Quelle est la différence entre NIS2 et DORA ?

La règle figure dans les deux textes. L’article 1er, paragraphe 2, de DORA prévoit que, pour les entités financières identifiées comme entités essentielles ou importantes en vertu des dispositions nationales transposant l’article 3 de NIS2, DORA est un acte juridique sectoriel de l’Union aux fins de l’article 4 de NIS2.

L’article 4, paragraphe 1, de NIS2 en tire la conséquence : lorsqu’un acte juridique sectoriel impose à des entités essentielles ou importantes d’adopter des mesures de gestion des risques en matière de cybersécurité ou de notifier des incidents, et que ces exigences ont un effet au moins équivalent, les dispositions pertinentes de NIS2 ne s’appliquent pas à ces entités, y compris la supervision et l’exécution du chapitre VII. Le considérant 28 de NIS2 est explicite sur DORA : ses dispositions sur la gestion du risque lié aux TIC, la gestion et la notification des incidents liés aux TIC, les tests de résilience opérationnelle numérique, le partage d’informations et le risque lié aux prestataires tiers de services TIC s’appliquent à la place de celles de NIS2.

L’exclusion a ses limites. L’article 4, paragraphe 1, précise que NIS2 continue de s’appliquer aux entités d’un secteur que l’acte sectoriel ne couvre pas. Et selon l’article 2, paragraphe 10, de NIS2, les entités qu’un État membre a exclues de DORA en vertu de son article 2, paragraphe 4, sortent aussi du champ de NIS2.

NIS2 ne vise qu’une partie du secteur financier. Son annexe I couvre le secteur bancaire (établissements de crédit au sens de l’article 4, point 1, du règlement (UE) n° 575/2013) et les infrastructures des marchés financiers (opérateurs de plateformes de négociation et contreparties centrales). Les assureurs, les entreprises d’investissement, les établissements de paiement et la plupart des autres entités financières de l’article 2, paragraphe 1, de DORA ne figurent pas dans les annexes de NIS2 : pour elles, seul DORA entre en jeu. Voir à qui s’applique DORA.

Pour les banques et les infrastructures de marché qui relèvent des deux, le lien avec NIS2 ne disparaît pas. Le considérant 28 demande aux États membres de maintenir le secteur financier dans leurs stratégies de cybersécurité et permet aux CSIRT nationaux de le couvrir. Selon l’article 19, paragraphe 6, de DORA, l’autorité compétente transmet les détails des incidents majeurs liés aux TIC aux autorités compétentes, points de contact uniques ou CSIRT désignés au titre de NIS2, et l’article 19, paragraphe 1, permet aux États membres d’exiger que les entités leur adressent aussi directement leurs rapports. L’article 47 organise la coopération entre les autorités DORA et le groupe de coopération NIS2.

Les deux régimes notifient en trois temps, mais avec des délais et des seuils différents. Selon l’article 23, paragraphe 4, de NIS2, un incident significatif donne lieu à une alerte précoce dans les 24 heures après en avoir pris connaissance, à une notification d’incident dans les 72 heures et à un rapport final dans un délai d’un mois (voir la notification des incidents NIS2). Sous DORA, l’incident est d’abord classé comme majeur selon les critères de l’article 18. L’article 5 du règlement délégué (UE) 2025/301 exige ensuite la notification initiale dans les quatre heures suivant ce classement et au plus tard 24 heures après la prise de connaissance de l’incident, un rapport intermédiaire dans les 72 heures suivant la notification initiale, et un rapport final au plus tard un mois après le dernier rapport intermédiaire (voir la notification des incidents DORA).

Les sanctions sont construites différemment. L’article 34 de NIS2 fixe des plafonds minimaux d’amendes : au moins 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total pour les entités essentielles, et 7 millions d’euros ou 1,4 % pour les entités importantes. L’article 50 de DORA confie aux États membres les sanctions administratives et mesures correctives, fixe les pouvoirs minimaux des autorités compétentes et permet au droit national de les étendre aux membres de l’organe de direction et aux autres personnes responsables de l’infraction.

Ici, les deux régimes se cumulent au lieu de se remplacer. Un fournisseur de services d’informatique en nuage, de centre de données, de services gérés ou de services de sécurité gérés peut être une entité essentielle ou importante au titre de NIS2 en tant que tel (annexe I, infrastructure numérique et gestion des services TIC). Ce n’est pas une entité financière, donc DORA ne l’écarte pas de NIS2.

Dans le même temps, DORA atteint ce prestataire par ses clients financiers : les clauses contractuelles de l’article 30, le registre d’informations et, pour les prestataires désignés comme critiques au titre de l’article 31, une surveillance directe par les autorités européennes de surveillance. L’article 47 prévoit une coordination entre autorités DORA et NIS2 pour les entités essentielles ou importantes également désignées comme prestataires tiers critiques de services TIC.