Introduction
Le 3 juillet 2026, l’Agence nationale de la sécurité des systèmes d’information (ANSSI), l’Autorité de contrôle prudentiel et de résolution (ACPR) et la Banque de France ont signé un accord destiné à renforcer l’échange d’informations et la coopération entre leurs missions respectives dans le domaine de la sécurité des systèmes d’information. L’accord prolonge une coopération engagée dès 2018 entre ces trois institutions et l’inscrit dans le cadre des nouvelles missions que leur confèrent les réglementations européennes.
Il intervient dans un contexte de pression cyber croissante sur le système financier et de recomposition du paysage réglementaire. Depuis le 17 janvier 2025, les entités financières entrant dans le champ de DORA appliquent ce règlement relatif à la résilience opérationnelle numérique. En parallèle, la France achève la transposition de la directive NIS2, appelée à étendre les obligations de cybersécurité à dix-huit secteurs et à un périmètre estimé par l’ANSSI à près de 15 000 entités, contre environ 300 sous la première directive NIS.
L’accord ne modifie aucune obligation prévue par NIS2 ou par DORA. Sa portée est institutionnelle et opérationnelle : il donne aux trois autorités françaises les moyens de partager leurs informations, de coordonner leurs contrôles et d’organiser leur réponse commune lorsqu’un incident menace la stabilité du système financier. Il consacre surtout une évolution de fond. La conformité cyber quitte le registre des réglementations traitées en silo pour devenir un exercice de coordination entre sécurité technique, supervision prudentielle, continuité d’activité et stabilité financière.
Trois autorités aux responsabilités complémentaires face au risque cyber financier
Un incident cyber frappant une institution financière se déploie sur plusieurs plans à la fois. Une attaque contre une banque peut compromettre ses systèmes d’information, interrompre des services de paiement, exposer des données clients, se propager à ses prestataires technologiques, dégénérer en crise opérationnelle et, à terme, faire naître un risque prudentiel ou systémique appelant l’intervention de plusieurs autorités. En l’absence de coordination, une même organisation s’expose à des demandes divergentes, à des circuits de notification redondants et à des interventions mal articulées.
L’accord du 3 juillet 2026 organise précisément la complémentarité de trois institutions dont les champs d’intervention restent distincts tout en étant étroitement liés.
| Institution | Fonction principale |
|---|---|
| ANSSI et CERT-FR | Prévention, analyse de la menace et réponse technique aux incidents de cybersécurité affectant le secteur financier |
| ACPR | Supervision prudentielle et contrôle du respect de DORA par les banques, assurances et autres entités de son périmètre |
| Banque de France | Résilience des infrastructures financières et contribution à la stabilité du système financier |
La logique de l’accord tient dans cette répartition : établir une capacité collective de supervision et de réaction, chaque autorité conservant son rôle propre au sein d’un dispositif coordonné.
NIS2 et DORA : un cadre transversal et sa déclinaison financière
NIS2 et DORA concourent à la cybersécurité européenne selon des périmètres et des finalités différents.
La directive NIS2 (directive UE 2022/2555) constitue un cadre transversal. Elle vise un niveau élevé et harmonisé de cybersécurité dans l’ensemble de l’Union et couvre des entités essentielles et importantes réparties dans dix-huit secteurs, parmi lesquels l’énergie, les transports, la santé, les infrastructures numériques, l’administration publique, la finance et la gestion des services TIC.
