{"id":1257,"date":"2026-03-25T17:01:17","date_gmt":"2026-03-25T16:01:17","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/nis2-vs-dora-overlap-analysis-for-dual-regulated-entities-2\/"},"modified":"2026-03-26T00:11:33","modified_gmt":"2026-03-25T23:11:33","slug":"nis2-vs-dora-overlap-analysis-for-dual-regulated-entities","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/fr\/cross-regulation-comparisons\/nis2-vs-dora-overlap-analysis-for-dual-regulated-entities\/","title":{"rendered":"NIS2 vs DORA \u2014 Analyse des chevauchements pour les entit\u00e9s \u00e0 double r\u00e9glementation"},"content":{"rendered":"<h2>Contexte : Le d\u00e9fi de la double r\u00e9glementation<\/h2>\n<p>Depuis janvier 2025, de nombreuses entit\u00e9s du secteur financier \u00e0 travers l&rsquo;Union europ\u00e9enne se trouvent soumises simultan\u00e9ment \u00e0 deux textes majeurs de l\u00e9gislation en cybers\u00e9curit\u00e9 : la <strong>directive NIS2<\/strong> (Directive 2022\/2555) et le <strong>Digital Operational Resilience Act<\/strong> (R\u00e8glement 2022\/2554, connu sous le nom de DORA). Ce sc\u00e9nario de double r\u00e9glementation soul\u00e8ve des questions l\u00e9gitimes sur les exigences qui se chevauchent, les conflits potentiels et la mani\u00e8re de construire un programme de conformit\u00e9 qui satisfait les deux cadres de mani\u00e8re efficiente.<\/p>\n<p>Cette analyse est r\u00e9dig\u00e9e pour les responsables conformit\u00e9, les auditeurs et les gestionnaires de risques qui doivent comprendre o\u00f9 ces cadres convergent, o\u00f9 ils divergent et comment \u00e9viter \u00e0 la fois la duplication des efforts et les lacunes de conformit\u00e9.<\/p>\n<h2>Le principe Lex Specialis : Article 4 de NIS2<\/h2>\n<p>L&rsquo;article 4 de la directive NIS2 \u00e9tablit un principe juridique essentiel : lorsqu&rsquo;un <strong>acte juridique sectoriel de l&rsquo;Union<\/strong> exige que les entit\u00e9s essentielles ou importantes adoptent des mesures de gestion des risques en mati\u00e8re de cybers\u00e9curit\u00e9 ou notifient des incidents significatifs, et lorsque ces exigences sont <strong>au moins \u00e9quivalentes en effet<\/strong> aux obligations de NIS2, alors l&rsquo;acte sectoriel pr\u00e9vaut.<\/p>\n<p>DORA est explicitement reconnu comme un tel acte sectoriel pour le secteur financier. En termes pratiques, cela signifie :<\/p>\n<ul>\n<li>Pour les domaines o\u00f9 DORA fournit des exigences \u00e9quivalentes ou plus strictes, DORA pr\u00e9vaut pour les entit\u00e9s financi\u00e8res.<\/li>\n<li>Pour les domaines o\u00f9 NIS2 couvre des sujets non trait\u00e9s par DORA, les obligations NIS2 s&rsquo;appliquent toujours.<\/li>\n<li>Le principe lex specialis ne cr\u00e9e pas une exemption globale de NIS2 \u2014 il cr\u00e9e une hi\u00e9rarchie qui doit \u00eatre \u00e9valu\u00e9e exigence par exigence.<\/li>\n<\/ul>\n<p>Cette nuance est fr\u00e9quemment mal comprise. Les responsables conformit\u00e9 doivent effectuer une <strong>cartographie exigence par exigence<\/strong>, et non supposer que la conformit\u00e9 DORA satisfait automatiquement toutes les obligations NIS2.