DORA ou NIS2 : quelles obligations s'appliquent à votre organisation
Deux réglementations dominent aujourd'hui les conversations des équipes européennes de sécurité et de conformité : DORA, le règlement sur la résilience opérationnelle numérique, et NIS2, la deuxième directive sur la sécurité des réseaux et des systèmes d'information. Toutes deux traitent de la cyber-résilience. Toutes deux accordent un poids important au risque lié aux tiers. Et on les confond fréquemment, ce qui peut conduire les organisations soit à dupliquer leurs efforts, soit, pire, à laisser des lacunes non couvertes. Cet article expose clairement ce que chaque réglementation exige et comment elles s'articulent.
Deux origines différentes, une préoccupation commune
NIS2 est une directive couvrant dix-huit secteurs critiques dans l'Union européenne, de l'énergie et des transports aux infrastructures numériques et à l'administration publique. En tant que directive et non règlement, elle doit être transposée en droit national, ce qui signifie que le calendrier de mise en œuvre et les exigences précises peuvent varier quelque peu selon les pays.
DORA, à l'inverse, est un règlement qui s'applique directement et uniformément dans toute l'Union européenne à vingt catégories d'entités financières, dont les banques, les assureurs, les entreprises d'investissement et les prestataires de services sur crypto-actifs. Elle ne nécessite pas de transposition nationale, et ses exigences en matière de gestion des risques TIC et de supervision des tiers sont nettement plus détaillées que celles de NIS2.
Le lien juridique entre les deux
L'article 1, paragraphe 2, de DORA indique expressément que DORA constitue une lex specialis pour les entités financières entrant dans son champ d'application. Concrètement, cela signifie que lorsque NIS2 et DORA traitent du même sujet, DORA prévaut pour les entités financières. Une banque qui satisfait pleinement à ses obligations DORA aura, dans la plupart des cas, également répondu aux exigences équivalentes de NIS2. NIS2 continue de s'appliquer à tout domaine que DORA ne couvre pas spécifiquement.
Pour les organisations hors du secteur financier, NIS2 s'applique selon ses propres termes, et son obligation de l'article 21 de gérer la sécurité de la chaîne d'approvisionnement est l'équivalent le plus proche de ce que DORA exige, de manière bien plus détaillée, des entités financières.
Comparer les exigences relatives aux tiers
Au titre de DORA, les organisations doivent tenir un registre d'informations répertoriant chaque tiers TIC qui soutient des fonctions critiques ou importantes, avec le détail des sous-traitants, la localisation des données et les stratégies de sortie. Les prestataires doivent être évalués sur leur criticité, et les incidents doivent être signalés à l'autorité de surveillance financière compétente dans un court délai, généralement compris en pratique comme vingt-quatre heures.
Au titre de NIS2, l'obligation relative à la chaîne d'approvisionnement est moins prescriptive dans sa formulation, mais exige tout de même que les entités essentielles et importantes évaluent et gèrent les pratiques de sécurité de leurs fournisseurs. Les délais de signalement des incidents sont globalement similaires en pratique, bien que l'autorité destinataire diffère de celle de DORA.
Pourquoi cette distinction compte au quotidien
Savoir quelle réglementation s'applique, et dans quelle mesure, détermine la façon dont une équipe doit structurer son inventaire de fournisseurs, ses modèles d'évaluation et ses workflows de reporting. Une entité financière qui établit un registre conforme à DORA peut généralement étendre la même structure pour satisfaire NIS2, à condition que l'évaluation de la criticité et les éléments relatifs à la chaîne d'approvisionnement soient clairement documentés. Une entité non financière soumise uniquement à NIS2 peut recourir à une version plus légère de la même discipline.
C'est précisément le type de complexité qu'une plateforme dédiée est conçue pour absorber. Cynapze permet aux équipes de mener un seul programme de risque lié aux tiers associé aux deux référentiels à la fois, plutôt que de maintenir deux processus parallèles et souvent redondants. Réserver une démo est un moyen simple de voir comment cette association fonctionne en pratique.
Conclusion
DORA et NIS2 ne sont pas des référentiels concurrents. Ce sont deux expressions d'une même attente de fond : que les organisations comprennent et gèrent activement le risque introduit par leurs tiers. Les entités financières doivent considérer DORA comme la norme principale et recourir à NIS2 pour combler les lacunes restantes. Toute autre entité réglementée doit considérer NIS2 comme la base de référence. Dans les deux cas, la réponse pratique est la même : bâtir un programme clair et bien documenté plutôt que deux programmes distincts.
Parlez à l'équipe Cynapze pour voir comment une seule plateforme peut soutenir la conformité aux deux réglementations.
