NIS2 secteur bancaire : ce que DORA remplace et ce que votre MSP doit encore

Le directeur des risques d'une banque régionale vous transmet un questionnaire NIS2 reçu par son conseil d'administration. Votre MSP héberge leur outil de ticketing et gère leur parc de postes. Sa question : « Faut-il y répondre, ou DORA suffit-il ? »

La réponse honnête : les deux. Dans le secteur bancaire NIS2, DORA remplace l'essentiel des obligations de NIS2, mais la banque ne sort pas de NIS2 pour autant. Et vous, fournisseur, êtes happé par un tout autre référentiel.

NIS2 secteur bancaire : DORA est lex specialis, pas une exemption

NIS2 (directive (UE) 2022/2555) range les établissements de crédit à l'annexe I, secteur 3 (secteur bancaire), et les plateformes de négociation et contreparties centrales au secteur 4 (infrastructures des marchés financiers). Ces clients sont donc couverts par secteur.

L'article 4 de NIS2 fait ensuite le tri. Lorsqu'un acte sectoriel de l'Union impose des mesures de gestion des risques de cybersécurité ou la notification des incidents importants, et que ces exigences sont au moins équivalentes, les dispositions correspondantes de NIS2 ne s'appliquent pas, y compris celles du chapitre VII sur la supervision et l'exécution.

Le considérant 28 de NIS2 indique que le règlement (UE) 2022/2554 (DORA) doit être considéré comme un acte sectoriel de l'Union. Le considérant 16 de DORA le qualifie de lex specialis par rapport à NIS2. L'article 1er, paragraphe 2, de DORA le confirme pour l'application de l'article 4 de NIS2.

Lisez bien. DORA écarte certaines dispositions de NIS2. Il ne fait pas de la banque une entité hors NIS2.

Ce que DORA remplace, et qui supervise

Obligation NIS2	Ce qui s'applique à une entité financière DORA
Article 21, mesures de gestion des risques	Cadre DORA de gestion du risque lié aux TIC
Article 21, paragraphe 2, point d (chaîne d'approvisionnement)	Règles DORA sur le risque lié aux tiers TIC (chapitre V, articles 28 à 44)
Article 23, notification des incidents	Notification DORA des incidents majeurs liés aux TIC
Chapitre VII, supervision et sanctions	Superviseur financier et sanctions DORA

DORA s'applique directement depuis le 17 janvier 2025. En France, c'est l'ACPR qui contrôle le respect de DORA par les établissements qu'elle supervise, et la Banque de France qui veille à la résilience des infrastructures financières. Le 3 juillet 2026, l'ANSSI, l'ACPR et la Banque de France ont signé un accord de coopération sur la sécurité des systèmes d'information : incidents, contrôles, gestion de crise cyber et tests d'intrusion fondés sur la menace (TLPT).

Tous vos clients financiers ne relèvent pas de NIS2

C'est le point où la plupart des questionnaires se trompent. NIS2 ne nomme que les établissements de crédit et les infrastructures de marchés financiers. L'article 2, paragraphe 1, de DORA est bien plus large : établissements de paiement, entreprises d'investissement, dépositaires centraux de titres, référentiels centraux et entreprises d'assurance et de réassurance en font aussi partie.

Un assureur ou un établissement de paiement est donc soumis à DORA seul. Lui envoyer une analyse d'écarts NIS2 fait perdre du temps aux deux parties. Une banque, une plateforme de négociation ou une contrepartie centrale a besoin des deux lectures, DORA portant le fond.

Deux horloges de notification, un MSP au milieu

NIS2 demande une alerte précoce sous 24 heures, une notification d'incident sous 72 heures et un rapport final sous un mois. DORA applique une autre horloge aux incidents majeurs liés aux TIC. Selon le règlement délégué (UE) 2025/301, la notification initiale est due dans les quatre heures suivant la classification de l'incident comme majeur, et en tout état de cause dans les 24 heures suivant sa détection. Un rapport intermédiaire suit dans les 72 heures après la notification initiale, le rapport final dans le mois suivant le dernier rapport intermédiaire.

Votre client bancaire notifie au titre de DORA. Vos clients non financiers notifieront au titre de NIS2 une fois la loi adoptée. Si vous exploitez un SOC ou une file de tickets mutualisés, le même événement peut déclencher deux horloges le même jour. Votre runbook doit porter, par client, un indicateur du régime applicable. Le volet NIS2 est détaillé dans NIS2 Incident Reporting: The 24-Hour, 72-Hour and 1-Month Deadlines.

Où votre MSP est entraîné

C'est la réalité commerciale. Une banque soumise à DORA doit maîtriser son risque lié aux tiers TIC selon le chapitre V : un registre d'informations sur tous les accords contractuels portant sur des services TIC, et les clauses contractuelles minimales de l'article 30 dans votre contrat : description des services, localisation, assistance en cas d'incident, droits d'audit et d'accès, stratégie de sortie.

Le 18 novembre 2025, les autorités européennes de surveillance (AES) ont publié la première liste des prestataires tiers critiques de services TIC désignés au titre de DORA. La plupart des MSP n'y figurent pas. Vos clients bancaires répercuteront pourtant les mêmes attentes sur vous.

Vous avez aussi vos propres obligations NIS2. La gestion des services TIC interentreprises relève de l'annexe I : un MSP est donc généralement une entité essentielle ou importante à part entière. Deux régimes, une seule entreprise. Le recoupement pratique est traité dans NIS2 vs. DORA et NIS2 Supply Chain Security.

En France, la transposition de NIS2 reste en suspens

DORA est un règlement, NIS2 une directive. La France n'a pas encore transposé NIS2. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat, attend toujours son examen en séance à l'Assemblée nationale. Le 6 octobre 2026, la conférence des présidents l'a retiré de l'ordre du jour des 7 et 9 octobre, sans nouvelle date. Selon la presse spécialisée, ce texte porterait aussi l'adaptation du droit français à DORA. La France fait par ailleurs l'objet d'une procédure devant la Cour de justice pour non-transposition.

Concrètement : pour vos clients bancaires, DORA s'applique déjà pleinement. Pour le reste de votre portefeuille, NIS2 arrive, et ANSSI sera l'autorité de référence. Ailleurs, les marges diffèrent : en Allemagne, le § 28, alinéa 6, du BSIG écarte une série de dispositions NIS2 pour les entités DORA, et l'Italie a adopté le décret D.Lgs. 23/2025 pour DORA.

Si le groupe bancaire de votre client couvre plusieurs pays, notre guide sur le régulateur qui supervise votre client vous aidera.

Que faire cette semaine

1. Listez tous vos clients financiers et classez-les : établissement de crédit ou infrastructure de marché (NIS2 et DORA) ou autre entité financière (DORA seul).
2. Vérifiez chaque contrat au regard de l'article 30 de DORA. Les droits d'audit et les conditions de sortie manquent le plus souvent.
3. Ajoutez un indicateur de régime à votre runbook : horloge DORA de quatre heures ou horloge NIS2 de 24 heures.
4. Préparez dès maintenant votre propre dossier NIS2, sans attendre la loi Résilience.
5. Tenez prêtes les informations dont la banque a besoin pour son registre : services, sous-traitants, localisation des données.

Commencez par chez vous. Lancez un NIS2 Quick Scan gratuit pour obtenir une évaluation de préparation de votre propre posture de conformité, puis répondez au questionnaire de la banque avec des preuves plutôt que des promesses.

DORA remplace le référentiel de la banque. Il ne remplace pas les questions que vos clients vous posent.