<\/p>\n<h2>Comparaison compl\u00e8te : Exigences NIS2 vs DORA<\/h2>\n<p>Le tableau suivant fournit une cartographie d\u00e9taill\u00e9e des principaux domaines d&rsquo;exigences \u00e0 travers les deux cadres, identifiant les chevauchements, les lacunes et quel cadre pr\u00e9vaut pour les entit\u00e9s financi\u00e8res.<\/p>\n<table>\n<thead>\n<tr>\n<th>Domaine d&rsquo;exigence<\/th>\n<th>Exigence NIS2<\/th>\n<th>\u00c9quivalent DORA<\/th>\n<th>Analyse chevauchement \/ lacune<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong>Gestion des risques<\/strong><\/td>\n<td>Art. 21(1) : Mesures techniques, op\u00e9rationnelles et organisationnelles appropri\u00e9es et proportionn\u00e9es bas\u00e9es sur une approche tous risques<\/td>\n<td>Art. 6-16 : Cadre d\u00e9taill\u00e9 de gestion des risques ICT avec exigences sp\u00e9cifiques pour l&rsquo;identification, la protection, la d\u00e9tection, la r\u00e9ponse, la r\u00e9cup\u00e9ration et l&rsquo;apprentissage<\/td>\n<td><strong>DORA pr\u00e9vaut.<\/strong> DORA est significativement plus prescriptif sur la gestion des risques ICT. Les entit\u00e9s financi\u00e8res devraient utiliser le cadre DORA comme base principale de conformit\u00e9.<\/td>\n<\/tr>\n<tr>\n<td><strong>Signalement d&rsquo;incidents<\/strong><\/td>\n<td>Art. 23 : Alerte pr\u00e9coce dans les 24 heures, notification d&rsquo;incident dans les 72 heures, rapport final dans un mois<\/td>\n<td>Art. 19 : Notification initiale, rapports interm\u00e9diaires et rapport final \u00e0 l&rsquo;autorit\u00e9 comp\u00e9tente. Crit\u00e8res de classification sp\u00e9cifiques pour les incidents majeurs li\u00e9s aux ICT.<\/td>\n<td><strong>DORA pr\u00e9vaut pour les incidents ICT.<\/strong> Les d\u00e9lais de signalement et crit\u00e8res de classification diff\u00e8rent. NIS2 peut encore s&rsquo;appliquer pour les incidents de s\u00e9curit\u00e9 non-ICT affectant les r\u00e9seaux et syst\u00e8mes d&rsquo;information.<\/td>\n<\/tr>\n<tr>\n<td><strong>S\u00e9curit\u00e9 de la cha\u00eene d&rsquo;approvisionnement<\/strong><\/td>\n<td>Art. 21(2)(d) : S\u00e9curit\u00e9 de la cha\u00eene d&rsquo;approvisionnement incluant les aspects li\u00e9s \u00e0 la s\u00e9curit\u00e9 des relations entre les entit\u00e9s et leurs fournisseurs ou prestataires directs<\/td>\n<td>Art. 28-44 : Cadre \u00e9tendu de gestion des risques li\u00e9s aux tiers ICT, incluant les exigences contractuelles, la surveillance des prestataires ICT tiers critiques et le risque de concentration<\/td>\n<td><strong>DORA va significativement plus loin.<\/strong> DORA cr\u00e9e un cadre de surveillance pour les prestataires ICT tiers critiques qui n&rsquo;a pas d&rsquo;\u00e9quivalent dans NIS2. Les entit\u00e9s financi\u00e8res b\u00e9n\u00e9ficient des exigences plus d\u00e9taill\u00e9es de DORA en mati\u00e8re de cha\u00eene d&rsquo;approvisionnement.<\/td>\n<\/tr>\n<tr>\n<td><strong>Tests<\/strong><\/td>\n<td>Art. 21(2)(f) : Politiques et proc\u00e9dures pour \u00e9valuer l&rsquo;efficacit\u00e9 des mesures de gestion des risques de cybers\u00e9curit\u00e9<\/td>\n<td>Art. 24-27 : Tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique incluant les tests de p\u00e9n\u00e9tration bas\u00e9s sur les menaces (TLPT) pour les entit\u00e9s significatives, tests proportionn\u00e9s pour les autres<\/td>\n<td><strong>DORA va plus loin.