Mis à jour le 6 octobre 2026 : délais de notification DORA (règlements 2025/301 et 2025/302), position de l'ANSSI sur le guichet unique, statut du Digital Omnibus et calendrier de la loi de résilience.
Banque, assurance, fintech, mutuelle : les organisations du secteur financier sont prises dans trois réglementations européennes qui se recouvrent en partie. Le RGPD protège les données personnelles, NIS 2 vise la cybersécurité des secteurs critiques, et DORA impose la résilience opérationnelle numérique au secteur financier. La question qui revient le plus, chez les DPO comme chez les RSSI, est celle du DORA vs NIS 2 : lequel s'applique, et lequel prime quand ils se chevauchent ? Ce guide donne une méthode de lecture par profil, explique la règle d'articulation entre DORA et NIS 2, détaille les trois horloges de notification d'incident et rappelle où le RGPD continue de s'appliquer.
DORA et NIS 2 sont des textes de cybersécurité et de résilience, pas des réglementations de protection des données personnelles. Pour une vue d'ensemble de la directive cybersécurité, consultez le guide pilier Directive NIS 2 : le guide complet.
Trois textes, trois objectifs, trois régulateurs
La première source de confusion vient du fait que ces trois textes partagent un terrain commun, la sécurité des systèmes d'information, mais poursuivent des objectifs distincts et relèvent d'autorités différentes. Les distinguer est le préalable à toute lecture.
En dehors du secteur financier, l'articulation se ramène le plus souvent à deux régimes : notre guide détaille ce que NIS 2 change pour le DPO par rapport au RGPD.
- RGPD (règlement (UE) 2016/679) : protège les données à caractère personnel. Il s'applique à tout responsable de traitement ou sous-traitant, quel que soit son secteur, dès qu'il traite des données personnelles. Autorité en France : la CNIL.
- NIS 2 (directive (UE) 2022/2555) : vise la cybersécurité des réseaux et systèmes d'information des secteurs critiques et importants. Elle concerne 18 secteurs au-dessus de seuils de taille. Autorité en France : l'ANSSI.
- DORA (règlement (UE) 2022/2554) : impose la résilience opérationnelle numérique aux entités financières (banques, assurances, sociétés de gestion, prestataires de services de paiement, etc.), applicable depuis le 17 janvier 2025. Autorités en France : l'ACPR et l'AMF, sous la coordination des autorités européennes de surveillance.
Point de vocabulaire utile : le RGPD et DORA sont des règlements, directement applicables dans toute l'Union, tandis que NIS 2 est une directive qui doit être transposée par une loi nationale pour devenir contraignante. En France, cette transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025 et inscrit à l'ordre du jour de l'Assemblée nationale à partir du 7 octobre 2026. Le calendrier et ses étapes sont suivis dans notre guide sur la transposition de NIS 2 en France.
DORA vs NIS 2 : la règle de la lex specialis
C'est l'articulation la plus délicate, et celle qui concerne directement le secteur financier. NIS 2 et DORA couvrent tous deux la gestion du risque lié aux technologies de l'information et de la communication (TIC). Pour éviter une double réglementation sur les mêmes obligations, le législateur européen a posé une règle claire, écrite dans les deux textes.
Côté NIS 2, l'article 4 prévoit que, lorsqu'un acte sectoriel de l'Union impose des obligations de cybersécurité au moins équivalentes, ce texte s'applique en lieu et place des dispositions correspondantes de la directive. Côté DORA, l'article 1, paragraphe 2, dit expressément que le règlement est cet acte sectoriel pour les entités financières. DORA est donc une lex specialis par rapport à NIS 2 : les entités financières appliquent DORA, et non NIS 2, sur le volet résilience et risque TIC.
