NIS2 vs DORA

DORA est un règlement et s'applique directement dans chaque État membre. NIS2 est une directive, que chaque État transpose dans son propre droit, comme l'explique la comparaison de Deloitte. L'Allemagne l'a fait dans une nouvelle version de la loi BSI (BSIG), que l'Office fédéral de la sécurité des systèmes d'information fait appliquer.

NIS2 couvre les moyennes et grandes organisations de secteurs allant de l'énergie, des transports et de la santé à la banque, aux infrastructures des marchés financiers, aux infrastructures numériques et aux services numériques. La loi allemande fixe les seuils à l'article 28: une entité importante compte au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs chacun à 10 millions d'euros; une entité particulièrement importante compte au moins 250 salariés, ou un chiffre d'affaires supérieur à 50 millions et un total de bilan supérieur à 43 millions d'euros.

DORA se dit lex specialis vis-à-vis de NIS2 dans son considérant 23, point soulevé dans une question à l'EIOPA sur les deux canaux de notification des incidents. Là où les deux textes couvrent le même terrain pour une entité financière, les règles de DORA s'appliquent.

La loi allemande le dit expressément. L'article 28(6) de la BSIG prévoit que les articles 30, 31, 32, 35, 36, 38 et 39 ne s'appliquent pas aux entités financières au sens de l'article 2(2) de DORA. Ces articles contiennent les mesures de gestion des risques, les obligations supplémentaires des exploitants d'installations critiques, les obligations de notification, l'information des destinataires des services, le retour d'information du BSI, les devoirs de la direction et les obligations de preuve pour les installations critiques. Une banque gère le risque TIC et notifie les incidents majeurs au titre de DORA, auprès de la BaFin.

L'exemption de l'article 28(6) ne mentionne pas l'article 33, l'obligation de s'enregistrer auprès du BSI. Une banque au-dessus des seuils vérifie donc si elle doit s'enregistrer.

L'effet le plus important se situe dans la chaîne d'approvisionnement. Un prestataire cloud, un exploitant de centre de données ou un prestataire de services gérés qui fait tourner des systèmes pour une banque peut relever de NIS2 au titre des infrastructures ou des services numériques s'il atteint les seuils de taille, avec ses propres mesures de gestion des risques et ses propres notifications au BSI. Le contrat de la banque avec ce prestataire se situe alors entre deux régimes: les règles de DORA sur les tiers du côté de la banque et NIS2 du côté du prestataire.

Formellement oui, car la banque est un secteur de NIS2. En pratique, la loi BSI allemande désactive ses obligations de gestion des risques, de notification et de direction pour les entités financières soumises à DORA, et une banque suit donc DORA sur ces points. La page sur la cybersécurité dans la finance allemande présente l'ensemble plus large des règles de sécurité.

Selon NIS2, une entité envoie une alerte précoce dans les 24 heures et une notification d'incident dans les 72 heures, d'après Clyde & Co. Selon DORA, une entité financière notifie un incident majeur lié aux TIC dans les 4 heures suivant sa classification et au plus tard 24 heures après sa détection, puis envoie des rapports intermédiaire et final. La page sur la notification des incidents DORA traite du côté DORA.

Pour une entité financière, DORA va plus loin sur plusieurs points. DORA ajoute des tests de pénétration fondés sur la menace au moins tous les trois ans pour certaines entreprises, un registre d'informations sur tous les contrats TIC et une surveillance directe par l'UE des prestataires TIC critiques. NIS2 fixe des plafonds d'amende allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entités essentielles et 7 millions d'euros ou 1,4 % pour les entités importantes.