Mis à jour le 28 août 2026

Comparatif · référentiel contre référentiel

ISO 27001 ou DORA : un certificat n’est pas un régime de contrôle.

ISO 27001 se choisit, s’audite et se certifie. DORA s’impose aux entités financières et se contrôle. Les deux demandent une grande partie des mêmes documents — ce qui explique pourquoi un SMSI en place fait gagner du temps, et pourquoi il ne suffit jamais.

Évaluer ma conformité — gratuit Voir le tableau

Chiffres relus dans les référentiels
Textes de niveau 2 nommés
Limites affichées

En bref

Trois différences qui changent tout.

L’obligation
ISO 27001 est volontaire : personne ne vous sanctionne si vous ne la visez pas. DORA est un règlement européen d’application directe, applicable depuis le 17 janvier 2025.
Le périmètre
En ISO 27001, vous définissez le périmètre du système de management. Dans DORA, le périmètre est fixé par le texte : le risque lié aux TIC de l’entité financière, prestataires compris.
La preuve finale
D’un côté un certificat d’organisme accrédité, valable trois ans. De l’autre aucun certificat, mais un dossier tenu en continu, dont le registre d’informations TIC au format imposé.

Un certificat ISO 27001 est un atout réel dans un dossier DORA. Ce n’est pas une pièce justificative de conformité au règlement.

Sources : norme ISO/IEC 27001:2022, 3e édition ; règlement (UE) 2022/2554 du 14 décembre 2022, applicable depuis le 17 janvier 2025, et ses textes de niveau 2. Décomptes d’exigences, d’actions et de documents relevés dans les référentiels intégrés à ALYDEA le 28 août 2026.

Critère par critère

Ce qui les sépare, ligne à ligne.

Les volumes se ressemblent — 123 exigences d’un côté, 122 de l’autre — et c’est à peu près tout ce qu’ils ont en commun sur la forme.

Critère	ISO/IEC 27001:2022Norme internationale volontaire	DORARèglement (UE) 2022/2554
Nature du texte	Norme publiée par l’ISO et la CEI, 3e édition. Adoption volontaire, certification par un organisme accrédité.	Règlement européen d’application directe, adopté le 14 décembre 2022 et applicable depuis le 17 janvier 2025.
Qui est visé	L’organisme qui le décide. La demande vient le plus souvent d’un client, d’un groupe ou d’un appel d’offres.	Les entités financières listées par le règlement, et les prestataires tiers de services TIC qui les servent.
Périmètre	Défini et documenté par l’organisme (clause 4.3), puis audité tel qu’il a été déclaré. Un périmètre étroit est possible, et fréquent.	Fixé par le règlement : la gestion du risque lié aux TIC de l’entité, y compris la chaîne de sous-traitance. Rien à choisir.
Structure des exigences	30 clauses de management (4.1 à 10.2) et 93 mesures d’annexe A — organisationnel 37, humain 8, physique 14, technologique 34 — soit 123 exigences.	13 piliers et 122 exigences, sur les articles 4 à 15, 17 à 20, 23 à 30 et 45.
Ce qui atteste	Un certificat délivré par un organisme accrédité, valable trois ans avec audits de surveillance.	Aucun certificat. Le contrôle est exercé par l’autorité compétente, sur pièces : politiques, registres, rapports d’incidents, résultats de tests.
Documents phares	Déclaration d’applicabilité, manuel du SMSI, périmètre, plan de traitement des risques, registres des risques, des exigences légales et des parties intéressées, programme d’audit interne, revue de direction. 80 types de documents dans ALYDEA.	Registre d’informations TIC au format 2024/2956, politique de gestion du risque TIC, plans de réponse et de rétablissement, stratégie et rapports de tests, procédures de notification d’incident. 37 types de documents dans ALYDEA.
Textes d’application	Aucun : la norme est stable jusqu’à sa prochaine édition. Les guides associés (ISO/IEC 27002, 27005) éclairent sans obliger.	Quatre textes de niveau 2 intégrés — 2024/1772, 2025/301, 2025/302, 2024/2956 — et quatre restant à intégrer : 2024/1774, 2024/1773, 2025/532, 2025/1190.
Tests et exercices	Audit interne (clause 9.2) et revue de direction (clause 9.3), à fréquence planifiée.	Programme de tests de résilience opérationnelle numérique, et tests fondés sur la menace (TLPT) pour les entités désignées.
Dans ALYDEA	Référentiel natif : 164 actions, dont 71 purement opérationnelles, sans document à produire.	Référentiel natif : 128 actions et 260 questions de pré-audit, chacune associée à un document attendu.