Ce que cela change en pratique :
- une banque ou une compagnie d'assurance soumise à DORA n'a pas à se conformer en plus aux obligations équivalentes de NIS 2 sur la gestion du risque TIC, la notification d'incident ou les tests de résilience ;
- DORA est plus précis et plus exigeant que NIS 2 sur ces points : registre d'informations sur les prestataires tiers, tests de résilience opérationnelle, surveillance directe des prestataires critiques par les autorités européennes ;
- l'éviction de NIS 2 ne vaut que pour les obligations couvertes par DORA : l'article 19 de DORA permet aux États membres de demander que les notifications d'incident soient aussi transmises à l'autorité ou au CSIRT désignés au titre de NIS 2 ;
- le RGPD, lui, continue de s'appliquer en parallèle dans tous les cas, car il ne porte pas sur la résilience mais sur la protection des données personnelles.
DORA ou NIS 2 : quel texte s'applique selon votre profil ?
Plutôt qu'un tableau, voici une lecture par type d'organisation. Repérez le profil le plus proche du vôtre pour identifier les textes applicables.
- Banque, établissement de crédit : RGPD (toujours) et DORA (résilience et risque TIC, en tant que lex specialis). NIS 2 est écarté sur le volet TIC couvert par DORA.
- Assurance, mutuelle, institution de prévoyance : RGPD (avec une vigilance forte sur les données de santé, sensibles au sens de l'article 9) et DORA. Voir aussi notre guide RGPD et assurance.
- Fintech, prestataire de services de paiement, société de gestion : RGPD et DORA, dès lors que l'entité entre dans le périmètre des entités financières visées par DORA.
- Prestataire informatique ou tiers TIC travaillant pour le secteur financier : RGPD (notamment l'article 28 sur la sous-traitance) ; pas d'assujettissement direct à DORA, mais une exposition forte via les clauses que les clients financiers répercutent (article 30 de DORA). Les prestataires désignés critiques entrent en revanche dans un régime de surveillance directe : les autorités européennes de surveillance en ont publié une première liste de 19 le 18 novembre 2025. Selon l'activité (cloud, centre de données, services managés), une qualification NIS 2 reste possible.
- Entreprise hors secteur financier, dans un secteur NIS 2 (énergie, santé, transport, eau, administration, etc.) : RGPD et NIS 2. DORA ne s'applique pas. Pour savoir si vous êtes assujetti à NIS 2, le critère combine secteur et taille.
Les recouvrements opérationnels à gérer
Même quand un texte prime sur un autre, certaines obligations se ressemblent fortement d'un régime à l'autre. Les traiter de façon coordonnée évite de dupliquer le travail et de créer des angles morts.
Notification d'incident : trois horloges différentes
Un même incident, par exemple une attaque par rançongiciel touchant une base de données clients d'une banque, peut déclencher plusieurs obligations de notification, avec des délais, des points de départ et des destinataires distincts.
- RGPD : notification à la CNIL dans les 72 heures après avoir pris connaissance d'une violation de données personnelles susceptible d'engendrer un risque pour les personnes (article 33), et information des personnes concernées en cas de risque élevé (article 34).
- DORA : pour un incident majeur lié aux TIC, notification initiale à l'ACPR ou à l'AMF dans les 4 heures suivant sa classification comme majeur, et au plus tard 24 heures après en avoir pris connaissance ; rapport intermédiaire dans les 72 heures suivant la notification initiale ; rapport final au plus tard un mois après le dernier rapport intermédiaire. Ces délais sont fixés par l'article 5 du règlement délégué (UE) 2025/301, et les modèles de déclaration par le règlement d'exécution (UE) 2025/302.
- NIS 2 : alerte précoce sous 24 heures, notification d'incident sous 72 heures et rapport final sous un mois (article 23 de la directive), pour les entités qui relèvent de NIS 2 et non de DORA. En France, ces obligations deviendront opposables avec l'entrée en vigueur de la loi de résilience, l'ANSSI étant l'autorité destinataire.
Concrètement, pour une banque qui détecte un rançongiciel un lundi à 9 h et le classe comme incident majeur à 15 h : la notification initiale DORA est due au plus tard lundi à 19 h, la notification à la CNIL au plus tard jeudi à 9 h si des données personnelles sont touchées, et le rapport intermédiaire DORA au plus tard jeudi à 19 h. Deux horloges, deux points de départ, deux destinataires, pour un seul incident.
