DORA ou NIS2 — laquelle s'applique à votre entreprise ?
Une réponse en 30 secondes, le comparatif, et la règle précise que la plupart des articles ratent — y compris pour l'ILR, la CSSF et les tests fondés sur la menace.
La réponse courte : si votre société est une entité financière supervisée par la CSSF ou le Commissariat aux Assurances, vos obligations en matière de risque cyber découlent de DORA, et non de la loi NIS2 — mais « pas NIS2 » est trop simple, et se tromper sur la nuance coûte cher dans les deux sens.
La plupart des articles résument cela à « la finance est exemptée de NIS2 ». C'est faux. Les deux régimes s'articulent par un mécanisme juridique précis, et la conséquence pratique — quelle autorité vous supervise, ce que vous devez tester, ce que vous devez à vos clients — dépend de sa bonne compréhension.
La réponse en 30 secondes
Avant le détail, voici où se situent la plupart des entreprises luxembourgeoises :
| Vous êtes… | Votre référentiel cyber |
|---|---|
| Une entité financière supervisée par la CSSF ou le CAA (banque, entreprise d'investissement, assureur, établissement de paiement/monnaie électronique, gestionnaire de fonds, prestataire crypto…) | DORA — il prime sur NIS2 pour vous |
| Dans un autre secteur critique (énergie, transport, santé, eau, infrastructure numérique, alimentaire, industrie concernée…) et de taille moyenne ou plus | NIS2 — la loi du 5 mai 2026, sous l'ILR |
| Un prestataire IT, cloud ou services managés du secteur financier | DORA vous atteint via les contrats de vos clients — et NIS2 peut s'appliquer à vous en propre |
En trois questions :
- Êtes-vous agréé ou enregistré par la CSSF ou le CAA ? Oui → DORA, et vous pouvez vous arrêter là.
- Sinon : êtes-vous dans un secteur NIS2 avec environ 50 salariés ou plus (ou un type visé quelle que soit la taille : DNS/TLD, services de confiance, télécoms) ? Oui → NIS2.
- Ni l'un ni l'autre, mais vous servez des clients financiers ? DORA descend dans vos contrats, et vous pouvez aussi être une entité NIS2.
Pourquoi DORA prime : la règle du lex specialis
L'article 4 de la loi NIS2 tranche le chevauchement. Lorsqu'un acte européen sectoriel impose des obligations de gestion du risque ICT et de déclaration d'incidents au moins équivalentes à NIS2, cet acte prime. Pour le secteur financier, cet acte est DORA — le règlement (UE) 2022/2554, directement applicable dans toute l'UE depuis le 17 janvier 2025. DORA est donc lex specialis : pour la gestion du risque ICT et la déclaration des incidents liés aux ICT, ses règles remplacent les règles NIS2 équivalentes.
C'est une règle de priorité, pas une exclusion. Les entités financières ne disparaissent pas de NIS2 — DORA régit simplement les parties qu'il couvre. Certaines notions NIS2 peuvent encore compter aux marges, pour les relations de la chaîne d'approvisionnement ICT et les infrastructures hors du champ de DORA. En pratique, une entité financière conduit son programme cyber selon DORA et cesse de se demander si l'ILR la surveille.
Êtes-vous une « entité financière » au sens de DORA ?
Le champ de DORA est large. Il couvre, parmi une vingtaine de catégories : les établissements de crédit (banques), les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les dépositaires centraux et contreparties centrales, les plateformes de négociation, les gestionnaires de fonds — AIFM et sociétés de gestion OPCVM, les entreprises d'assurance et de réassurance et leurs intermédiaires, les agences de notation, et les prestataires de financement participatif. Si vous êtes agréé ou enregistré par la CSSF ou le CAA, vous êtes presque certainement dans le champ.
Au Luxembourg, votre autorité est la CSSF ou le CAA — pas l'ILR
C'est le point qui surprend. L'ILR est l'autorité de cybersécurité par défaut au titre de la loi NIS2, mais les entités financières relèvent — par dérogation — de leur superviseur prudentiel. La CSSF supervise les banques, les entreprises d'investissement, les gestionnaires de fonds, les établissements de paiement et de monnaie électronique et les prestataires sur crypto-actifs ; le Commissariat aux Assurances (CAA) supervise les entreprises d'assurance et de réassurance. Le Luxembourg a adopté sa loi de mise en œuvre de DORA en juillet 2024, désignant ces deux autorités et leur conférant des pouvoirs de supervision et de sanction.