Nature du texte
ISO/IEC 27001:2022
Norme publiée par l’ISO et la CEI, 3e édition. Adoption volontaire, certification par un organisme accrédité.
DORA
Règlement européen d’application directe, adopté le 14 décembre 2022 et applicable depuis le 17 janvier 2025.
Qui est visé
ISO/IEC 27001:2022
L’organisme qui le décide. La demande vient le plus souvent d’un client, d’un groupe ou d’un appel d’offres.
DORA
Les entités financières listées par le règlement, et les prestataires tiers de services TIC qui les servent.
Périmètre
ISO/IEC 27001:2022
Défini et documenté par l’organisme (clause 4.3), puis audité tel qu’il a été déclaré. Un périmètre étroit est possible, et fréquent.
DORA
Fixé par le règlement : la gestion du risque lié aux TIC de l’entité, y compris la chaîne de sous-traitance. Rien à choisir.
Structure des exigences
ISO/IEC 27001:2022
30 clauses de management (4.1 à 10.2) et 93 mesures d’annexe A — organisationnel 37, humain 8, physique 14, technologique 34 — soit 123 exigences.
DORA
13 piliers et 122 exigences, sur les articles 4 à 15, 17 à 20, 23 à 30 et 45.
Ce qui atteste
ISO/IEC 27001:2022
Un certificat délivré par un organisme accrédité, valable trois ans avec audits de surveillance.
DORA
Aucun certificat. Le contrôle est exercé par l’autorité compétente, sur pièces : politiques, registres, rapports d’incidents, résultats de tests.
Documents phares
ISO/IEC 27001:2022
Déclaration d’applicabilité, manuel du SMSI, périmètre, plan de traitement des risques, registres des risques, des exigences légales et des parties intéressées, programme d’audit interne, revue de direction. 80 types de documents dans ALYDEA.
DORA
Registre d’informations TIC au format 2024/2956, politique de gestion du risque TIC, plans de réponse et de rétablissement, stratégie et rapports de tests, procédures de notification d’incident. 37 types de documents dans ALYDEA.
Textes d’application
ISO/IEC 27001:2022
Aucun : la norme est stable jusqu’à sa prochaine édition. Les guides associés (ISO/IEC 27002, 27005) éclairent sans obliger.
DORA
Quatre textes de niveau 2 intégrés — 2024/1772, 2025/301, 2025/302, 2024/2956 — et quatre restant à intégrer : 2024/1774, 2024/1773, 2025/532, 2025/1190.
Tests et exercices
ISO/IEC 27001:2022
Audit interne (clause 9.2) et revue de direction (clause 9.3), à fréquence planifiée.
DORA
Programme de tests de résilience opérationnelle numérique, et tests fondés sur la menace (TLPT) pour les entités désignées.
Dans ALYDEA
ISO/IEC 27001:2022
Référentiel natif : 164 actions, dont 71 purement opérationnelles, sans document à produire.
DORA
Référentiel natif : 128 actions et 260 questions de pré-audit, chacune associée à un document attendu.

Le périmètre DORA intégré n’est pas filtré selon le profil de l’entité : toutes les exigences des articles couverts sont présentées. ALYDEA ne certifie pas ISO 27001 : seul un organisme accrédité le fait.

Ce qu’un SMSI apporte à un dossier DORA

Beaucoup de fond, et une partie du formalisme.

Une entité financière déjà certifiée ISO 27001 n’arrive pas les mains vides. Voici ce qui se réutilise, et ce qui ne se réutilise pas.

Ce qui se réutilise
La gouvernance, la politique de sécurité, l’inventaire des actifs, la gestion des incidents et les clauses de sécurité fournisseurs : ce sont exactement les quatre familles d’actions que la plateforme mutualise, et toutes concernent à la fois ISO 27001 et DORA.
Ce qui ne se réutilise pas
Le registre d’informations TIC, avec son format imposé et ses tables liées, n’a pas d’équivalent dans l’annexe A. Les seuils et délais de notification d’incident, fixés par les textes de niveau 2, non plus. Les tests fondés sur la menace, encore moins.
Ce qui trompe le plus souvent
Le périmètre. Un SMSI certifié sur un périmètre restreint — une plateforme, un site, une filiale — ne dit rien du reste de l’entité. DORA, lui, ne connaît pas les périmètres choisis.
Ce que la certification ne fait pas
Elle ne dispense d’aucune exigence du règlement et ne se substitue à aucun contrôle. Elle démontre qu’un système existe et qu’il a été audité ; c’est déjà beaucoup, ce n’est pas la conformité DORA.

