La directive (UE) 2022/2555, dite NIS2, remplace la directive NIS de 2016 et élargit considérablement le champ de la réglementation cyber européenne. Pour un acteur financier, la question n'est pas « suis-je concerné ? » mais « par quel régime, et pour quel périmètre ? ».
NIS2 impose des mesures de gestion des risques cyber, une notification d'incidents en plusieurs temps et une responsabilité explicite des dirigeants. Mais pour la résilience opérationnelle numérique du secteur financier, DORA prime en tant que texte sectoriel spécial. L'enjeu pratique est donc de tracer la frontière : ce qui relève de DORA, ce qui reste sous NIS2, et ce qui relève des deux au titre d'activités non financières du groupe.
Une directive, donc des transpositions
Première différence structurante avec DORA : NIS2 est une directive, pas un règlement. Elle doit être transposée dans le droit de chaque État membre, ce qui laisse des marges d'appréciation — sur les seuils, sur les autorités compétentes, sur le régime de sanction. Un groupe présent dans plusieurs États membres ne peut pas présumer d'un régime uniforme : il doit lire chaque transposition nationale sur son périmètre.
Entités essentielles, entités importantes
NIS2 abandonne la logique de désignation individuelle par l'État au profit d'une logique de catégories et de tailles. Deux classes coexistent :
- les entités essentielles, soumises à une supervision *ex ante* : contrôles réguliers, inspections, audits de sécurité pouvant être imposés ;
- les entités importantes, soumises à une supervision *ex post* : l'autorité intervient lorsqu'elle a connaissance d'un manquement.
Les obligations de fond sont largement les mêmes ; c'est l'intensité du contrôle et le plafond des sanctions qui diffèrent.
Le secteur bancaire et les infrastructures de marché financier figurent parmi les secteurs hautement critiques visés par la directive. Mais l'articulation avec DORA change la donne opérationnelle.
L'articulation avec DORA
DORA est le texte spécial pour la résilience opérationnelle numérique des entités financières. Là où DORA couvre une exigence, il s'applique à la place de NIS2. En pratique, pour une banque ou une entreprise d'investissement, la gestion du risque TIC, la notification des incidents liés aux TIC, les tests de résilience et la surveillance des prestataires TIC se lisent dans DORA.
| Question | Réponse pratique |
|---|---|
| Gestion du risque TIC d'une banque | DORA |
| Notification d'un incident TIC majeur d'une banque | DORA |
| Tests de résilience d'une entité financière | DORA |
| Surveillance des prestataires TIC | DORA (et supervision européenne des CTPP) |
| Activité non financière du groupe (énergie, santé, numérique…) | NIS2, selon le secteur |
| Filiale hors périmètre DORA | NIS2, selon la transposition nationale |
Le piège classique est celui du groupe mixte : un conglomérat qui exploite, à côté de son activité bancaire, une activité de services numériques, de logistique ou d'énergie. La partie financière relève de DORA, l'autre peut relever de NIS2 — avec deux autorités, deux calendriers de notification et deux jeux de preuves à produire.
Les mesures de gestion des risques attendues
NIS2 énumère un socle de mesures minimales, à mettre en œuvre selon une approche « tous risques » et proportionnée à l'exposition :
- politiques d'analyse des risques et de sécurité des systèmes d'information ;
- gestion des incidents ;
- continuité d'activité, gestion des sauvegardes, reprise après sinistre, gestion de crise ;
- sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs ;
- sécurité de l'acquisition, du développement et de la maintenance des systèmes, avec traitement et divulgation des vulnérabilités ;
- politiques d'évaluation de l'efficacité des mesures ;
- pratiques d'hygiène informatique de base et formation à la cybersécurité ;
- politiques de cryptographie et de chiffrement ;
- sécurité des ressources humaines, contrôle d'accès, gestion des actifs ;
- authentification multifacteur et communications sécurisées.
La notification d'incident : le rythme à retenir
C'est le point le plus opérationnel de la directive. La notification se fait en trois temps auprès du CSIRT ou de l'autorité compétente :
L'alerte précoce, dans les vingt-quatre heures suivant la prise de connaissance de l'incident important, indique notamment si l'on soupçonne un acte illicite ou malveillant et s'il peut avoir un impact transfrontalier. La notification à soixante-douze heures actualise l'évaluation, précise la gravité, l'impact et les indicateurs de compromission. Le rapport final, au plus tard un mois après la notification, expose la description détaillée, le type de menace, les mesures d'atténuation appliquées et, le cas échéant, l'impact transfrontalier.
Un incident est important lorsqu'il a causé ou est susceptible de causer une perturbation opérationnelle grave ou des pertes financières, ou lorsqu'il a affecté ou est susceptible d'affecter d'autres personnes en causant un préjudice matériel ou immatériel considérable.
La responsabilité des dirigeants
NIS2 rend les organes de direction responsables de l'approbation des mesures de gestion des risques et de la supervision de leur mise en œuvre. La directive prévoit qu'ils suivent une formation en cybersécurité et encourage l'extension d'une formation similaire aux salariés. Les manquements peuvent engager leur responsabilité, et les autorités peuvent, pour les entités essentielles, suspendre temporairement l'exercice de fonctions dirigeantes.
Le déplacement le plus profond opéré par NIS2 n'est pas technique : il est organisationnel. La cybersécurité cesse d'être une affaire de direction informatique pour devenir une obligation de gouvernance, avec une chaîne de responsabilité qui remonte au conseil.
Ce qu'il faut faire, dans l'ordre
- Cartographier le groupe entité par entité et déterminer, pour chacune, le régime applicable : DORA, NIS2, ou les deux selon l'activité.
- Identifier les actifs essentiels — les systèmes dont l'indisponibilité arrête un service au public ou une fonction critique.
- Vérifier la couverture des dix familles de mesures, en réutilisant ce qui existe déjà (ISO 27001, PCA, politique de sécurité) plutôt qu'en repartant de zéro.
- Écrire une procédure de notification unique, avec un aiguillage clair entre le canal DORA et le canal NIS2 selon l'entité touchée.
- Traiter la chaîne d'approvisionnement : contrats fournisseurs, exigences de sécurité, remontée d'incidents.
- Documenter l'implication du conseil : formation suivie, décisions d'approbation, revues périodiques.
Le point de vigilance
La difficulté récurrente n'est pas de produire des politiques : c'est de démontrer qu'elles vivent. Preuves de tests, journaux d'exercices de crise, traces de revue des accès, comptes rendus d'instances : la conformité NIS2 se juge sur des artefacts datés, pas sur un corpus documentaire.
Ōri Advisory accompagne les groupes financiers sur la qualification NIS2 / DORA de leurs entités et sur la mise en place des procédures de notification.