Comparatif · 4 min · mis à jour le 4 novembre 2026
NIS 2 ou DORA : qui applique quoi ?
Les banques et infrastructures des marchés financiers figurent dans l'annexe I de NIS 2, mais le règlement DORA s'applique à elles en priorité. Explications.
Le principe de loi spéciale
NIS 2 prévoit que lorsqu'un acte sectoriel de l'Union impose des exigences au moins équivalentes, ce sont ces exigences qui s'appliquent. DORA (règlement UE 2022/2554), applicable depuis le 17 janvier 2025, joue ce rôle pour les entités financières en matière de gestion du risque informatique et de notification des incidents.
Les principales différences
| NIS 2 | DORA | |
|---|---|---|
| Forme | Directive transposée en droit national | Règlement directement applicable |
| Autorité | ANSSI | ACPR et AMF |
| Tiers | Sécurité de la chaîne d'approvisionnement | Registre des prestataires TIC et supervision des prestataires critiques |
| Tests | Exercices et audits | Programme de tests, dont tests de pénétration fondés sur la menace pour certaines entités |
Pourquoi le ReCyF reste utile
Les objectifs du ReCyF recoupent largement les exigences de DORA : gouvernance, identités, sauvegardes, gestion des incidents, crise. L'auto-évaluation permet de structurer le travail et de couvrir les filiales non financières d'un groupe, qui peuvent, elles, relever de NIS 2.