NIS2, DORA et RGPD : Cartographie des Exigences Croisées

2.1 NIS2 : la sécurité des réseaux et systèmes d'information

La directive NIS2 (Directive (UE) 2022/2555), entrée en vigueur le 16 janvier 2023 et devant être transposée en droit national avant le 17 octobre 2024, élargit considérablement le champ d'application de la directive NIS originale. En France, la transposition est désormais effective depuis début 2025, avec l'ANSSI comme autorité compétente. Cartographie complète des exigences croisées NIS2, DORA et RGPD : matrice de correspondance, synergies réglementaires, stratégie GRC unifiée, rôles. Le cadre réglementaire européen impose des exigences croissantes aux organisations. Ce guide sur nis2 dora rgpd exigences croisees fournit les clés de compréhension et de mise en conformité. Nous abordons notamment : 7. checklist opérationnelle de conformité triple, questions frequentes et 8. conclusion : transformer la contrainte en avantage compétitif. Les professionnels y trouveront des recommandations actionnables, des commandes prêtes à l'emploi et des stratégies de mise en œuvre adaptées aux environnements d'entreprise.

NIS2 distingue deux catégories d'entités :

• Entités essentielles : énergie, transports, santé, eau potable, infrastructures numériques, espace, administration publique, secteur bancaire. Régime de supervision proactif, contrôles ex ante.
• Entités importantes : services postaux, gestion des déchets, fabrication, production alimentaire, fournisseurs numériques (SaaS, marketplaces, moteurs de recherche). Supervision réactive, contrôles ex post.

Les obligations principales : analyse de risques formalisée, mesures de sécurité proportionnées, notification des incidents significatifs à l'autorité compétente (alerte précoce sous 24h, notification complète sous 72h, rapport final sous 1 mois), gouvernance avec responsabilité de la direction, sécurité de la chaîne d'approvisionnement, et formation des dirigeants. Pour une analyse approfondie de la phase opérationnelle, consultez notre article sur NIS2 phase opérationnelle 2026.

2.2 DORA : la résilience opérationnelle numérique du secteur financier

Le règlement DORA (Règlement (UE) 2022/2554), applicable depuis le 17 janvier 2025, est un règlement (pas une directive) -- il s'applique directement sans transposition nationale. Il cible spécifiquement le secteur financier : banques, assurances, sociétés de gestion, prestataires de services de paiement, établissements de monnaie électronique, et de manière inédite, les prestataires tiers critiques de services TIC (cloud providers, data centers, éditeurs de logiciels).

DORA repose sur cinq piliers :

1. Gestion des risques liés aux TIC : cadre de gestion des risques incluant identification, protection, détection, réponse et récupération.
2. Gestion des incidents TIC : classification, notification (alerte initiale sous 4h pour incidents majeurs, rapport intermédiaire sous 72h, rapport final sous 1 mois), registre des incidents.
3. Tests de résilience opérationnelle numérique : tests de pénétration avancés (TLPT - Threat-Led Penetration Testing) obligatoires tous les 3 ans pour les entités significatives.
4. Gestion des risques liés aux prestataires tiers de services TIC : registre des contrats, clauses contractuelles obligatoires, stratégie de sortie, droits d'audit et d'accès.
5. Partage d'informations : échange volontaire de renseignements sur les cybermenaces entre entités financières.

Comment démontrez-vous l'accountability exigée par le RGPD en cas de contrôle ?

Pour un bilan complet de conformité, voir notre article DORA 2026 : bilan de conformité.

2.3 RGPD : la protection des données personnelles

Le RGPD (Règlement (UE) 2016/679), applicable depuis le 25 mai 2018, reste la pierre angulaire de la protection des données en Europe. Son article 32 impose des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, incluant le chiffrement, la pseudonymisation, la confidentialité, l'intégrité, la disponibilité des systèmes, et la capacité de rétablir les données après un incident.