L'erreur qui coûte des deux côtés. S'enregistrer auprès de l'ILR alors que DORA vous régit, et vous avez répondu au mauvais régulateur. Supposer que DORA couvre tout et ignorer NIS2, et vous pouvez manquer les obligations résiduelles aux marges. Aucune de ces erreurs n'est fatale isolément — mais pour une société qui vend de la confiance, paraître confus sur le régime applicable est en soi un coût de réputation.
NIS2 et DORA en un coup d'œil
| NIS2 | DORA | |
|---|---|---|
| Type de texte | Directive UE, transposée en droit national (LU : loi du 5 mai 2026) | Règlement UE, directement applicable |
| Applicable depuis | Obligations nationales en cours de déploiement (Luxembourg, 2026) | 17 janvier 2025 |
| Qui est couvert | Entités essentielles et importantes dans ~18 secteurs critiques | Entités financières + leurs prestataires ICT critiques |
| Seuil de taille | Généralement 50 salariés ou 10 M€ de CA ; certains types quelle que soit la taille | Selon le type d'entité — largement indépendant de la taille |
| Autorité au Luxembourg | ILR (+ CSIRT national) | CSSF (banque/marchés), CAA (assurance) |
| Tests obligatoires | Fondés sur le risque ; tests attendus | Tests de résilience ; tests fondés sur la menace (TLPT) si important |
Ce que DORA exige réellement
DORA repose sur cinq piliers, plus exigeants que le socle NIS2 :
- Gestion du risque ICT — un cadre documenté, porté et approuvé par l'organe de direction, couvrant tout le cycle de vie de vos systèmes ICT.
- Gestion et déclaration des incidents ICT — classification des incidents selon des seuils définis, et déclaration des incidents majeurs à la CSSF ou au CAA selon un calendrier harmonisé qui prime sur celui de NIS2.
- Tests de résilience opérationnelle numérique — un programme régulier de tests, allant jusqu'aux tests d'intrusion fondés sur la menace (TLPT) pour les entités que la CSSF juge importantes.
- Risque lié aux tiers ICT — un registre d'information obligatoire sur chaque contrat de service ICT, des clauses contractuelles imposées par DORA, et une surveillance des prestataires tiers critiques au niveau européen.
- Partage d'informations — échange volontaire de renseignements sur les cybermenaces entre entités financières.
TLPT : le test que DORA rend non facultatif
Pour les entités financières importantes, DORA impose des tests d'intrusion fondés sur la menace — un exercice red team contrôlé, guidé par le renseignement, mené sur les systèmes de production en conditions réelles qui supportent vos fonctions critiques ou importantes. Au Luxembourg, la CSSF est l'autorité TLPT au titre de l'article 46 de DORA et opère le cadre national TIBER-LU, dérivé de TIBER-EU de la BCE et détaillé par le règlement délégué (UE) 2025/1190. La CSSF identifie qui doit tester et valide le périmètre. Ce n'est pas un test d'intrusion pour cocher une case ; c'est une simulation d'adversaire complète, encadrée par un dispositif formel.
Si vous fournissez des services ICT à une entité financière
DORA dépasse les seules entités financières. Comme elles doivent imposer des clauses conformes à DORA à leurs prestataires ICT et enregistrer chaque contrat, ces obligations descendent dans vos contrats si vous servez le secteur. Un éditeur de logiciels, un prestataire de services managés ou un intégrateur cloud vendant à la finance luxembourgeoise se verra de plus en plus demander de prouver des contrôles alignés sur DORA — contractuellement, par le client, plutôt que par un régulateur. C'est la même dynamique de chaîne d'approvisionnement que crée NIS2, un régime plus loin.
Comment nous aidons
Nous sommes des testeurs et évaluateurs indépendants. Pour les entités financières, nous cartographions votre posture au regard des piliers DORA, préparons votre documentation de risque ICT et votre registre d'information, et menons les tests de résilience opérationnelle — y compris une simulation d'adversaire cadrée qui reflète le modèle TLPT. Pour les prestataires ICT du secteur, nous prouvons les contrôles que vos clients financiers exigent désormais. Nous ne sommes pas un organisme de certification et n'agissons pas pour la CSSF ; un superviseur valide sa propre appréciation. Ce que nous vous donnons, c'est une position testée et documentée que vous pouvez lui présenter.
Vous ne savez pas de quel régime vous relevez, ou si une entité précise de votre groupe entre dans le champ de DORA ? C'est une courte conversation, et elle vaut la peine d'être tenue avant de bâtir quoi que ce soit au mauvais standard.