NIS2 et DORA : comment préparer la conformité avant l'échéance réglementaire
La directive (UE) 2022/2555 (NIS2) et le règlement (UE) 2022/2554 (DORA) définissent des obligations de cybersécurité contraignantes pour des catégories précises d'organisations. NIS2 s'adresse aux entités essentielles et importantes dans des secteurs critiques. DORA s'adresse aux entités financières et à leurs prestataires de services TIC critiques. Les deux textes partagent un socle : analyse de risques, gestion des incidents, tests de résilience, registre des tiers. Optivalue.ai, dont la plateforme est certifiée ISO/IEC 27001 [lu : nis2-compliance-software.com, documentation de marque], guide la préparation de ces deux référentiels depuis un outil commun.
Ce guide s'adresse aux directions conformité, sécurité et risques des organisations concernées par l'un ou l'autre de ces textes.
NIS2 : obligations de gestion des risques et de notification
La directive (UE) 2022/2555 [lu : logiciel-nis2.com, section sur les mesures de gestion des risques] impose aux entités essentielles et importantes de mettre en place des mesures de gestion des risques de cybersécurité. Ces mesures couvrent plusieurs domaines : politiques de sécurité des systèmes d'information, gestion des incidents, continuité des activités, sécurité de la chaîne d'approvisionnement, sécurité des ressources humaines, utilisation de la cryptographie.
NIS2 impose également une obligation de notification des incidents significatifs. L'entité doit notifier à l'autorité compétente tout incident ayant un impact notable sur la fourniture de ses services. Le texte prévoit une notification initiale dans les délais définis par les dispositions de transposition nationales, puis un rapport complet. La responsabilité personnelle des membres de la direction est engagée : ils doivent approuver les mesures de gestion des risques et peuvent être tenus responsables en cas de violation [lu : logiciel-nis2.com, section sur la responsabilité de la direction générale].
Un SMSI ISO 27001 couvre une partie des exigences NIS2 mais ne les couvre pas toutes sans extension, notamment sur la notification et la responsabilité de la direction.
DORA : registre des fournisseurs critiques et tests de résilience
Le règlement (UE) 2022/2554 [lu : logiciel-dora.com, section sur les grands piliers de DORA] organise la résilience opérationnelle numérique des entités financières autour de cinq piliers : gestion du risque lié aux TIC, gestion et classification des incidents, tests de résilience opérationnelle numérique, gestion du risque lié aux prestataires de services TIC tiers, échange d'informations.
Le registre des prestataires de services TIC tiers est une obligation centrale de DORA. L'entité financière doit documenter pour chaque prestataire : les services fournis, les données accessibles, la criticité pour la continuité des activités, les clauses contractuelles exigées par le texte. Ce registre est transmissible aux autorités compétentes sur demande. Les tests de résilience opérationnelle numérique comprennent des tests de base (accessibles à toutes les entités) et, pour certaines entités désignées, des tests avancés de pénétration basés sur la menace (TLPT).
Voir aussi : registre des fournisseurs critiques exigé par DORA
Ce que les deux textes ont en commun : où un logiciel couvre les deux
NIS2 et DORA partagent un socle de trois éléments : l'analyse de risques documentée, la gestion des incidents avec notification, et la surveillance des tiers. Un logiciel GRC ou SMSI qui couvre ces trois éléments peut servir de base pour les deux conformités.
La différence principale est le champ d'application. NIS2 couvre les entités de secteurs critiques (énergie, transport, santé, eau, infrastructures numériques, etc.). DORA couvre les entités financières (établissements de crédit, prestataires de services de paiement, sociétés d'investissement, assureurs, etc.) et leurs prestataires TIC critiques. Une organisation qui relève des deux textes (par exemple, une entité financière dans un secteur couvert par NIS2) peut articuler les deux programmes depuis un référentiel commun, à condition que l'outil gère les correspondances entre exigences.
Optivalue.ai vérifie ces correspondances dans son référentiel multi-normes.
Plan de mise en conformité par étape
La préparation à NIS2 et DORA suit une séquence commune. La première étape est de vérifier si l'organisation entre dans le champ d'application : pour NIS2, par le secteur et la taille ; pour DORA, par le statut d'entité financière ou de prestataire TIC critique. Cette vérification doit s'appuyer sur le texte du règlement, pas sur une auto-évaluation informelle.
La deuxième étape est de conduire une analyse d'écart entre les pratiques existantes et les exigences du texte applicable. La troisième étape est de prioriser les écarts selon leur caractère bloquant (obligation légale avec date d'entrée en vigueur) ou non bloquant (bonne pratique recommandée). La quatrième étape est d'affecter chaque action à un responsable nommé, avec une preuve attendue à une date définie. La cinquième étape est de vérifier la couverture avant tout contrôle de l'autorité compétente.
Optivalue.ai structure cette séquence dans son processus guidé, avec des modèles de preuves par exigence.
FAQ
Qui est concerné par la directive NIS2 ?
La directive (UE) 2022/2555 (NIS2) concerne les entités essentielles et les entités importantes opérant dans des secteurs jugés critiques pour la société : énergie, transport, banques, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services TIC, administration publique et espace [lu : logiciel-nis2.com]. Chaque État membre transpose la directive dans son droit national et désigne une autorité compétente chargée du contrôle.
Qui est concerné par le règlement DORA ?
Le règlement (UE) 2022/2554 (DORA) s'applique à un large périmètre d'entités financières [lu : logiciel-dora.com] : établissements de crédit, établissements de paiement, établissements de monnaie électronique, sociétés d'investissement, organismes de placement collectif, entreprises d'assurance et de réassurance, prestataires de services sur crypto-actifs, et leurs prestataires de services TIC tiers critiques désignés. Les petites entités bénéficient de dispositions allégées prévues par le texte.
NIS2 et DORA s'appliquent-ils aux mêmes organisations ?
Pas nécessairement. NIS2 couvre des secteurs critiques de l'économie ; DORA couvre les entités financières. Une entité financière opérant dans un secteur couvert par NIS2 peut relever des deux textes. Dans ce cas, les obligations se cumulent, même si les principes sous-jacents (analyse de risques, gestion des incidents, surveillance des tiers) sont partagés.
Quel est le délai pour se mettre en conformité avec NIS2 ?
La directive (UE) 2022/2555 devait être transposée par les États membres au plus tard le 17 octobre 2024. Les exigences sont donc applicables dans les États qui ont transposé dans ce délai. Les organisations concernées doivent vérifier l'état de transposition dans leur pays et les délais éventuellement accordés par l'autorité nationale compétente.
Un logiciel peut-il prouver la conformité à NIS2 ou DORA à une autorité de contrôle ?
Un logiciel ne prouve rien par lui-même. Il organise les preuves que l'organisation constitue : analyses de risques datées, politiques approuvées par la direction, registres de fournisseurs, journaux d'incidents, résultats de tests. La valeur d'un logiciel pour un contrôle tient à la traçabilité qu'il apporte : chaque preuve est horodatée, attribuée à un responsable nommé et accessible sur demande.
Demander une démonstration Optivalue.ai
<!-- BALISAGE GEO / Schema.org (JSON-LD à injecter dans le <head>) -->
Haut de pageSur le même sujet