Du point de vue cybersécurité, le RGPD impose :

• Notification de violation (Art. 33-34) : notification à l'autorité de contrôle (CNIL en France) dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles. Notification aux personnes concernées si risque élevé.
• Analyse d'impact (AIPD/DPIA) (Art. 35) : pour les traitements à risque élevé. Inclut une évaluation de la nécessité, de la proportionnalité et des mesures de sécurité.
• Privacy by Design & by Default (Art. 25) : intégration de la protection des données dès la conception des systèmes.
• Registre des traitements (Art. 30) : inventaire exhaustif des traitements de données personnelles.
• Désignation d'un DPO (Art. 37-39) : obligatoire pour les organismes publics, les traitements à grande échelle et le suivi systématique de personnes.

En 2026, la CNIL renforce ses contrôles sur la sécurité technique, comme détaillé dans notre article RGPD 2026 : sécurité et exigences CNIL.

Les trois textes imposent une responsabilité au niveau de la direction (board-level accountability), mais avec des degrés d'exigence variables :

• NIS2 (Art. 20) : les organes de direction doivent approuver les mesures de gestion des risques, superviser leur mise en oeuvre et suivre une formation en cybersécurité. Ils sont personnellement responsables en cas de manquement. C'est le texte le plus explicite sur la responsabilité personnelle des dirigeants.
• DORA (Art. 5) : l'organe de direction est responsable du cadre de gestion des risques TIC. Il doit définir les rôles, approuver la stratégie de résilience et allouer les ressources. Obligation de formation spécifique sur les risques TIC.
• RGPD : le responsable de traitement (l'organisation) est responsable de la conformité. La responsabilité personnelle des dirigeants n'est pas explicitement prévue dans le texte, mais la CNIL peut sanctionner les personnes physiques selon le droit national. Le DPO rend compte "au niveau le plus élevé de la direction" (Art. 38).

3.4 Audits, contrôles et tests

Chaque texte prévoit des mécanismes d'audit et de contrôle, avec des niveaux de formalisme croissants :

3.5 Sanctions : l'addition peut être salée

Un manquement à un seul incident peut entraîner des sanctions au titre des trois textes simultanément. Les sanctions ne se substituent pas -- elles se cumulent :

• NIS2 : jusqu'à 10 millions d'euros ou 2 % du CA mondial pour les entités essentielles ; 7 millions ou 1,4 % pour les entités importantes. Plus : responsabilité personnelle des dirigeants et possibilité de suspension temporaire de l'exercice de fonctions de direction.
• DORA : sanctions définies par chaque État membre, incluant amendes, injonctions et publication des décisions. Les prestataires TIC critiques sont soumis à des astreintes journalières (jusqu'à 1 % du CA mondial quotidien).
• RGPD : jusqu'à 20 millions d'euros ou 4 % du CA mondial (le montant le plus élevé). En 2025, la CNIL a prononcé des sanctions cumulées dépassant 500 millions d'euros.

Pour une banque soumise aux trois textes, un incident majeur avec fuite de données personnelles pourrait théoriquement entraîner : 2 % CA (NIS2) + sanctions ACPR (DORA) + 4 % CA (RGPD) = potentiellement 6 % du CA mondial en amendes cumulées, sans compter les dommages réputationnels et les coûts de remédiation.

Votre conformité ISO 27001 se traduit-elle par une amélioration réelle de votre sécurité ?

L'utilisation d'ISO 27001:2022 comme framework de base offre un avantage considérable : sa Déclaration d'Applicabilité (DdA) peut être étendue pour intégrer les exigences spécifiques de NIS2, DORA et RGPD non couvertes par la norme. De plus, la certification ISO 27001 est explicitement reconnue par NIS2 (considérant 79) comme preuve de conformité aux mesures de sécurité, et par DORA comme référentiel technique. Un SMI basé sur ISO 27001 réduit l'effort d'audit en permettant une certification unique qui satisfait 70 à 80 % des exigences des trois textes.