Votre secteur d'activité détermine la loi applicable, et non votre taille
Le cadre réglementaire auquel votre organisation est soumise, DORA ou NIS2, dépend du secteur dans lequel vous exercez vos activités et non du nombre de collaborateurs ou du chiffre d'affaires de votre entreprise. DORA, le Règlement sur la résilience opérationnelle numérique, est le règlement européen spécifiquement destiné au secteur financier : banques, assureurs, entreprises d'investissement, établissements de paiement et certaines entités fournissant des services informatiques à ces établissements. La directive NIS2 s'adresse à tous les autres secteurs énumérés à l'annexe I et II, allant de l'énergie et du transport aux infrastructures numériques et aux eaux usées. Une entité du secteur financier qui relève de DORA ne relève donc pas simultanément de la directive NIS2 pour ces mêmes activités.
La raison pour laquelle cette question est souvent posée est que les deux cadres réglementaires se ressemblent : tous deux imposent la gestion des risques, la notification des incidents et l'attention portée aux fournisseurs. Quiconque a lu le texte de l'un des deux reconnaît presque automatiquement la structure de l'autre. Il est donc particulièrement important de d'abord déterminer lequel de ces deux cadres s'applique à votre organisation, avant de consacrer du temps à sa mise en œuvre.
Ce que DORA réglemente et pour qui
DORA a été rédigé spécifiquement pour le secteur financier car ce secteur est déjà soumis à une supervision stricte, avec ses propres autorités de surveillance, telles que la DNB et l'AFM aux Pays-Bas. Le règlement énumère une série d'entités : les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d'investissement, les assureurs et réassureurs, ainsi que les fonds de pension, ainsi que les prestataires informatiques critiques tiers desservant ces établissements, tels que les grands fournisseurs de services infonuagiques. Pour ces entités, DORA remplace le cadre général de diligence raisonnable de la directive NIS2 par un cadre adapté aux risques financiers et à la supervision qui en découle.
Ce que la directive NIS2 réglemente et pour qui
La directive NIS2 couvre les secteurs énumérés dans la directive elle-même : l'énergie, le transport, l'eau potable, les infrastructures numériques, la santé, et plusieurs autres désignés comme essentiels à l'annexe I et importants à l'annexe II. Une entreprise d'installation, un fournisseur de logiciels ou un prestataire de services logistiques qui n'exerce pas ses activités dans le secteur financier consulte donc cette liste et non DORA. En quelques questions, vérifiez si votre secteur d'activité figure sur cette liste cela vous donne rapidement une première indication, sans que vous ayez besoin de parcourir le texte complet de la directive.
Cas limites : quand la situation n'est pas immédiatement claire
La plupart des organisations voient en l'espace d'une minute dans quel cadre elles s'inscrivent. La situation devient plus complexe avec les formes intermédiaires : un courtier d'assurance, une société d'affacturage, une fintech proposant des services de paiement sans être elle-même un établissement de paiement agréé, ou un fournisseur informatique desservant à la fois des clients du secteur financier et des clients non financiers. Dans de tels cas, c'est le statut juridique précis de l'entité, et non le secteur dans lequel elle se considère, qui détermine le cadre réglementaire applicable. Les autorités de surveillance publient à ce sujet leurs propres orientations, et pour une situation concrète, elles constituent le point de contact approprié, aux côtés d'un juriste capable de mettre en parallèle les définitions de ces deux textes et vos activités réelles.
Une deuxième complication surgit au niveau des groupes : une société mère qui, en tant qu'entité du secteur financier, relève de DORA, peut avoir une filiale exerçant une activité entièrement différente et soumise indépendamment aux critères de la directive NIS2. Les deux cadres réglementaires examinent l'entité qui fournit le service, et non automatiquement l'ensemble du groupe.
La chaîne d'approvisionnement s'applique dans les deux sens
Ce que les deux cadres ont en commun, c'est qu'ils s'étendent au-delà des parties qui sont elles-mêmes soumises aux obligations. Tout comme une organisation soumise à NIS2 doit évaluer ses fournisseurs, le Règlement DORA oblige les institutions financières à évaluer leurs prestataires de services TIC et à conclure des accords à cet égard. Un prestataire informatique qui livre à une banque peut donc recevoir un questionnaire provenant du cadre DORA, tandis que ce même prestataire reçoit un questionnaire provenant du cadre NIS2 auprès d'un autre type de client. Il est utile pour ce prestataire lui-même de savoir quel cadre est à l'origine d'une question, car les documents justificatifs demandés sont organisés de manière légèrement différente. Pour plus d'informations sur le fonctionnement exact d'un tel questionnaire entrant, consultez la sujets relatifs à la chaîne d'approvisionnement et au questionnaire d'un client.
Comment vérifier cela pour votre propre organisation
Le moyen le plus rapide d'obtenir de la clarté pour vous-même est de vérifier votre propre licence ou inscription : si vous disposez d'une licence de la DNB ou de l'AFM, ou si vous êtes l'une des entités financières explicitement nommées, cela pointe vers DORA. Si votre secteur est nommé dans les annexes de la Directive NIS2, cela pointe vers NIS2. En cas de doute, il n'est pas inutile de placer les deux textes côte à côte, ou de poser la question directement à l'autorité de surveillance. Secria se concentre sur l'aspect NIS2 de cette question ; lors de la prise de contact, nous identifions les institutions financières et les orientons, afin que vous ne commenciez pas avec la mauvaise liste de contrôle. Comment nous déterminons précisément le secteur et le rôle dans la chaîne d'approvisionnement, et quelles sources nous utilisons à cet effet, vous pouvez le lire sur la page consacrée à comment l'information sur cette plateforme est élaborée.
Voulez-vous d'abord une indication avant de continuer à lire ? Effectuez le contrôle NIS2 gratuit ou parcourez la base de connaissances par sujet ; les deux sont accessibles sans compte et vous donneront une réponse en l'espace d'une demi-heure.