<\/strong> DORA impose des m\u00e9thodologies de test sp\u00e9cifiques incluant le TLPT (bas\u00e9 sur le cadre TIBER-EU). NIS2 est moins prescriptif sur les approches de test.<\/td>\n<\/tr>\n<tr>\n<td><strong>Gouvernance<\/strong><\/td>\n<td>Art. 20 : Les organes de direction doivent approuver les mesures de gestion des risques de cybers\u00e9curit\u00e9, superviser leur mise en \u0153uvre et peuvent \u00eatre tenus responsables. Les membres doivent suivre une formation.<\/td>\n<td>Art. 5 : L&rsquo;organe de direction a la responsabilit\u00e9 ultime de la gestion des risques ICT. Il doit d\u00e9finir, approuver et superviser la mise en \u0153uvre du cadre de gestion des risques ICT et de la strat\u00e9gie de r\u00e9silience op\u00e9rationnelle num\u00e9rique.<\/td>\n<td><strong>Chevauchement substantiel.<\/strong> Les deux exigent la responsabilit\u00e9 de l&rsquo;organe de direction. DORA est plus sp\u00e9cifique sur le cadre de gestion des risques ICT que l&rsquo;organe de direction doit approuver. La conformit\u00e9 \u00e0 l&rsquo;article 5 de DORA devrait satisfaire substantiellement l&rsquo;article 20 de NIS2 pour les questions ICT.<\/td>\n<\/tr>\n<tr>\n<td><strong>Partage d&rsquo;informations<\/strong><\/td>\n<td>Art. 29 : Arrangements volontaires de partage de renseignements sur les cybermenaces entre entit\u00e9s essentielles et importantes<\/td>\n<td>Art. 45 : \u00c9change volontaire d&rsquo;informations et de renseignements sur les cybermenaces entre entit\u00e9s financi\u00e8res, incluant les indicateurs de compromission, les tactiques et les alertes<\/td>\n<td><strong>Dispositions parall\u00e8les.<\/strong> Les deux encouragent le partage volontaire d&rsquo;informations. DORA est sectoriel. Les entit\u00e9s financi\u00e8res peuvent participer \u00e0 la fois aux arrangements g\u00e9n\u00e9raux (NIS2) et sectoriels financiers (DORA).<\/td>\n<\/tr>\n<tr>\n<td><strong>Continuit\u00e9 d&rsquo;activit\u00e9<\/strong><\/td>\n<td>Art. 21(2)(c) : Continuit\u00e9 d&rsquo;activit\u00e9, incluant la gestion des sauvegardes, la reprise apr\u00e8s sinistre et la gestion de crise<\/td>\n<td>Art. 11-12 : Politique de continuit\u00e9 d&rsquo;activit\u00e9 ICT, plans de r\u00e9ponse et de r\u00e9cup\u00e9ration ICT, politiques de sauvegarde, proc\u00e9dures de restauration et de r\u00e9cup\u00e9ration<\/td>\n<td><strong>DORA pr\u00e9vaut.<\/strong> DORA fournit des exigences plus d\u00e9taill\u00e9es pour la continuit\u00e9 et la r\u00e9cup\u00e9ration ICT. Les exigences NIS2 pour la continuit\u00e9 d&rsquo;activit\u00e9 plus large (non-ICT) peuvent encore s&rsquo;appliquer.<\/td>\n<\/tr>\n<tr>\n<td><strong>Gestion des vuln\u00e9rabilit\u00e9s<\/strong><\/td>\n<td>Art. 21(2)(e) : Gestion et divulgation des vuln\u00e9rabilit\u00e9s<\/td>\n<td>Art. 7-8 (dans la gestion des risques) : Identification et \u00e9valuation des vuln\u00e9rabilit\u00e9s ICT dans le cadre de la protection et de la pr\u00e9vention<\/td>\n<td><strong>NIS2 est plus large.<\/strong> NIS2 traite explicitement la divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s. DORA traite la gestion des vuln\u00e9rabilit\u00e9s dans le cadre de gestion des risques ICT mais ne traite pas les processus de divulgation publique aussi directement.