Mis à jour le 28 août 2026

Comparatif · référentiel contre référentiel

NIS2 ou DORA : l’un attend une loi, l’autre s’applique déjà.

DORA est un règlement européen : il s’applique directement, sans transposition, depuis le 17 janvier 2025. NIS 2 est une directive : en France, la loi qui la rend opposable n’est pas promulguée. La question n’est donc pas « lequel est le plus exigeant », mais « lequel vous vise, et depuis quand ».

Évaluer ma conformité — gratuit Voir le tableau

Textes cités et datés
Niveau 2 DORA détaillé
Aucune promesse de dépôt réglementaire

En bref

Trois différences qui changent tout.

Le véhicule juridique
Règlement (UE) 2022/2554 d’un côté : application directe. Directive (UE) 2022/2555 de l’autre : une loi nationale doit la transposer, et la France ne l’a pas encore promulguée.
Le secteur
DORA vise les entités financières et les prestataires tiers de services TIC. NIS 2 vise dix-huit secteurs, du transport à l’eau en passant par le numérique et l’administration.
L’articulation
L’article 4 de la directive NIS 2 prévoit que les exigences d’un acte sectoriel de l’Union au moins équivalentes s’appliquent à sa place. Pour la gestion du risque lié aux TIC dans le secteur financier, c’est DORA.

L’articulation exacte pour une entité donnée se vérifie auprès de l’autorité compétente. Nous ne la trancherons pas à votre place.

Sources : règlement (UE) 2022/2554 du 14 décembre 2022, applicable depuis le 17 janvier 2025, et ses règlements délégués et d’exécution ; directive (UE) 2022/2555 ; ANSSI, référentiel ReCyF v2.5, version de travail du 16 février 2026. Décomptes relevés dans les référentiels intégrés à ALYDEA le 28 août 2026.

Critère par critère

Ce qui les sépare, ligne à ligne.

Un règlement et une directive ne se comparent pas seulement par leur contenu : ce qui change d’abord, c’est la date à laquelle ils vous obligent.

Critère	NIS2 (ReCyF)Directive (UE) 2022/2555	DORARèglement (UE) 2022/2554
Nature du texte	Directive : elle fixe un résultat, chaque État membre écrit sa loi. En France, la transposition n’est pas promulguée à ce jour.	Règlement : d’application directe, sans loi de transposition. Adopté le 14 décembre 2022, applicable depuis le 17 janvier 2025.
Qui est visé	Les entités des secteurs des annexes I et II — énergie, transports, santé, eau, numérique, administration publique, industrie, agroalimentaire… — classées essentielles ou importantes.	Les entités financières listées par le règlement — établissements de crédit, de paiement et de monnaie électronique, entreprises d’investissement, assurances, gestionnaires d’actifs, entre autres — et les prestataires tiers de services TIC.
Articulation entre les deux	L’article 4 de la directive prévoit que, lorsqu’un acte sectoriel de l’Union impose des exigences au moins équivalentes, ce sont ces exigences qui s’appliquent.	DORA est l’acte sectoriel du secteur financier : pour la gestion du risque lié aux TIC, c’est lui qui s’applique. Le reste de la situation de l’entité se vérifie avec l’autorité compétente.
Où en est le texte	En vigueur au niveau européen depuis le 16 janvier 2023, échéance de transposition du 17 octobre 2024 dépassée. Référentiel technique ReCyF v2.5 daté du 16 février 2026, en version de travail.	Applicable depuis le 17 janvier 2025. Les normes techniques de niveau 2 sont publiées par vagues depuis 2024.
Structure des exigences	4 piliers, 20 objectifs de sécurité, 152 exigences. 77 exigences s’appliquent aux entités importantes (objectifs 1 à 15).	13 piliers — gouvernance, cadre de gestion du risque TIC, identification, protection, détection, réponse et rétablissement, apprentissage, communication, incidents, tests de résilience, TLPT, prestataires tiers, partage d’informations — et 122 exigences, sur les articles 4 à 15, 17 à 20, 23 à 30 et 45.
Textes d’application	Les décrets et arrêtés français ne sont pas publiés. Le ReCyF est diffusé en version de travail : il peut encore évoluer.	Quatre textes de niveau 2 intégrés : 2024/1772 (classification des incidents), 2025/301 (notification), 2025/302 (formulaires), 2024/2956 (registre d’informations). Restent à intégrer : 2024/1774, 2024/1773, 2025/532, 2025/1190.
Livrable à format imposé	Aucun format de dépôt imposé à ce jour. La déclaration de l’entité se fait sur le portail MonEspaceNIS2 de l’ANSSI.	Le registre d’informations TIC, dont le modèle est fixé par les annexes I à IV du règlement d’exécution 2024/2956. ALYDEA fournit un modèle à ce format ; le contrôle de schéma et la remise à l’autorité restent à votre charge.
Tests et exercices	Le référentiel demande des programmes d’audit et d’exercices ; l’objectif 17, « audit », ne vise que les entités essentielles.	Un programme de tests de résilience opérationnelle numérique, et des tests fondés sur la menace (TLPT) pour les entités désignées par l’autorité.
Dans ALYDEA	Référentiel natif : 324 actions et 23 types de documents.	Référentiel natif : 128 actions, 37 types de documents et 260 questions de pré-audit, chacune associée à un document attendu — le seul référentiel intégré à couvrir ce lien de bout en bout.

