NIS2 et DORA : quel texte s’applique à une entité financière ?

Le secteur bancaire et les infrastructures des marchés financiers figurent parmi les secteurs hautement critiques de NIS2. Ces mêmes entités sont soumises à DORA depuis janvier 2025. Pour un RSSI du secteur financier, la question est donc simple : quelles obligations suivre, et auprès de qui ?

Le principe : le texte sectoriel prime

L’article 4 de NIS2 prévoit que, lorsqu’un acte juridique sectoriel de l’Union impose des mesures de gestion des risques ou des obligations de notification au moins équivalentes, ce sont ses dispositions qui s’appliquent à la place de celles de NIS2. Le considérant 28 de la directive désigne explicitement DORA comme ce texte sectoriel pour le secteur financier.

En pratique, pour une entité financière soumise à DORA, la gestion du risque informatique, la notification des incidents et les tests de résilience suivent les règles de DORA, et non les articles 21 et 23 de NIS2.

Ce qui ne disparaît pas pour autant

DORA ne remplace pas tout l’écosystème NIS2 :

• les entités financières restent dans le paysage national de la cybersécurité, et les autorités financières coopèrent avec les autorités et les CSIRT désignés au titre de NIS2 ;
• une entité d’un groupe financier qui n’entre pas elle-même dans le champ de DORA peut rester soumise à NIS2 ;
• les prestataires TIC du secteur financier sont concernés par DORA à travers leurs contrats, et peuvent être soumis à NIS2 au titre de leur propre activité.

Il faut donc cartographier, entité par entité, le texte applicable, plutôt que raisonner au niveau du groupe.

En France, une seule loi pour les deux

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, encore en discussion au Parlement, transpose à la fois NIS2, la directive sur la résilience des entités critiques et la directive qui accompagne DORA. Il organise l’articulation entre l’ANSSI et les autorités financières, l’ACPR et l’AMF.

Ce qu’il faut retenir

Pour une entité financière, DORA fixe les règles de gestion du risque informatique et de notification ; NIS2 continue de compter pour le périmètre, la coopération entre autorités et les entités du groupe qui ne relèvent pas de DORA. Établir ce périmètre exact, puis une gouvernance unique qui réponde aux deux textes sans doublon : c’est le point de départ d’un diagnostic Trusted Assessment, prolongé par Trusted Organisation.