<\/td>\n<\/tr>\n<tr>\n<td><strong>Cryptographie et chiffrement<\/strong><\/td>\n<td>Art. 21(2)(h) : Politiques et proc\u00e9dures relatives \u00e0 l&rsquo;utilisation de la cryptographie et, le cas \u00e9ch\u00e9ant, du chiffrement<\/td>\n<td>Art. 9(4)(d) : Mesures de s\u00e9curit\u00e9 des donn\u00e9es incluant les techniques cryptographiques dans le cadre de la gestion des risques ICT<\/td>\n<td><strong>Port\u00e9e comparable.<\/strong> Les deux exigent des contr\u00f4les cryptographiques appropri\u00e9s. DORA int\u00e8gre cela dans le cadre plus large de gestion des risques ICT. NIS2 en fait un domaine d&rsquo;exigence distinct.<\/td>\n<\/tr>\n<tr>\n<td><strong>Contr\u00f4le d&rsquo;acc\u00e8s et authentification<\/strong><\/td>\n<td>Art. 21(2)(i-j) : Politiques de contr\u00f4le d&rsquo;acc\u00e8s ; utilisation de l&rsquo;authentification multifacteur ou de solutions d&rsquo;authentification continue<\/td>\n<td>Art. 9(4)(c) : Politiques de contr\u00f4le d&rsquo;acc\u00e8s incluant des m\u00e9canismes d&rsquo;authentification forte<\/td>\n<td><strong>Port\u00e9e comparable.<\/strong> Les deux exigent des contr\u00f4les d&rsquo;acc\u00e8s robustes et une authentification forte. DORA est moins sp\u00e9cifique sur le MFA mais exige une authentification forte dans le cadre bas\u00e9 sur les risques.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>O\u00f9 NIS2 va au-del\u00e0 de DORA<\/h2>\n<p>Les responsables conformit\u00e9 doivent porter une attention particuli\u00e8re aux domaines o\u00f9 les obligations NIS2 peuvent ne pas \u00eatre enti\u00e8rement couvertes par la conformit\u00e9 DORA :<\/p>\n<ul>\n<li><strong>Port\u00e9e plus large des r\u00e9seaux et syst\u00e8mes d&rsquo;information :<\/strong> NIS2 s&rsquo;applique \u00e0 tous les r\u00e9seaux et syst\u00e8mes d&rsquo;information utilis\u00e9s dans la fourniture de services, pas seulement aux syst\u00e8mes ICT au sens de DORA. Les syst\u00e8mes de technologie op\u00e9rationnelle (OT), les syst\u00e8mes de s\u00e9curit\u00e9 physique connect\u00e9s au r\u00e9seau et les syst\u00e8mes de gestion des b\u00e2timents peuvent relever de NIS2 mais \u00eatre hors du p\u00e9rim\u00e8tre ICT de DORA.<\/li>\n<li><strong>Divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s :<\/strong> NIS2 traite sp\u00e9cifiquement les processus de divulgation des vuln\u00e9rabilit\u00e9s. Les entit\u00e9s financi\u00e8res qui d\u00e9couvrent des vuln\u00e9rabilit\u00e9s dans des logiciels largement utilis\u00e9s peuvent avoir des obligations sous NIS2 que DORA ne couvre pas.<\/li>\n<li><strong>Cha\u00eene d&rsquo;approvisionnement au-del\u00e0 des ICT :<\/strong> L&rsquo;article 21(2)(d) de NIS2 couvre la s\u00e9curit\u00e9 de la cha\u00eene d&rsquo;approvisionnement de mani\u00e8re large, incluant les fournisseurs non-ICT dont les services affectent la s\u00e9curit\u00e9 des r\u00e9seaux et syst\u00e8mes d&rsquo;information. DORA se concentre sp\u00e9cifiquement sur les prestataires de services ICT tiers.