TIC, une liste détaillée des clauses contractuelles obligatoires, une évaluation du risque de concentration TIC, des stratégies de sortie et des tests d'intrusion fondés sur la menace au moins tous les trois ans pour les entités que leur autorité sélectionne.

Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.

DORA vs NIS2 : ce qu'un programme NIS2 couvre déjà