Ce qui se recoupe

Les quatre familles mutualisées les concernent toutes les deux.

C’est le couple de référentiels dont les actions se recouvrent le plus dans la plateforme : les quatre familles câblées aujourd’hui relient ISO 27001 et DORA. Une action faite une fois compte pour les deux.

Clauses de sécurité dans les contrats fournisseurs
ISO 27001 A.5.20NIS2 objectif 3DORA prestataires tiers TIC
Gestion des incidents
ISO 27001 A.5.24NIS2 objectif 12DORA incidents
Politique de sécurité des systèmes d’information
ISO 27001 clause 5.2DORA protection et prévention
Inventaire des actifs
ISO 27001 A.5.9DORA identification

Le reste des exigences est suivi séparément. Ce recouvrement porte sur les actions de remédiation, pas sur les documents à format imposé : le registre d’informations TIC reste propre à DORA.

Par lequel commencer

Une obligation datée passe avant une décision commerciale.

Si vous relevez de DORA, la question de l’ordre ne se pose pas vraiment. Elle se pose si vous cherchez, en plus, une reconnaissance vis-à-vis de vos clients.

Commencez par DORA si…

Le règlement s’applique depuis le 17 janvier 2025 : le retard est déjà du retard.

Vous êtes une entité financière visée par le règlement.
Vous devez tenir le registre d’informations TIC, dont le format est imposé.
Vous devez pouvoir notifier un incident majeur dans les formes et les délais du niveau 2.
Votre autorité de tutelle a commencé à demander des pièces.

Ouvrir le hub DORA

Commencez par ISO 27001 si…

Un certificat exigé au contrat a une échéance, et il structure ce qui servira ensuite.

Un client, un groupe ou un appel d’offres exige le certificat, avec une date.
Vous n’êtes pas une entité financière visée par DORA.
Vous voulez un système de management réutilisable pour les autres référentiels.
Vous préparez une croissance internationale où le certificat est attendu.

Ouvrir le hub ISO 27001

Les deux se tiennent dans le même espace : ALYDEA suit les référentiels que vous activez sur un plan d’action unique, et une preuve déposée une fois vaut pour toutes les exigences qu’elle couvre.

Questions fréquentes

Ce qu’on nous demande sur cette comparaison.

Une certification ISO 27001 vaut-elle conformité DORA ?

Non. Elle couvre une part importante des attendus de gouvernance et de gestion du risque, mais DORA contient des obligations sans équivalent dans la norme — registre d’informations TIC au format imposé, notification d’incident selon les textes de niveau 2, tests de résilience. Et le périmètre certifié est rarement celui du règlement.

Un SMSI existant peut-il servir de socle ?

Oui, et c’est le chemin le plus économique. Les quatre familles d’actions mutualisées par la plateforme — clauses fournisseurs, gestion des incidents, politique de sécurité des SI, inventaire des actifs — concernent toutes ISO 27001 et DORA. Le travail déjà fait est repris tel quel.

DORA impose-t-il une certification ?

Non. Le règlement n’exige aucun certificat et n’en reconnaît aucun comme preuve de conformité. Ce qui est contrôlé, ce sont vos documents, vos registres et vos résultats de tests.

Faut-il refaire l’appréciation des risques ?

Pas depuis zéro. L’appréciation menée pour le SMSI reste valable comme méthode et comme matière ; ce qui change, c’est l’angle : DORA raisonne par fonction critique ou importante et par dépendance à un prestataire TIC. Le passage d’un cadrage à l’autre est un travail d’analyse, pas de ressaisie.

Combien d’exigences au total pour les deux ?

245 : 123 pour ISO 27001:2022 (30 clauses et 93 mesures d’annexe A) et 122 pour DORA. Dans ALYDEA, elles sont suivies sur un plan d’action commun de 292 actions de remédiation — 164 côté ISO, 128 côté DORA — moins celles qui sont mutualisées.

Voir aussi

Les pages qui vont avec.

Un seul espace, les référentiels que vous activez.

Le diagnostic parcourt les clauses ISO, les piliers DORA, ou les deux. Alex qualifie les écarts et sort les documents attendus, déclaration d’applicabilité comprise. Gratuit, sans carte bancaire.

Lancer le diagnostic