<\/li>\n<li><strong>M\u00e9canismes de coop\u00e9ration entre \u00c9tats membres :<\/strong> NIS2 \u00e9tablit les CSIRT, le groupe de coop\u00e9ration et EU-CyCLONe pour la coop\u00e9ration transfrontali\u00e8re. Les entit\u00e9s financi\u00e8res peuvent devoir s&rsquo;engager dans ces m\u00e9canismes pour les aspects non financiers de leurs op\u00e9rations.<\/li>\n<\/ul>\n<h2>O\u00f9 DORA va au-del\u00e0 de NIS2<\/h2>\n<p>DORA fournit des exigences significativement plus d\u00e9taill\u00e9es dans plusieurs domaines :<\/p>\n<ul>\n<li><strong>Gestion des risques li\u00e9s aux tiers ICT :<\/strong> Les articles 28-44 de DORA cr\u00e9ent un cadre complet de gestion des risques li\u00e9s aux tiers ICT, incluant des dispositions contractuelles obligatoires (Article 30), l&rsquo;\u00e9valuation du risque de concentration et un cadre de surveillance pour les prestataires ICT tiers critiques (Articles 31-44) avec une supervision directe par les Autorit\u00e9s europ\u00e9ennes de surveillance. NIS2 n&rsquo;a rien de comparable.<\/li>\n<li><strong>Tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique :<\/strong> DORA impose des tests de p\u00e9n\u00e9tration bas\u00e9s sur les menaces (TLPT) pour les entit\u00e9s financi\u00e8res significatives, avec des exigences sp\u00e9cifiques pour le p\u00e9rim\u00e8tre, la m\u00e9thodologie et le reporting des tests. NIS2 exige des tests d&rsquo;efficacit\u00e9 mais est bien moins prescriptif.<\/li>\n<li><strong>Classification des incidents ICT :<\/strong> DORA fournit des crit\u00e8res d\u00e9taill\u00e9s pour classifier les incidents majeurs li\u00e9s aux ICT, incluant des seuils d&rsquo;impact transfrontalier. La classification des incidents de NIS2 est plus g\u00e9n\u00e9rale.<\/li>\n<li><strong>Strat\u00e9gie de r\u00e9silience op\u00e9rationnelle num\u00e9rique :<\/strong> DORA exige une strat\u00e9gie formelle de r\u00e9silience op\u00e9rationnelle num\u00e9rique approuv\u00e9e par l&rsquo;organe de direction, avec des exigences de contenu sp\u00e9cifiques. NIS2 ne mandate pas un document de strat\u00e9gie comparable.<\/li>\n<\/ul>\n<h2>Recommandations pratiques pour les entit\u00e9s \u00e0 double r\u00e9glementation<\/h2>\n<p>Sur la base de l&rsquo;analyse des chevauchements ci-dessus, les responsables conformit\u00e9 des entit\u00e9s \u00e0 double r\u00e9glementation devraient consid\u00e9rer l&rsquo;approche suivante :<\/p>\n<h3>1. Construire sur DORA comme cadre principal<\/h3>\n<p>\u00c9tant donn\u00e9 que DORA est plus prescriptif pour la plupart des exigences li\u00e9es aux ICT, utilisez la conformit\u00e9 DORA comme fondation. Cartographiez les exigences NIS2 par rapport \u00e0 votre programme de conformit\u00e9 DORA pour identifier les lacunes plut\u00f4t que de construire deux programmes s\u00e9par\u00e9s.<\/p>\n<h3>2. Effectuer une analyse formelle des \u00e9carts<\/h3>\n<p>Documentez une cartographie exigence par exigence entre NIS2 et DORA pour votre organisation. Identifiez o\u00f9 la conformit\u00e9 DORA satisfait NIS2 (en tirant parti du principe lex specialis), o\u00f9 NIS2 ajoute des exigences au-del\u00e0 de DORA et o\u00f9 les deux cadres n\u00e9cessitent des preuves ou une documentation diff\u00e9rentes.