Le règlement DORA (règlement UE 2022/2554 du 14 décembre 2022) constitue, selon les termes mêmes de l’ACPR, la déclinaison de NIS2 pour le secteur financier. Directement applicable, il garantit que les entités financières résistent à une perturbation grave d’origine TIC, maintiennent leurs fonctions critiques et rétablissent leurs activités dans des conditions maîtrisées. Son article 2 énumère 21 catégories d’entités assujetties et couvre, prestataires TIC critiques compris, plus de 22 000 acteurs à l’échelle de l’Union selon les données du Comité européen du risque systémique.
| NIS2 | DORA |
|---|---|
| Directive européenne à transposer en droit national | Règlement directement applicable |
| Couvre 18 secteurs critiques | Cible 21 catégories d'entités financières |
| Approche générale de cybersécurité | Approche sectorielle de résilience opérationnelle numérique |
| Distingue entités essentielles et importantes | Adapte les obligations à la nature du secteur financier |
| Encadre risques cyber, incidents, fournisseurs et continuité | Encadre risques TIC, incidents, tests de résilience et tiers technologiques |
Sur le plan juridique, DORA opère comme lex specialis de NIS2 pour les entités financières qu’il couvre : lorsque ses exigences sectorielles atteignent un niveau au moins équivalent à celles de NIS2, elles prévalent. Cette règle découle de l’article 4 de la directive NIS2, relatif aux actes juridiques sectoriels de l’Union. Elle évite qu’une banque ou une compagnie d’assurance se voie imposer deux fois des obligations équivalentes en matière de gestion des risques cyber et TIC, de notification des incidents, de supervision, de contrôle et de mesures d’exécution.
La portée de DORA sur l'application de NIS2 dans la finance
Le principe de spécialité laisse subsister trois situations, qu’une analyse de périmètre permet de distinguer.
Les entités directement couvertes par DORA, banques, établissements de paiement, entreprises d’assurance, sociétés de gestion et autres acteurs listés à l’article 2, appliquent prioritairement le règlement pour les domaines couverts de manière équivalente. Leur conformité repose sur un cadre documenté de gestion des risques TIC, la classification et la notification des incidents majeurs, les tests de résilience opérationnelle numérique, la maîtrise des prestataires TIC, la continuité et le rétablissement des activités, ainsi que la responsabilité de l’organe de direction. DORA structure ces exigences autour de cinq piliers : gestion des risques TIC, notification des incidents, tests de résilience, gestion des tiers et partage d’informations.
Les entités du secteur financier non couvertes par DORA relèvent, le cas échéant, des dispositions pertinentes de NIS2 dès lors qu’elles remplissent les critères d’assujettissement. L’appartenance générale au secteur financier ne permet pas de conclure automatiquement que DORA se substitue à NIS2 : une analyse juridique du périmètre demeure indispensable.
Les prestataires technologiques du secteur financier, fournisseurs de cloud, prestataires de services managés, centres de données, opérateurs d’infrastructures numériques, peuvent relever directement de NIS2 au titre de leur propre activité. Travailler pour une banque ne les place pas sous le seul régime de DORA. Ils se situent souvent au croisement de plusieurs niveaux d’exigence : obligations directes au titre de NIS2, clauses contractuelles imposées par leurs clients financiers, surveillance européenne lorsqu’ils sont désignés prestataires tiers critiques par l’ESMA, l’EBA et l’EIOPA au titre de DORA, et exigences de sécurité et d’audit fixées dans les contrats d’externalisation. La chaîne d’approvisionnement technologique constitue ainsi le principal point de convergence entre les deux textes.
Le contenu de l'accord du 3 juillet 2026
L’accord structure la coopération autour de quatre domaines.
Le partage d’informations sur les incidents et les cybermenaces. Les autorités doivent croiser rapidement leurs analyses techniques, prudentielles et systémiques. Un incident touchant un prestataire cloud mutualisé entre plusieurs établissements dépasse le périmètre d’une seule banque : son traitement suppose d’apprécier le mode opératoire de l’attaquant, les systèmes compromis, les services affectés, les dépendances communes, la concentration du risque et la possibilité d’une propagation sectorielle. L’ANSSI et le CERT-FR apportent l’expertise technique sur les attaques et les vulnérabilités, l’ACPR évalue les conséquences pour les entités supervisées, et la Banque de France mesure les risques pesant sur les infrastructures et sur la stabilité financière.
