DORA et NIS 2 : deux textes, une même question pour les prestataires
DORA régule le secteur financier, NIS 2 les secteurs critiques. Une PME est rarement concernée directement par le premier. Mais les deux textes obligent ceux qui le sont à contrôler leurs fournisseurs — et c’est là que la plupart des entreprises les rencontrent.
DORA en bref
Le règlement européen sur la résilience opérationnelle numérique (2022/2554) s’applique depuis le 17 janvier 2025 aux entités financières : banques, assureurs, sociétés de gestion, établissements de paiement, intermédiaires, et une vingtaine d’autres catégories. Étant un règlement, il s’applique directement, sans passer par une loi française — contrairement à NIS 2, dont la loi de transposition attend encore son vote. En France, ce sont l’ACPR et l’AMF qui le supervisent, pas l’ANSSI.
Il demande cinq choses : un cadre de gestion des risques informatiques, la notification des incidents majeurs, des tests de résilience réguliers, la gestion des risques liés aux prestataires informatiques, et le partage d’informations sur les menaces. Le quatrième point est celui qui déborde du secteur financier.
Ce que DORA fait remonter jusqu’aux prestataires
Une entité financière doit tenir un registre de tous ses prestataires informatiques, encadrer chaque contrat par des clauses précises — niveaux de service, localisation des données, droit d’audit, sortie et réversibilité, notification des incidents —, évaluer le risque de concentration, et pouvoir démontrer tout cela à son superviseur. Les prestataires jugés critiques à l’échelle européenne sont même supervisés directement.
Concrètement, si vous hébergez, infogérez ou fournissez un logiciel à une banque, un assureur ou un courtier, vous avez reçu ou allez recevoir : un questionnaire de sécurité, un avenant contractuel, et des demandes de preuves. Vous n’êtes pas régulé. Vous êtes évalué, et le marché en dépend.
Le même mécanisme que NIS 2
NIS 2 impose à ses entités de sécuriser leur chaîne d’approvisionnement — c’est l’objectif 6 du ReCyF. DORA impose la même chose au secteur financier, avec plus de détail sur les contrats. Dans les deux cas, le prestataire informatique n’est pas le destinataire du texte mais le destinataire des exigences. Et dans les deux cas, ce qu’on lui demande est le même dossier : comment vous gérez les accès, les sauvegardes, les incidents, vos propres fournisseurs, et comment vous le prouvez.
Un prestataire qui constitue ce dossier une fois répond aux deux. C’est ce que Mon Registre fait : le diagnostic sur les objectifs du ReCyF, les documents rédigés en atelier, et des attestations vérifiables que le client financier peut contrôler lui-même, sans passer par vous. La situation « un client nous envoie un questionnaire de sécurité » décrit la marche à suivre.
Ce que Mon Registre ne couvre pas
Les obligations propres aux entités financières elles-mêmes : le registre d’informations au format imposé par les autorités européennes, les tests de pénétration fondés sur la menace, la notification à l’ACPR. Une banque ou un assureur a besoin d’un outil DORA dédié. Une PME qui les sert a besoin d’un dossier de sécurité présentable — et c’est ce périmètre-là.
Une PME qui n'est ni banque ni assureur est-elle concernée par DORA ?
Directement, non. Indirectement, oui si elle fournit des services informatiques à une entité financière : hébergement, infogérance, logiciel, données. DORA oblige cette entité à encadrer ses prestataires par contrat et à pouvoir les auditer. La PME n'est pas régulée, mais elle reçoit les exigences.
Peut-on être soumis aux deux ?
Une entité financière est soumise à DORA, qui prime sur NIS 2 pour elle. Un prestataire informatique peut, lui, être directement concerné par NIS 2 (s'il est infogérant au-dessus des seuils) et recevoir en même temps les exigences DORA de ses clients financiers. C'est le cas typique d'un MSP qui compte une banque régionale ou un courtier parmi ses clients.
Où en est la transposition française ?
DORA est un règlement européen : il s'applique directement, depuis le 17 janvier 2025, sans loi française. NIS 2 est une directive, qui exige une loi de transposition — la loi « Résilience », toujours en attente de vote définitif à l'automne 2026.
Un questionnaire DORA et un questionnaire NIS 2 demandent-ils la même chose ?
Sur le fond, oui : gestion des accès, sauvegardes, incidents, continuité, sous-traitance. DORA est plus précis sur les tests de résilience, les délais de notification et les clauses contractuelles. Un dossier constitué pour NIS 2 répond à l'essentiel d'un questionnaire DORA ; l'inverse est vrai aussi.