<\/p>\n<h3>3. Combler les lacunes sp\u00e9cifiques \u00e0 NIS2<\/h3>\n<p>Pour les domaines o\u00f9 NIS2 va au-del\u00e0 de DORA, mettez en \u0153uvre des contr\u00f4les et une documentation suppl\u00e9mentaires. Les domaines cl\u00e9s susceptibles de n\u00e9cessiter des mesures compl\u00e9mentaires incluent la s\u00e9curit\u00e9 de la cha\u00eene d&rsquo;approvisionnement non-ICT, la port\u00e9e plus large des r\u00e9seaux et syst\u00e8mes d&rsquo;information et les processus de divulgation des vuln\u00e9rabilit\u00e9s.<\/p>\n<h3>4. Harmoniser les processus de signalement<\/h3>\n<p>Les obligations de signalement d&rsquo;incidents diff\u00e8rent entre les cadres en termes de d\u00e9lais, d&rsquo;autorit\u00e9s et de crit\u00e8res de classification. \u00c9tablissez un processus unique de gestion des incidents qui peut satisfaire les deux ensembles d&rsquo;exigences de signalement, avec des arbres de d\u00e9cision clairs pour savoir quelle autorit\u00e9 notifier et quand.<\/p>\n<h3>5. Maintenir un registre des risques unique<\/h3>\n<p>Ne maintenez pas de registres des risques s\u00e9par\u00e9s pour NIS2 et DORA. Utilisez un seul registre int\u00e9gr\u00e9 des risques ICT et cyber qui \u00e9tiquette les risques par r\u00e9glementation applicable. Cela \u00e9vite la duplication et assure un traitement coh\u00e9rent des risques.<\/p>\n<h2>Ce que les auditeurs doivent v\u00e9rifier pour la double conformit\u00e9<\/h2>\n<p>Les auditeurs \u00e9valuant les entit\u00e9s \u00e0 double r\u00e9glementation doivent examiner :<\/p>\n<ul>\n<li><strong>Documentation de cartographie :<\/strong> L&rsquo;entit\u00e9 a-t-elle produit une cartographie formelle NIS2-DORA identifiant quel cadre s&rsquo;applique \u00e0 chaque domaine d&rsquo;exigence ?<\/li>\n<li><strong>Analyse des \u00e9carts :<\/strong> Y a-t-il des preuves d&rsquo;une analyse structur\u00e9e des \u00e9carts identifiant o\u00f9 les obligations NIS2 ne sont pas couvertes par la conformit\u00e9 DORA ?<\/li>\n<li><strong>Justification lex specialis :<\/strong> Lorsque l&rsquo;entit\u00e9 s&rsquo;appuie sur le principe lex specialis, la justification est-elle document\u00e9e et d\u00e9fendable pour chaque exigence ?<\/li>\n<li><strong>\u00c9valuation du p\u00e9rim\u00e8tre :<\/strong> L&rsquo;entit\u00e9 a-t-elle \u00e9valu\u00e9 si certains de ses r\u00e9seaux et syst\u00e8mes d&rsquo;information tombent en dehors du p\u00e9rim\u00e8tre ICT de DORA mais dans le p\u00e9rim\u00e8tre plus large de NIS2 ?<\/li>\n<li><strong>Proc\u00e9dures de signalement d&rsquo;incidents :<\/strong> L&rsquo;entit\u00e9 a-t-elle des proc\u00e9dures claires pour d\u00e9terminer quelles obligations de signalement s&rsquo;appliquent aux diff\u00e9rents types d&rsquo;incidents ?<\/li>\n<li><strong>Structure de gouvernance :<\/strong> L&rsquo;organe de direction re\u00e7oit-il des rapports couvrant les obligations NIS2 et DORA, ou y a-t-il des angles morts de gouvernance ?<\/li>\n<li><strong>Preuves de contr\u00f4les suppl\u00e9mentaires :<\/strong> Pour les exigences sp\u00e9cifiques \u00e0 NIS2 non couvertes par DORA, des contr\u00f4les sont-ils en place et document\u00e9s ?