Articulation RGPD, NIS2, DORA
Notification d'incident : articuler RGPD, NIS2 et DORA sans rater un délai
Une attaque par rançongiciel chez une entité financière peut appeler, pour le même événement, une notification à la CNIL, une notification au titre de NIS2 ou de DORA, et une information des personnes concernées. Les délais, les seuils et les destinataires diffèrent. Cette page les met côte à côte.
Par Younes Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Les trois régimes côte à côte
| Texte | Fait déclencheur | Premier délai | Suite | Destinataire | Source |
|---|---|---|---|---|---|
| RGPD | Violation de données à caractère personnel | 72 heures après en avoir pris connaissance, si possible | Information des personnes en cas de risque élevé (article 34) | Autorité de contrôle (CNIL en France) | Règlement (UE) 2016/679, articles 33 et 34 |
| NIS2 | Incident important | Alerte précoce sous 24 heures | Notification sous 72 heures, rapport final un mois après | CSIRT ou autorité compétente | Directive (UE) 2022/2555, article 23.4 |
| DORA | Incident lié aux TIC classé majeur | 4 heures après classification, 24 heures au plus après connaissance | Rapport intermédiaire sous 72 heures, rapport final un mois après | Autorité compétente financière | Règlement délégué (UE) 2025/301, article 5 |
Vérifié sur EUR-Lex le 4 novembre 2026. Les délais NIS2 s'appliquent tels que transposés dans chaque État membre.
Qui notifie quoi : la règle de priorité
Entre NIS2 et DORA, il n'y a pas de cumul. L'article 1.2 du règlement (UE) 2022/2554 fait de DORA l'acte sectoriel au sens de l'article 4 de la directive (UE) 2022/2555 : une entité financière notifie au titre de DORA, pas de NIS2.
Entre ces régimes et le RGPD, en revanche, il y a cumul. Si l'incident touche des données personnelles, la notification à la CNIL s'ajoute à la notification sectorielle. Ce sont deux obligations distinctes, avec deux appréciations du seuil : « risque pour les droits et libertés » d'un côté, incident « important » ou « majeur » de l'autre.
Préparer une procédure unique
Un seul point de départ
Dater la prise de connaissance dès la détection. Tous les délais en dépendent.
Une double qualification
Qualifier en parallèle l'incident au regard du texte sectoriel et la violation au regard du RGPD. Ne pas attendre l'une pour lancer l'autre.
Des modèles prêts
Préparer les formulaires de chaque autorité avant l'incident, pas pendant.
Un registre
L'article 33.5 du RGPD impose de documenter toute violation, même non notifiée.
Ce qui pourrait changer
La Commission a proposé le 19 novembre 2025 un point d'entrée unique pour ces notifications. À la date de revue de cette page, le texte n'est pas adopté. Le Conseil a arrêté sa position le 21 octobre 2026, avec des points d'entrée nationaux à la place du point unique européen ; le Parlement européen n'avait pas encore arrêté la sienne à cette date.
Ce que ça change pour vous
- Le délai le plus court fixe le rythme de votre procédure.
- Une entité financière notifie au titre de DORA, pas de NIS2.
- La notification RGPD s'ajoute toujours si des données personnelles sont touchées.
Tester votre procédure d'incident
Un premier échange permet de vérifier que votre procédure couvre chaque régime applicable.
Prendre rendez-vousQuestions fréquentes
Faut-il notifier la CNIL et l'autorité financière pour le même incident ?
Oui si l'incident est à la fois un incident majeur au sens de DORA et une violation de données personnelles présentant un risque. Les deux notifications sont indépendantes.
Une entité financière notifie-t-elle aussi au titre de NIS2 ?
Non. L'article 1.2 de DORA en fait l'acte sectoriel prévu à l'article 4 de NIS2 : les obligations de notification de NIS2 ne s'appliquent pas aux entités financières couvertes.
Que faire si le délai de 72 heures du RGPD ne peut être tenu ?
L'article 33.1 permet une notification tardive accompagnée des motifs du retard, et l'article 33.4 autorise à fournir les informations de manière échelonnée.
Ce que ce régime déclenche ailleurs
Classification et notification des incidents majeurs, articles 17 à 19.
Le pilier DORAChamp d'application et obligations de l'article 23.
Le pilier NIS2Violations de données, articles 33 et 34.
Le pilier RGPDL'auteur
Younes Lahrach est le fondateur et directeur de Sila International Advisory. Juriste RGPD et délégué à la protection des données externe depuis juillet 2025, il est titulaire d'un master 2 de droit de l'Union européenne, spécialité protection des données, de l'Université de Lille, et d'un MBA International Finance de Middlesex University. Il intervient comme legal consultant : il n'est pas avocat.
Son parcours →Textes de référence
- Règlement (UE) 2016/679 (RGPD)
- Directive (UE) 2022/2555 (NIS2)
- Règlement (UE) 2022/2554 (DORA)
- Règlement délégué (UE) 2025/301
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.