Banque & NIS2 : comprendre l’articulation avec DORA

De quoi parle NIS2 ?

NIS2 fixe un socle horizontal de cybersécurité pour de nombreux secteurs, dont le secteur bancaire. Toutefois, lorsqu’un acte sectoriel impose des exigences au moins équivalentes, il prévaut : c’est le cas de DORA pour les entités financières s’agissant du risque TIC et de la notification des incidents.

La banque structure donc sa résilience autour de DORA et ne mobilise NIS2 que pour ce qui n’est pas couvert.

Le secteur « Banque » est-il concerné ?

Toutes les banques sont concernées par NIS2 comme entités essentielles, mais l’essentiel de leurs obligations de résilience numérique relève de DORA. La valeur de ce guide est de clarifier ce qui reste de NIS2 une fois DORA appliqué.

Cette articulation évite les doublons de gouvernance, de mesures et de notifications.

Obligations détaillées

Sanctions & risques

NIS2 prévoit jusqu’à 10 M€ ou 2 % pour les entités essentielles, mais son application est résiduelle dans la banque, où le régime prudentiel de DORA structure la supervision. Le risque principal est celui d’un dispositif mal articulé, générant des doublons ou des angles morts.

Une cartographie claire des deux textes est la meilleure protection.

Calendrier d’application

• 1DORA. Applicable depuis le 17 janvier 2025 ; prévaut pour le risque TIC.
• 2NIS2. Transposition française en cours ; portée résiduelle pour la banque.

Erreurs fréquentes dans le secteur

• 1Dispositifs dupliqués. Bâtir deux dispositifs parallèles NIS2 et DORA.
• 2Prévalence ignorée. Ne pas reconnaître que DORA prime pour le risque TIC.
• 3Doubles notifications. Notifier deux fois le même incident sans coordination.
• 4Articulation non documentée. Ne pas formaliser la cartographie des obligations.

Cas pratique

Une banque avait initié un chantier NIS2 avant l’entrée en application de DORA. Elle rationalise en plaçant DORA au centre de sa résilience TIC, en réaffectant les travaux NIS2 au périmètre résiduel et en unifiant ses procédures d’incident — supprimant les doublons de gouvernance et de reporting.

Feuille de route de mise en conformité

1. 1

   Cartographier les obligations. Comparer le champ couvert par DORA et par NIS2.

2. 2

   Prioriser DORA. Structurer la résilience TIC autour de DORA.

3. 3

   Couvrir le résiduel. Traiter les points NIS2 non couverts par DORA.

4. 4

   Coordonner les notifications. Articuler les canaux pour éviter les doublons.

5. 5

   Documenter. Formaliser l’articulation pour les autorités et les audits.

Questions fréquentes