Résumé : NIS2 est une directive qui harmonise la cybersécurité de secteurs critiques, tandis que DORA est un règlement dédié à la résilience du secteur financier. Pour les entités financières, DORA prime au titre du principe de lex specialis, sans effacer totalement les obligations générales. Ces deux textes exigent une gouvernance des risques structurée.
En France, le nombre d’organisations soumises aux nouvelles règles de cybersécurité est multiplié par près de trente par rapport au régime précédent. Ce basculement place la question de la conformité au cœur des priorités des directions informatiques et juridiques. Comprendre les différences entre NIS2 et DORA devient indispensable pour éviter les angles morts réglementaires. Pour poser des bases claires, notre page dédiée à la Conformité NIS2 : obligations et repères détaille les repères essentiels.
Ces deux cadres européens répondent à une même logique : renforcer la résilience numérique face à des cybermenaces croissantes. Pourtant, ils ne visent ni les mêmes entités, ni les mêmes objectifs, ni la même mécanique juridique. Selon les estimations de l’ANSSI, plus de 15 000 entités françaises seront concernées par la directive, contre quelques centaines auparavant. Distinguer les deux régimes conditionne toute votre trajectoire de mise en conformité.
NIS2 et DORA : deux natures juridiques différentes
La première distinction est juridique, et elle change tout. NIS2 est une directive européenne. Elle fixe un cap commun, mais doit être transposée dans le droit national de chaque État membre avant de produire ses effets. DORA, à l’inverse, est un règlement européen : il s’applique directement, en l’état, dans tous les pays de l’Union, sans texte national intermédiaire.
Cette différence a des conséquences concrètes. DORA s’applique directement depuis le 17 janvier 2025 dans tout le secteur financier de l’Union. NIS2, elle, dépend du rythme de transposition propre à chaque pays, ce qui crée des variations d’un État à l’autre. Vous devez donc suivre non seulement le texte européen, mais aussi sa déclinaison nationale.
Des objectifs et des périmètres qui ne se recouvrent pas
Au-delà de la forme, les deux textes poursuivent des buts distincts. La directive vise à relever le niveau global de cybersécurité de l’Union en couvrant des secteurs jugés essentiels ou importants : énergie, transports, santé, infrastructures numériques, services bancaires, entre autres. Le règlement, lui, se concentre exclusivement sur la résilience opérationnelle numérique du secteur financier.
Le changement d’échelle est massif. À l’échelle européenne, la Commission estime que plus de 160 000 entités sont concernées par la directive, contre à peine 500 organisations sous le régime précédent en France. DORA, de son côté, cible un périmètre plus resserré mais très précis : 21 types d’entités financières, des établissements de crédit aux prestataires de crypto-actifs, en passant par les assureurs et les prestataires tiers de services informatiques.
Qui est concerné : entités essentielles, importantes et secteur financier
Savoir si vous êtes concerné dépend de votre secteur et de votre taille. La directive distingue les entités essentielles et les entités importantes, selon des seuils alignés sur la définition européenne des PME. En pratique, une grande entreprise d’un secteur hautement critique relèvera de la catégorie essentielle, avec des contrôles plus stricts.
DORA, à l’inverse, ne raisonne pas par seuils de taille mais par nature d’activité. Si votre organisation figure parmi les 21 catégories financières visées, vous êtes soumis au règlement, quelle que soit votre taille. Les recoupements sont fréquents : une banque peut relever à la fois du champ général de la directive et du régime financier. Pour cartographier vos écarts avant toute démarche, notre Audit de sécurité informatique : évaluer vos écarts constitue un point de départ concret.
Obligations et sanctions : ce qui distingue les deux régimes
Les deux textes imposent une gestion des risques, une notification des incidents et une responsabilisation des dirigeants. Mais leurs exigences divergent sur le détail. La directive insiste sur la sécurité de la chaîne d’approvisionnement et prévoit des sanctions financières chiffrées. Selon une analyse de Datacampus, les amendes peuvent atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes.
DORA se montre plus exigeant sur les tests de résilience : un programme de tests annuel et un test de pénétration fondé sur la menace au moins tous les trois ans. Le tableau ci-dessous synthétise les principaux points de comparaison, en incluant l’accompagnement que nous proposons.
| Critère | NIS2 | DORA | Weba Infogérance |
|---|---|---|---|
| Nature | Directive (transposition nationale) | Règlement (application directe) | Accompagnement des deux régimes |
| Périmètre | Secteurs critiques (multiples) | Secteur financier (21 entités) | Audit adapté à votre secteur |
| Focus | Cybersécurité globale | Résilience opérationnelle TIC | Sécurisation du SI et sensibilisation |
| Application | Depuis 2025 (selon transposition) | 17 janvier 2025 | Interlocuteur unique dédié |
DORA prime sur NIS2 : le principe de lex specialis
Voici la question qui revient le plus souvent : quel texte l’emporte quand une organisation relève des deux ? La réponse tient en un principe juridique. DORA est qualifié de lex specialis par rapport à la directive : une loi spéciale prime sur une loi générale. Pour les entités financières, c’est donc le règlement qui prévaut sur les obligations équivalentes de la directive.
