Règlement (UE) 2022/2554
DORA applicable, lui, depuis janvier 2025
Contrairement à NIS 2, DORA est un règlement : il s'applique directement, sans transposition nationale, depuis le 17 janvier 2025. Si vous êtes une entité financière — ou l'un de ses prestataires informatiques — les obligations courent déjà.
ou laissez vos coordonnées :
Faisons le point sur votre situation
Trente minutes pour cadrer ce qui vous concerne réellement et par quoi commencer. Sans engagement.
Les cinq piliers
- Gestion du risque lié aux technologies de l'information et de la communication, sous la responsabilité de l'organe de direction.
- Notification des incidents majeurs liés aux TIC, selon des délais et des formats harmonisés.
- Tests de résilience opérationnelle numérique, jusqu'aux tests avancés fondés sur la menace pour les entités désignées.
- Gestion du risque lié aux prestataires tiers de services TIC, avec un registre d'information à tenir.
- Partage volontaire d'informations sur les cybermenaces entre entités financières.
Qui est concerné
Le champ est large : établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique, assurances et réassurances, intermédiaires, gestionnaires d'actifs, prestataires de services sur crypto-actifs, infrastructures de marché — et, en tant que tiers, les prestataires informatiques qui les servent.
Ce dernier point est celui qui surprend le plus les éditeurs et les infogéreurs : sans être une entité financière, on peut se retrouver soumis aux exigences contractuelles de DORA parce qu'un client l'est.
Les tests, en pratique
DORA distingue deux niveaux. Un programme de tests régulier — analyses de vulnérabilités, tests de sécurité applicative, tests de performance — applicable à toutes les entités concernées. Et, pour les entités désignées comme significatives, des tests de pénétration fondés sur la menace, menés sur les systèmes de production selon un cadre inspiré de TIBER-EU, avec une périodicité de l'ordre de trois ans.
Le second niveau est un exercice lourd, encadré, qui ne se confond pas avec un pentest applicatif classique. Le premier, en revanche, correspond à ce que nous réalisons couramment.
DORA ou NIS 2 ?
Les deux textes se recoupent. La règle de priorité est explicite : pour ce que DORA couvre, DORA prime.
| DORA | NIS 2 | |
|---|---|---|
| Nature | Règlement — directement applicable | Directive — nécessite une loi nationale |
| Depuis quand | 17 janvier 2025 | Pas encore applicable en France |
| Périmètre | Secteur financier et ses prestataires TIC | Dix-huit familles de secteurs |
| Autorité en France | ACPR et AMF selon le statut | ANSSI |
Ce qu'on vous répond avant que vous demandiez.
Je suis éditeur de logiciel pour des banques : suis-je soumis à DORA ?
Pas directement en tant qu'entité financière, mais vos clients doivent encadrer contractuellement leurs prestataires TIC et vous inscrire à leur registre d'information. En pratique, les exigences descendent par le contrat — audits, droits d'accès, notification d'incident, réversibilité.
Un pentest classique répond-il aux exigences de test ?
Pour le programme de tests régulier, oui, dès lors qu'il couvre le bon périmètre et qu'il est suivi de corrections tracées. Pour les tests avancés fondés sur la menace imposés aux entités significatives, non : ce cadre a ses propres règles d'agrément et de déroulement.
Un doute sur ce qui s'applique à votre situation ?
Trente minutes pour démêler ce qui vous concerne réellement — NIS 2, DORA, ISO 27001 — et par quoi commencer. Sans engagement.
Cette page est informative et ne constitue pas un conseil juridique. Les textes de référence font foi.