Nature du texte
NIS2 (ReCyF)
Directive : elle fixe un résultat, chaque État membre écrit sa loi. En France, la transposition n’est pas promulguée à ce jour.
DORA
Règlement : d’application directe, sans loi de transposition. Adopté le 14 décembre 2022, applicable depuis le 17 janvier 2025.
Qui est visé
NIS2 (ReCyF)
Les entités des secteurs des annexes I et II — énergie, transports, santé, eau, numérique, administration publique, industrie, agroalimentaire… — classées essentielles ou importantes.
DORA
Les entités financières listées par le règlement — établissements de crédit, de paiement et de monnaie électronique, entreprises d’investissement, assurances, gestionnaires d’actifs, entre autres — et les prestataires tiers de services TIC.
Articulation entre les deux
NIS2 (ReCyF)
L’article 4 de la directive prévoit que, lorsqu’un acte sectoriel de l’Union impose des exigences au moins équivalentes, ce sont ces exigences qui s’appliquent.
DORA
DORA est l’acte sectoriel du secteur financier : pour la gestion du risque lié aux TIC, c’est lui qui s’applique. Le reste de la situation de l’entité se vérifie avec l’autorité compétente.
Où en est le texte
NIS2 (ReCyF)
En vigueur au niveau européen depuis le 16 janvier 2023, échéance de transposition du 17 octobre 2024 dépassée. Référentiel technique ReCyF v2.5 daté du 16 février 2026, en version de travail.
DORA
Applicable depuis le 17 janvier 2025. Les normes techniques de niveau 2 sont publiées par vagues depuis 2024.
Structure des exigences
NIS2 (ReCyF)
4 piliers, 20 objectifs de sécurité, 152 exigences. 77 exigences s’appliquent aux entités importantes (objectifs 1 à 15).
DORA
13 piliers — gouvernance, cadre de gestion du risque TIC, identification, protection, détection, réponse et rétablissement, apprentissage, communication, incidents, tests de résilience, TLPT, prestataires tiers, partage d’informations — et 122 exigences, sur les articles 4 à 15, 17 à 20, 23 à 30 et 45.
Textes d’application
NIS2 (ReCyF)
Les décrets et arrêtés français ne sont pas publiés. Le ReCyF est diffusé en version de travail : il peut encore évoluer.
DORA
Quatre textes de niveau 2 intégrés : 2024/1772 (classification des incidents), 2025/301 (notification), 2025/302 (formulaires), 2024/2956 (registre d’informations). Restent à intégrer : 2024/1774, 2024/1773, 2025/532, 2025/1190.
Livrable à format imposé
NIS2 (ReCyF)
Aucun format de dépôt imposé à ce jour. La déclaration de l’entité se fait sur le portail MonEspaceNIS2 de l’ANSSI.
DORA
Le registre d’informations TIC, dont le modèle est fixé par les annexes I à IV du règlement d’exécution 2024/2956. ALYDEA fournit un modèle à ce format ; le contrôle de schéma et la remise à l’autorité restent à votre charge.
Tests et exercices
NIS2 (ReCyF)
Le référentiel demande des programmes d’audit et d’exercices ; l’objectif 17, « audit », ne vise que les entités essentielles.
DORA
Un programme de tests de résilience opérationnelle numérique, et des tests fondés sur la menace (TLPT) pour les entités désignées par l’autorité.
Dans ALYDEA
NIS2 (ReCyF)
Référentiel natif : 324 actions et 23 types de documents.
DORA
Référentiel natif : 128 actions, 37 types de documents et 260 questions de pré-audit, chacune associée à un document attendu — le seul référentiel intégré à couvrir ce lien de bout en bout.

Le périmètre DORA intégré n’est pas filtré selon le profil de l’entité : toutes les exigences des articles couverts sont présentées, à vous d’écarter ce qui ne vous concerne pas. Nous préférons le dire plutôt que promettre un périmètre sur mesure.

Ce que change le véhicule juridique

Une directive se transpose, un règlement s’applique.

C’est la différence la plus lourde de conséquences, et la plus souvent passée sous silence dans les présentations commerciales.