<\/li>\n<\/ul>\n<h2>Ressources connexes<\/h2>\n<p>Pour une analyse plus approfondie des chevauchements r\u00e9glementaires et de l&rsquo;architecture de conformit\u00e9, consultez :<\/p>\n<ul>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/nis2-vs-dora-architecture-comparison\/\">Comparaison des architectures NIS2 vs DORA<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/dual-compliance-architecture-explained\/\">Architecture de double conformit\u00e9 expliqu\u00e9e<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/compliance\/dora\/\">Aper\u00e7u de la conformit\u00e9 DORA<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/compliance\/nis2\/\">Aper\u00e7u de la conformit\u00e9 NIS2<\/a><\/li>\n<\/ul>\n<hr\/>\n<h3>Ressources connexes pour les auditeurs<\/h3>\n<ul>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/glossary\/\">Glossaire<\/a> \u2014 D\u00e9finitions en langage clair des termes techniques<\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/dora-article-21-deep-dive-enforcing-ict-risk-controls-via-ci-cd\/\">DORA Article 21 \u2014 Analyse approfondie<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/dora-article-28-explained-managing-ict-third-party-risk-in-ci-cd-and-cloud-environments\/\">DORA Article 28 expliqu\u00e9<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/before-the-auditor-arrives-ci-cd-audit-readiness-checklist\/\">Checklist de pr\u00e9paration \u00e0 l&rsquo;audit<\/a><\/li>\n<\/ul>\n<p><em>Nouveau dans l&rsquo;audit CI\/CD ? Commencez par notre <a href=\"https:\/\/regulated-devsecops.com\/fr\/start-here\/\">Guide de l&rsquo;auditeur<\/a>.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Contexte : Le d\u00e9fi de la double r\u00e9glementation Depuis janvier 2025, de nombreuses entit\u00e9s du secteur financier \u00e0 travers l&rsquo;Union europ\u00e9enne se trouvent soumises simultan\u00e9ment \u00e0 deux textes majeurs de l\u00e9gislation en cybers\u00e9curit\u00e9 : la directive NIS2 (Directive 2022\/2555) et le Digital Operational Resilience Act (R\u00e8glement 2022\/2554, connu sous le nom de DORA). Ce sc\u00e9nario &#8230; <a title=\"NIS2 vs DORA \u2014 Analyse des chevauchements pour les entit\u00e9s \u00e0 double r\u00e9glementation\" class=\"read-more\" href=\"https:\/\/regulated-devsecops.com\/fr\/cross-regulation-comparisons\/nis2-vs-dora-overlap-analysis-for-dual-regulated-entities\/\" aria-label=\"En savoir plus sur NIS2 vs DORA \u2014 Analyse des chevauchements pour les entit\u00e9s \u00e0 double r\u00e9glementation\">Lire la suite<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[126,124],"tags":[],"post_folder":[],"class_list":["post-1257","post","type-post","status-publish","format-standard","hentry","category-regulatory-frameworks","category-cross-regulation-comparisons"],"_links":{"self":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts\/1257","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/comments?post=1257"}],"version-history":[{"count":0,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts\/1257\/revisions"}],"wp:attachment":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/media?parent=1257"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/categories?post=1257"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/tags?post=1257"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/post_folder?post=1257"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}