La coordination des contrôles et l’assistance mutuelle. NIS2 et DORA élargissent les pouvoirs de supervision, qui se traduisent par des demandes documentaires, des contrôles, des audits et des vérifications portant sur l’efficacité réelle des mesures de sécurité. L’accord permet de coordonner ces interventions et de faciliter l’entraide entre institutions. Pour les entités concernées, la conséquence est directe : politiques de sécurité, analyses de risques, cartographies, registres d’incidents, résultats de tests et décisions de gouvernance gagnent à former un dispositif documentaire intégré et traçable, préparé une seule fois pour l’ensemble des réglementations plutôt que dupliqué texte par texte.
La gestion des crises cyber. Une crise cyber dans la finance atteint vite une dimension nationale. L’indisponibilité prolongée d’un service de paiement, la compromission d’un prestataire partagé ou une attaque coordonnée contre plusieurs banques exigent une réponse qui excède les capacités d’un seul établissement. L’accord articule la réponse technique à l’incident, la continuité des services financiers, la communication entre autorités, l’évaluation des conséquences prudentielles, la protection des infrastructures critiques et le suivi des effets systémiques. Cette préparation impose aux établissements d’élargir leurs exercices au-delà des seuls scénarios internes, pour tester leurs mécanismes de communication avec les autorités, leurs dépendances externes et leur capacité à s’inscrire dans une réponse sectorielle.
Les tests d’intrusion avancés fondés sur la menace (TLPT). Ces exercices reproduisent les méthodes d’un attaquant avancé à partir de renseignements sur les menaces réelles susceptibles de viser l’organisation. Ils évaluent la capacité de l’établissement à détecter une intrusion discrète, la résistance de ses fonctions critiques, l’efficacité de sa réponse, la coordination de ses équipes de défense, les risques liés à ses prestataires et l’aptitude de la direction à piloter une crise complexe. DORA impose ce type de test, selon une approche proportionnée, à certaines entités identifiées par les autorités compétentes ; en France, il s’appuie sur le cadre TIBER-FR piloté avec la Banque de France. La coordination institutionnelle garantit la cohérence, la sécurité et la reconnaissance des exercices menés.
Les effets de l'accord pour les organismes financiers
L’accord n’allonge pas la liste des obligations. Il rend leur supervision plus coordonnée et, par là, plus efficace. Pour les organisations concernées, la conséquence pratique tient en une orientation : construire un socle commun de gouvernance, de maîtrise des risques et de preuves, puis traiter séparément les exigences propres à chaque texte. Ce socle limite les doublons et sécurise les contrôles à venir.
| Domaine commun | Éléments à mutualiser |
|---|---|
| Gouvernance | Responsabilités, comités, décisions, reporting à la direction |
| Gestion des risques | Méthode, registre des risques, scénarios, plans de traitement |
| Actifs et services | Inventaire, cartographie, criticité, propriétaires |
| Incidents | Détection, qualification, escalade, conservation des preuves |
| Continuité | BIA, PCA, PRA, sauvegardes et exercices |
| Fournisseurs | Registre des tiers, criticité, clauses contractuelles et contrôles |
| Tests | Programme de tests, résultats, écarts et mesures correctives |
| Conformité | Référentiel d'exigences et bibliothèque de preuves auditables |
La mutualisation trouve sa limite dans les spécificités réglementaires. DORA conserve des exigences précises qui lui sont propres : registre d’information sur les contrats TIC, classification des incidents, tests de résilience et surveillance des prestataires tiers critiques. Ces obligations se greffent sur le socle commun sans s’y dissoudre.
ISO/IEC 27001 et ISO 22301 comme socle de mise en œuvre
Les normes ISO n’emportent pas conformité réglementaire. Elles fournissent une architecture de management qui facilite la mise en œuvre des exigences de NIS2 et de DORA et la production de preuves réutilisables.