DORA n’attend rien
Le règlement est entré en application le 17 janvier 2025. Il n’y a pas de décret français à attendre, pas de délai de grâce à espérer : une entité financière visée est dans le champ depuis cette date.
NIS 2 attend une loi
La directive fixe un résultat ; c’est la loi nationale qui la rend opposable et son texte d’application qui en fixe le calendrier. Le délai de mise en conformité ne court pas tant que ces textes ne sont pas publiés.
Ce que ça change pour votre planning
Si vous relevez des deux, l’ordre est donné par le calendrier : DORA d’abord, parce qu’il est déjà exigible. Le travail fait pour DORA — incidents, fournisseurs, gouvernance — ne sera pas perdu pour NIS 2.
Ce que ça ne change pas
Dans les deux cas, l’attendu est le même sur le fond : savoir ce que vous supportez, savoir qui y touche, savoir quoi faire quand ça tombe, et pouvoir le prouver.

Ce qui se recoupe

Deux familles d’actions, réellement mutualisées.

Sur les quatre familles d’actions mutualisées par la plateforme, deux relient NIS2 et DORA. Une action faite une fois compte pour les deux référentiels.

Clauses de sécurité dans les contrats fournisseurs
ISO 27001 A.5.20NIS2 objectif 3DORA prestataires tiers TIC
Gestion des incidents
ISO 27001 A.5.24NIS2 objectif 12DORA incidents

Les deux autres familles mutualisées — politique de sécurité des SI et inventaire des actifs — relient ISO 27001 à DORA. Le reste des exigences est suivi séparément.

Lequel vous concerne

Le secteur tranche, pas la préférence.

Contrairement au couple NIS2 / ISO 27001, il n’y a ici presque aucun arbitrage à faire : les deux textes désignent leurs destinataires.

Vous êtes une entité financière

DORA s’applique déjà. C’est par là qu’on commence.

Le règlement est applicable depuis le 17 janvier 2025 : il n’y a pas de délai à attendre.
Le registre d’informations TIC est le premier livrable à format imposé : il se prépare en amont, pas la veille.
La qualification de vos prestataires tiers de services TIC conditionne une partie du dossier.
L’articulation avec NIS 2 se vérifie ensuite auprès de l’autorité compétente.

Ouvrir le hub DORA

Vous n’êtes pas dans le secteur financier

DORA ne vous vise pas directement — mais il peut vous atteindre par contrat.

Si vous fournissez des services TIC à une entité financière, ses obligations descendent dans vos contrats : clauses de sécurité, droits d’audit, réversibilité.
C’est NIS 2 qui décidera de votre statut, une fois la loi française promulguée.
Le test d’éligibilité NIS2 donne un statut probable en huit questions, sans inscription.
En attendant, le guide d’hygiène de l’ANSSI est le socle le moins discutable.

Faire le test d’éligibilité NIS2

ALYDEA ne se prononce pas sur votre désignation, ni comme entité essentielle ou importante, ni comme prestataire tiers critique de services TIC : ces qualifications relèvent des autorités.

Questions fréquentes

Ce qu’on nous demande sur cette comparaison.

Peut-on être soumis à NIS 2 et à DORA en même temps ?

L’article 4 de la directive NIS 2 prévoit que les exigences d’un acte sectoriel de l’Union au moins équivalentes s’appliquent à la place des siennes ; DORA joue ce rôle pour la gestion du risque TIC des entités financières. Cela ne signifie pas que le statut de l’entité au regard de NIS 2 disparaît pour tout le reste. L’articulation se vérifie auprès de l’autorité compétente.

Nous sommes prestataire informatique d’une banque : DORA nous concerne-t-il ?

Le règlement organise la surveillance des prestataires tiers désignés critiques, et impose aux entités financières des clauses contractuelles précises avec l’ensemble de leurs prestataires TIC. En pratique, un prestataire non désigné voit surtout les exigences arriver par ses contrats. ALYDEA ne se prononce pas sur une désignation.

DORA est-il vraiment applicable aujourd’hui ?

Oui. Le règlement (UE) 2022/2554 du 14 décembre 2022 est applicable depuis le 17 janvier 2025. Ses normes techniques de niveau 2 continuent d’être publiées : quatre d’entre elles sont intégrées à ALYDEA, quatre autres restent à intégrer et sont nommées sur le hub DORA.

ALYDEA remet-il le registre d’informations TIC à l’autorité ?

Non. La plateforme fournit un modèle au format des annexes I à IV du règlement d’exécution 2024/2956 et suit les trois actions qui s’y rattachent. Le contrôle de schéma et la transmission à l’autorité ne sont pas assurés aujourd’hui.

Le travail fait pour l’un sert-il pour l’autre ?

En partie. Deux familles d’actions sont explicitement mutualisées entre NIS2 et DORA — les clauses de sécurité dans les contrats fournisseurs et la gestion des incidents. Sur le reste, les exigences sont suivies séparément : les deux référentiels ne découpent pas le sujet de la même façon.

Voir aussi

Les pages qui vont avec.

Activez les référentiels qui vous visent, pas les autres.

Le diagnostic parcourt les exigences du ou des référentiels que vous activez, qualifie les écarts et sort les documents attendus. Gratuit, sans carte bancaire.

Lancer le diagnostic