La bonne pratique consiste à construire une procédure de gestion d'incident unique qui embarque tous les circuits applicables dès la détection, en se calant sur le délai le plus court, et une seule chaîne de collecte des faits qui alimente chaque déclaration séparément.
Guichet unique de notification : ce qui est acté et ce qui ne l'est pas
Le formulaire unique pour la CNIL, l'ANSSI et l'ACPR n'existe pas, et ne devrait pas exister sous cette forme à court terme. Le 8 juillet 2026, interrogé sur un formulaire commun ACPR/AMF, ANSSI et CNIL, le directeur général de l'ANSSI, Vincent Strubel, a indiqué qu'un formulaire commun DORA/NIS 2 était en préparation, les deux cadres étant jugés suffisamment compatibles, mais qu'une fusion avec la notification RGPD placerait les entreprises face à des injonctions contradictoires : délais, analyse de risque et cinématique de la procédure diffèrent. Notre actualité détaille la position de l'ANSSI sur le guichet unique.
Au niveau européen, la proposition de règlement Digital Omnibus présentée par la Commission le 19 novembre 2025 prévoit un point d'entrée unique opéré par l'ENISA pour les notifications au titre de NIS 2, de DORA et du RGPD, et porterait le délai de notification RGPD à 96 heures pour les seules violations présentant un risque élevé. Début octobre 2026, ce volet est toujours en négociation entre le Conseil et le Parlement européen. Tant qu'il n'est pas adopté et entré en application, les délais décrits plus haut restent ceux qui s'appliquent.
Gestion des tiers et des sous-traitants
Les trois textes encadrent la relation avec les prestataires, sous des angles complémentaires. Le RGPD impose un contrat de sous-traitance et des garanties pour les prestataires qui traitent des données personnelles (article 28). NIS 2 demande de sécuriser la chaîne d'approvisionnement (article 21). DORA va le plus loin : registre d'informations sur les prestataires tiers de services TIC, clauses contractuelles obligatoires, stratégie de sortie, et surveillance directe des prestataires critiques par les autorités européennes. Une cartographie unique des prestataires, enrichie selon les exigences propres à chaque régime, sert les trois. Le premier bilan des superviseurs européens sur les incidents majeurs déclarés au titre de DORA, publié le 3 juin 2026, montre d'ailleurs que les défaillances de systèmes et les événements externes, souvent chez des tiers, pèsent plus que les cyberattaques : notre synthèse du rapport.
Tests de résilience et mesures de sécurité
L'article 32 du RGPD impose des mesures techniques appropriées et des tests réguliers de leur efficacité. NIS 2 demande d'évaluer l'efficacité des mesures de gestion des risques. DORA est le plus prescriptif avec un programme de tests de résilience opérationnelle numérique, allant jusqu'aux tests de pénétration fondés sur la menace (TLPT) pour les entités les plus significatives. Là encore, le socle technique est largement commun ; c'est la documentation et le niveau d'exigence qui varient.
Comment Leto vous aide, et où s'arrête son périmètre
Soyons clairs sur le périmètre : la conformité couverte par Leto porte sur le RGPD, l'AI Act et NIS 2, pas sur la mise en conformité DORA, qui relève du RSSI, de la direction des risques et de la direction générale. Sur le volet RGPD, qui reste applicable dans tous les profils décrits plus haut, Leto centralise le registre des traitements, les analyses d'impact, la gestion des demandes d'exercice de droits, le suivi des sous-traitants et la traçabilité des violations de données. Pour structurer cette brique, voir notre guide sur le RGPD.
Sur le volet NIS 2, la conformité NIS 2 dans Leto couvre le diagnostic des dix mesures de l'article 21, l'évaluation des fournisseurs et le suivi des notifications d'incident.
Sur le volet DORA, qui relève de la sensibilisation et non de la conformité couverte par Leto, l'enjeu humain reste central : la cyberhygiène et les réflexes des équipes conditionnent une grande partie du risque. Leto propose à ce titre un module de sensibilisation aux enjeux de protection des données et de cybersécurité.
