Articulation NIS2, DORA
NIS2 ou DORA : quel texte s'applique à une entité financière ?
Les secteurs bancaire et des infrastructures de marchés financiers figurent à l'annexe I de NIS2. Pourtant, une banque ne met pas en œuvre NIS2 pour sa cybersécurité : elle applique DORA. La règle tient en deux articles, mais ses limites méritent d'être connues.
Par Younes Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
La règle : DORA prime
L'article 4.1 de NIS2 écarte ses propres dispositions lorsqu'un acte sectoriel impose des mesures de gestion des risques ou de notification d'incidents d'effet au moins équivalent, y compris pour la supervision du chapitre VII.
L'article 1.2 de DORA tranche la question pour le secteur financier : pour les entités financières identifiées comme essentielles ou importantes au titre de NIS2, DORA est cet acte sectoriel.
Les limites de la règle
Entités non couvertes
L'article 4.1 de NIS2 précise que la directive continue de s'appliquer aux entités d'un secteur que l'acte sectoriel ne couvre pas.
Groupes mixtes
Une filiale qui fournit des services numériques ou d'infrastructure hors du périmètre financier peut relever de NIS2 pour cette activité.
Prestataires TIC
Un prestataire cloud d'une banque peut être lui-même une entité NIS2 (infrastructure numérique), tout en étant soumis aux clauses de l'article 30 de DORA par contrat.
Comparaison rapide
| Point | NIS2 | DORA | Source |
|---|---|---|---|
| Nature | Directive, transposée par chaque État | Règlement, applicable directement depuis le 17 janvier 2025 | Règlement (UE) 2022/2554, article 64 |
| Gestion des risques | Article 21 | Articles 5 à 16 | Directive (UE) 2022/2555, article 21 |
| Notification d'incident | Alerte sous 24 heures, notification sous 72 heures | 4 heures après classification, 24 heures au plus | Règlement délégué (UE) 2025/301, article 5 |
| Tiers | Sécurité de la chaîne d'approvisionnement (article 21.2 d) | Registre et clauses obligatoires (articles 28 et 30) | Règlement (UE) 2022/2554, articles 28 et 30 |
Ce que ça change pour vous
- Une entité financière construit son dispositif sur DORA.
- Chaque filiale non financière doit être qualifiée séparément au regard de NIS2.
- Vos prestataires peuvent relever de NIS2 et de vos clauses DORA à la fois.
Qualifier votre groupe
Un premier échange permet de répartir les entités de votre groupe entre DORA, NIS2 ou aucun des deux.
Prendre rendez-vousQuestions fréquentes
Une banque est-elle une entité NIS2 ?
Le secteur bancaire figure à l'annexe I de NIS2, mais l'article 1.2 de DORA en fait l'acte sectoriel : les obligations de gestion des risques et de notification de NIS2 cèdent la place à celles de DORA.
Les autorités NIS2 contrôlent-elles une entité financière ?
L'article 4.1 de NIS2 écarte aussi les dispositions de supervision et d'exécution du chapitre VII pour les entités couvertes par l'acte sectoriel. C'est l'autorité financière qui supervise au titre de DORA.
Ce que ce régime déclenche ailleurs
Registre TIC, contrats et incidents.
Le pilier DORAChamp d'application et transposition.
Le pilier NIS2La lecture sectorielle pour les fintechs.
Fintech et DORAL'auteur
Younes Lahrach est le fondateur et directeur de Sila International Advisory. Juriste RGPD et délégué à la protection des données externe depuis juillet 2025, il est titulaire d'un master 2 de droit de l'Union européenne, spécialité protection des données, de l'Université de Lille, et d'un MBA International Finance de Middlesex University. Il intervient comme legal consultant : il n'est pas avocat.
Son parcours →Textes de référence
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.