La norme ISO/IEC 27001 structure la gouvernance de la sécurité de l’information, l’analyse et le traitement des risques, la définition des responsabilités, la gestion documentaire, l’évaluation de l’efficacité des mesures, les audits internes et l’amélioration continue. ISO 22301 prolonge cette approche sur le terrain de la continuité d’activité, à travers l’analyse d’impact, les stratégies de continuité, les plans de réponse et les exercices. Ensemble, ces référentiels font passer l’organisation d’une conformité fragmentée à un système de management intégré, dont les preuves servent indifféremment les contrôles NIS2 et DORA.
Pour approfondir cette articulation, DEVFORMA présente ses dispositifs d’accompagnement en conformité NIS2 et DORA ainsi que ses formations et certifications en cybersécurité, risques et résilience.
FAQ – NIS2 et DORA
DORA remplace-t-il NIS2 pour les banques ?
DORA constitue le texte sectoriel spécial pour les entités financières qu’il couvre. Ses dispositions s’appliquent à la place de celles de NIS2 lorsqu’elles traitent de manière équivalente la gestion des risques cyber, la notification des incidents, la supervision et l’exécution. NIS2 conserve sa pertinence pour les entités ou activités que DORA ne couvre pas.
L'accord du 3 juillet 2026 crée-t-il de nouvelles obligations ?
Non. Il organise l’échange d’informations, la coordination des contrôles, la gestion de crise et la coopération sur les tests TLPT entre l’ANSSI, l’ACPR et la Banque de France. Les obligations imposées aux entreprises restent inchangées.
Un prestataire informatique travaillant pour une banque relève-t-il de DORA ?
DORA impose aux entités financières de maîtriser les risques liés à leurs prestataires TIC, ce qui se traduit par des exigences contractuelles renforcées pour ces derniers. Le prestataire peut par ailleurs relever directement de NIS2 selon son activité et, s’il est désigné prestataire tiers critique, faire l’objet d’une surveillance européenne au titre de DORA.
Qui contrôle DORA en France ?
L’ACPR supervise le respect de DORA par les banques, les assurances et les autres entités de son périmètre. D’autres autorités interviennent selon la catégorie d’entité concernée. L’ANSSI et le CERT-FR conservent un rôle central dans la réponse technique nationale aux incidents cyber.
Une certification ISO 27001 suffit-elle pour être conforme à NIS2 ou à DORA ?
Non. Une certification ISO/IEC 27001 ne vaut pas conformité réglementaire. Elle constitue toutefois un socle structurant pour la gouvernance, l’analyse des risques, la gestion documentaire, les contrôles et l’amélioration continue.
Où en est la transposition de NIS2 en France ?
La transposition passe par la loi Résilience, qui transpose ensemble les directives REC et NIS2 et accompagne l’application de DORA. Adopté par le Sénat le 12 mars 2025 puis voté en commission spéciale à l’Assemblée nationale en septembre 2025, le texte a vu son examen en séance publique reporté à l’automne 2026 ; sa promulgation, puis les décrets d’application, restent attendus, pour de premiers contrôles anticipés en 2027. L’échéance européenne de transposition, fixée au 17 octobre 2024, est dépassée et la France fait l’objet d’une procédure d’infraction.
Accompagnement DEVFORMA
L’articulation entre NIS2 et DORA mobilise des compétences réglementaires, organisationnelles et techniques. DEVFORMA accompagne les professionnels et les organisations dans la compréhension et l’opérationnalisation de ces exigences, à travers le conseil et des formations certifiantes en NIS2, DORA, ISO/IEC 27001, ISO 22301 et gestion des risques.
Pour aller plus loin, consultez notre analyse du Référentiel Cyber France et des 20 objectifs.
Vous souhaitez évaluer votre périmètre réglementaire, structurer une analyse d’écart, construire une trajectoire de conformité NIS2-DORA ou former vos équipes grâce à nos formations NIS2 et DORA ? Contactez DEVFORMA pour étudier les besoins de votre organisation.