Questions fréquemment posées
DORA, NIS 2 et RGPD : quelles différences ?
Le RGPD (règlement (UE) 2016/679) protège les données personnelles et relève de la CNIL. NIS 2 (directive (UE) 2022/2555) vise la cybersécurité des secteurs critiques et relève de l'ANSSI. DORA (règlement (UE) 2022/2554) impose la résilience opérationnelle numérique au secteur financier et relève de l'ACPR et de l'AMF. Une même organisation peut relever de plusieurs de ces textes en même temps, avec des autorités et des délais distincts.
Une banque doit-elle appliquer NIS 2 ou DORA ?
Une banque applique DORA, pas NIS 2, sur le volet résilience et risque TIC. DORA est une lex specialis pour le secteur financier : l'article 4 de NIS 2 et l'article 1, paragraphe 2, de DORA organisent ce remplacement pour les obligations équivalentes. Le RGPD, lui, continue de s'appliquer en parallèle pour la protection des données personnelles que la banque traite.
Qu'est-ce que la règle de la lex specialis entre DORA et NIS 2 ?
La lex specialis est le principe selon lequel un texte spécialisé prime sur un texte général lorsqu'ils couvrent la même matière. L'article 4 de NIS 2 prévoit que, lorsqu'un acte sectoriel impose des obligations de cybersécurité au moins équivalentes, cet acte s'applique à la place des dispositions correspondantes de NIS 2. DORA se désigne lui-même comme cet acte sectoriel pour les entités financières, qui appliquent donc DORA sur le risque TIC.
DORA ou NIS 2 : lequel s'applique à un prestataire TIC ?
Un prestataire TIC du secteur financier n'est pas une entité financière : DORA ne lui impose pas directement ses obligations, mais ses clients lui répercutent des clauses contractuelles, des engagements de notification et des droits d'audit. S'il est désigné prestataire tiers critique, il relève d'une surveillance directe des autorités européennes de surveillance, qui ont publié une première liste de 19 prestataires le 18 novembre 2025. NIS 2 peut s'appliquer en propre selon l'activité (cloud, centre de données, services managés), et le RGPD s'applique via l'article 28 dès qu'il traite des données personnelles pour ses clients.
Faut-il notifier un incident à la fois à la CNIL, à l'ANSSI et à l'ACPR ?
Cela dépend de l'incident et des régimes applicables. Une violation de données personnelles se notifie à la CNIL dans les 72 heures. Un incident majeur lié aux TIC dans une entité financière se notifie à l'ACPR ou à l'AMF dans les 4 heures suivant sa classification, et au plus tard 24 heures après sa découverte, puis par un rapport intermédiaire sous 72 heures et un rapport final sous un mois. Un incident relevant de NIS 2 se notifie à l'ANSSI sous 24 heures, puis 72 heures et un mois. Un même incident peut déclencher plusieurs de ces obligations, d'où l'intérêt d'une procédure unique.
Le Digital Omnibus va-t-il créer un guichet unique de notification ?
Il le propose, sans l'avoir encore créé. La proposition de la Commission du 19 novembre 2025 prévoit un point d'entrée unique opéré par l'ENISA pour NIS 2, DORA et le RGPD, et un délai de 96 heures pour les violations de données à risque élevé. Début octobre 2026, ce volet est toujours en négociation. En France, l'ANSSI prépare un formulaire commun DORA/NIS 2 mais écarte une fusion avec la notification RGPD.
Leto couvre-t-il la conformité DORA et NIS 2 ?
NIS 2, oui : Leto propose un logiciel de conformité NIS 2 (qualification de l'entité, diagnostic des mesures de l'article 21, suivi des incidents), en plus du RGPD et de l'AI Act. DORA, non : sa mise en conformité relève du RSSI, de la direction des risques et de la direction générale. Sur DORA, Leto intervient au titre de la sensibilisation des équipes aux enjeux de cybersécurité, pas de la conformité.
