Entre 2024 et 2027, l'Union européenne a mis en application trois grandes lois de cybersécurité. Elles partagent un vocabulaire, se renvoient les unes aux autres, et sont régulièrement confondues. Un éditeur de logiciels peut relever de l'une, de deux ou des trois selon ce qu'il vend et à qui, et les obligations ne fusionnent pas ; elles se cumulent.
Voici la façon la plus courte et la plus fiable de les distinguer.
Les versions en une ligne
NIS2 (directive (UE) 2022/2555) régit la cybersécurité des organisations qui fournissent des services dont la société dépend. Elle s'applique par secteur et par taille. C'est une directive : chaque État membre l'a transposée en droit national, avec une échéance au 17 octobre 2024 que plusieurs ont manquée.
DORA (règlement (UE) 2022/2554) régit la résilience TIC du secteur financier et des fournisseurs dont ce secteur dépend. Il s'applique directement dans toute l'UE depuis le 17 janvier 2025.
Le Cyber Resilience Act (règlement (UE) 2024/2847) régit la cybersécurité des produits comportant des éléments numériques mis sur le marché de l'UE : matériel et logiciels, du routeur à l'application mobile. Il est entré en vigueur le 10 décembre 2024. Ses obligations de notification s'appliquent à partir du 11 septembre 2026 et l'ensemble à partir du 11 décembre 2027.
La distinction qui dissipe l'essentiel de la confusion : NIS2 et DORA régissent des organisations et leur fonctionnement ; le CRA régit des produits, leur construction et leur maintenance.
Lequel vous concerne
Vous opérez dans un secteur listé et dépassez le seuil de taille. NIS2. Ses annexes I et II couvrent l'énergie, les transports, la banque, la santé, l'eau, les infrastructures numériques, la gestion des services TIC, l'administration publique, l'espace, les services postaux, les déchets, la chimie, l'alimentation, la fabrication de certains produits, les fournisseurs numériques et la recherche. Le seuil par défaut est la taille moyenne : au moins 50 salariés ou 10 millions d'euros de chiffre d'affaires, certaines entités étant concernées quelle que soit leur taille. Voyez notre guide précédent sur le champ d'application de NIS2 pour le test complet.
Vous êtes une entité financière. DORA, à la place de NIS2 pour les exigences de risque TIC. DORA est une lex specialis : là où une entité financière est couverte par DORA, ce sont ses règles de gestion des risques TIC, de notification des incidents et de tests qui s'appliquent au lieu de celles de NIS2. C'est le régulateur financier qui vous supervise, pas l'autorité de cybersécurité.
Vous fournissez des services TIC à des entités financières. DORA vous atteint par les contrats de vos clients, et directement si vous êtes désigné prestataire tiers critique. Vous pouvez aussi relever de NIS2 pour votre propre compte si vous êtes, par exemple, un fournisseur cloud ou un prestataire de services managés au-dessus du seuil de taille.
Vous fabriquez ou vendez des logiciels ou du matériel connecté. Le CRA. Il s'applique aux fabricants, importateurs et distributeurs de produits comportant des éléments numériques, avec des exemptions pour certains produits déjà couverts par une législation sectorielle (dispositifs médicaux, véhicules, aviation civile) et pour les logiciels libres développés hors d'une activité commerciale. Le SaaS est largement hors champ en tant que produit, sauf s'il fait partie du traitement de données à distance d'un produit, mais le logiciel que vous livrez aux clients y est.
Vous êtes un fournisseur SaaS qui vend à tous ceux-là. Peut-être NIS2 comme fournisseur numérique ou gestionnaire de services TIC, DORA via vos clients financiers, et le CRA pour tout logiciel client ou composant sur site que vous distribuez. C'est le cas courant des entreprises technologiques B2B et la raison pour laquelle les trois lois doivent être considérées ensemble.
Ce que chacune demande
NIS2 demande de la gouvernance et de la gestion des risques : un ensemble de mesures au titre de l'article 21 couvrant l'analyse des risques, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, le développement sécurisé et la gestion des vulnérabilités, l'évaluation de l'efficacité, l'hygiène cyber et la formation, la cryptographie, la sécurité des ressources humaines et le contrôle d'accès, et l'authentification multifacteur. Les organes de direction doivent approuver les mesures, les superviser, et peuvent être tenus personnellement responsables. Les incidents importants sont notifiés au CSIRT ou à l'autorité avec une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dans le mois. Les amendes atteignent 10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles, 7 millions d'euros ou 1,4 % pour les importantes.
DORA demande la même chose sous une forme plus prescriptive et ajoute deux choses que NIS2 n'a pas : un programme de tests obligatoire incluant des tests de pénétration fondés sur la menace pour les entités significatives, et un régime détaillé des tiers avec un registre d'informations et des clauses contractuelles obligatoires. Les délais de notification des incidents sont plus serrés, avec une notification initiale dans les quatre heures suivant la classification.
Le CRA demande des produits sécurisés dès la conception : des exigences essentielles de cybersécurité à l'annexe I couvrant les propriétés du produit (pas de vulnérabilité exploitable connue à la mise sur le marché, configuration sécurisée par défaut, protection contre les accès non autorisés, minimisation des données, résilience, journalisation) et la gestion des vulnérabilités par le fabricant (une SBOM, une divulgation coordonnée, des mises à jour de sécurité pendant la période de support, d'au moins cinq ans sauf si la vie du produit est plus courte). Les produits sont classés par défaut, importants (classe I ou II) ou critiques, ce qui décide si une auto-évaluation suffit ou si un tiers doit évaluer. Marquage CE, documentation technique et déclaration UE de conformité suivent. À partir de septembre 2026, les fabricants doivent notifier à l'ENISA les vulnérabilités activement exploitées et les incidents graves dans les 24 heures suivant leur découverte.
Où elles se cumulent
Une entreprise peut être en même temps entité importante au titre de NIS2, fournisseur d'entités DORA et fabricant au titre du CRA. Les obligations ne s'annulent pas, mais les preuves se recouvrent largement. Un seul système de management de la sécurité de l'information ISO 27001 peut porter les mesures NIS2 et l'essentiel du cadre de risque DORA. Un seul cycle de développement sécurisé peut satisfaire l'exigence de développement de l'article 21 de NIS2, les attentes de tests de DORA et la gestion des vulnérabilités du CRA. Un seul processus d'incident avec le délai le plus serré (les quatre heures de DORA) satisfera les autres.
L'approche pratique est de cartographier une fois. Construisez un jeu de mesures, marquez sur chaque mesure l'article de chaque loi qu'elle sert, et tenez un seul corpus de preuves. Les auditeurs missionnés pour l'une des trois accepteront bien plus volontiers un système intégré bien cartographié que trois systèmes parallèles, et la cartographie est elle-même une preuve de la gouvernance que les trois lois exigent.
Quoi faire ce trimestre
Décidez quelles lois s'appliquent, par écrit, avec le raisonnement. Identifiez l'autorité compétente pour chacune. Vérifiez dans votre loi NIS2 nationale l'obligation d'enregistrement, que beaucoup d'entités ont manquée. Si vous livrez des produits, classez-les dès maintenant au titre du CRA ; la date de notification de septembre 2026 est la première échéance ferme et celle de décembre 2027 exige que le travail sur le produit soit déjà en cours. Et si vous avez des clients financiers, attendez-vous aux clauses contractuelles DORA et tenez vos réponses prêtes.