Assurance & NIS2 : comprendre l’articulation avec DORA

De quoi parle NIS2 ?

NIS2 fixe un socle horizontal de cybersécurité pour de nombreux secteurs, y compris financier. Lorsqu’un acte sectoriel impose des exigences au moins équivalentes, il prévaut : c’est le cas de DORA pour les entités financières s’agissant du risque TIC et des incidents.

L’assureur structure donc sa résilience autour de DORA et ne mobilise NIS2 que pour le résiduel.

Le secteur « Assurance » est-il concerné ?

Les assureurs sont concernés par NIS2 au titre du secteur financier, mais l’essentiel de leurs obligations de résilience relève de DORA. La valeur de ce guide est de clarifier ce qui reste de NIS2 une fois DORA appliqué.

Cette articulation évite les doublons de gouvernance, de mesures et de notifications.

Obligations détaillées

Sanctions & risques

NIS2 prévoit jusqu’à 10 M€ ou 2 %, mais son application est résiduelle dans l’assurance, où le régime prudentiel de DORA structure la supervision. Le risque principal est un dispositif mal articulé, générant doublons ou angles morts.

Une cartographie claire des deux textes est la meilleure protection.

Calendrier d’application

• 1DORA. Applicable depuis le 17 janvier 2025 ; prévaut pour le risque TIC.
• 2NIS2. Transposition française en cours ; portée résiduelle pour l’assurance.

Erreurs fréquentes dans le secteur

• 1Dispositifs dupliqués. Bâtir deux dispositifs parallèles NIS2 et DORA.
• 2Prévalence ignorée. Ne pas reconnaître que DORA prime pour le risque TIC.
• 3Doubles notifications. Notifier deux fois le même incident sans coordination.
• 4Articulation non documentée. Ne pas formaliser la cartographie des obligations.

Cas pratique

Un assureur avait lancé des travaux NIS2 avant DORA. Il rationalise en plaçant DORA au centre de sa résilience TIC, en réaffectant les travaux NIS2 au périmètre résiduel et en unifiant ses procédures d’incident, supprimant les doublons.

Feuille de route de mise en conformité

1. 1

   Cartographier. Comparer les champs couverts par DORA et par NIS2.

2. 2

   Prioriser DORA. Structurer la résilience TIC autour de DORA.

3. 3

   Couvrir le résiduel. Traiter les points NIS2 non couverts par DORA.

4. 4

   Coordonner. Articuler les notifications pour éviter les doublons.

5. 5

   Documenter. Formaliser l’articulation pour les autorités et les audits.

Questions fréquentes