Attention toutefois à la nuance. Cette primauté n’annule pas totalement les obligations générales pour une entité soumise aux deux cadres. Des incertitudes demeurent quant aux exigences de la directive non couvertes par le règlement. La supervision elle-même diffère : selon une analyse juridique de la transposition, l’ANSSI est l’autorité compétente pour la directive, tandis que l’ACPR et l’AMF supervisent le secteur financier au titre du règlement. Une approche intégrée de la conformité reste donc la voie la plus sûre.
Se mettre en conformité en 2026 : où en est la France
La situation française mérite attention. La date limite de transposition de la directive était fixée au 17 octobre 2024, mais le calendrier a pris du retard. Le projet de loi de résilience, qui transpose la directive et complète le règlement financier, a poursuivi son parcours parlementaire, avec une adoption par le Sénat en mars 2025 et un passage en commission spéciale à l’Assemblée nationale en septembre 2025. Les sources divergent encore sur la date exacte de promulgation définitive.
Même sans texte finalisé, l’attentisme n’est pas une option. L’ANSSI met déjà à disposition des ressources d’identification et de mise en conformité, et a annoncé un délai d’accompagnement d’environ trois ans après publication des exigences techniques, avant les premières sanctions. Les organisations les mieux préparées avancent dès maintenant : cartographie des systèmes critiques, évaluation des fournisseurs et désignation d’un responsable. Un Plan de reprise d’activité (PRA) : guide pour répondre aux exigences de résilience constitue un pilier de cette préparation.
L’essentiel à retenir sur ces deux cadres en France
Retenez que le rapport entre NIS2 et DORA n’est pas une concurrence mais une complémentarité. La directive élève le niveau de cybersécurité de nombreux secteurs, le règlement sécurise spécifiquement la finance, et ce dernier prime pour les entités financières. En France, où le cadre se précise progressivement en 2026, la meilleure stratégie consiste à traiter la conformité de façon unifiée plutôt qu’en silos. Commencez par un état des lieux de vos écarts, structurez votre gouvernance des risques, puis déclinez les spécificités sectorielles. Ce travail de fond garde sa valeur quel que soit le calendrier législatif.
Passez à l’action avec Weba Infogérance
Face à des exigences réglementaires qui se multiplient, vous avez besoin d’un partenaire capable de traduire ces textes en actions concrètes pour votre système d’information. Que vous soyez une entreprise soumise à la directive ou une entité financière, la mise en conformité demande méthode, gouvernance et suivi dans la durée.
Nous vous proposons un accompagnement personnalisé et évolutif, avec un interlocuteur technique dédié pour la gestion globale de votre parc informatique et la sécurisation de vos données. Profitez de notre audit et conseil pour la conformité NIS2 et DORA afin d’évaluer vos besoins et bâtir une feuille de route claire, aux coûts maîtrisés.
Questions fréquentes
La directive vise à harmoniser la cybersécurité de secteurs critiques variés, alors que le règlement se concentre uniquement sur la résilience opérationnelle du secteur financier. La première nécessite une transposition nationale, le second s’applique directement dans toute l’Union depuis janvier 2025.
Oui, notamment les acteurs bancaires. Dans ce cas, le règlement financier prime au titre du principe de lex specialis, mais certaines obligations générales de la directive peuvent subsister selon les points non couverts.
La directive prévoit des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et 7 M€ ou 1,4 % pour les entités importantes. Le règlement financier laisse l’appréciation des sanctions aux autorités nationales compétentes.
Le projet de loi de résilience a franchi plusieurs étapes parlementaires depuis 2025, et son entrée en vigueur pleine et entière se précise en 2026. L’ANSSI a annoncé un délai d’accompagnement d’environ trois ans après publication des exigences techniques.
Vous pouvez déjà cartographier vos systèmes critiques, évaluer vos fournisseurs et structurer votre gouvernance des risques. Un audit de sécurité et un plan de reprise d’activité, comme ceux que nous proposons, constituent des chantiers utiles quel que soit le calendrier réglementaire.
