RGPD vs NIS2 vs DORA : comprendre vos obligations européennes de notification

Trois textes européens, trois régimes de notification, trois autorités. Depuis l’entrée en application de DORA le 17 janvier 2025 et la transposition (toujours en cours dans plusieurs États membres) de NIS2, le paysage règlementaire de la notification d’incident cyber dans l’Union est devenu un casse-tête pour les RSSI, DPO et responsables conformité. Aucun de ces régimes ne se substitue aux autres : ils s’empilent, parfois s’articulent, et imposent presque toujours des délais et des autorités distincts.

RGPD, NIS2, DORA en 50 mots. Trois textes européens, trois régimes de notification cumulables. RGPD cible les violations de données personnelles (CNIL, 72 heures). NIS2 cible les incidents significatifs sur les services essentiels et importants (CSIRT national, alerte 24 heures puis rapport 72 heures et 1 mois). DORA cible les incidents ICT majeurs des entités financières (autorité sectorielle, 4 heures puis 72 heures et 1 mois).

Cet article-pont propose un panorama comparatif des trois régulations, un tableau récapitulatif des obligations de notification, des cas concrets de cumul, l’application du principe de lex specialis et des pistes pour bâtir un dispositif de notification unifié.

Pourquoi un article-pont sur trois régulations à la fois

L’Union européenne a publié coup sur coup, entre 2016 et 2022, trois textes structurants qui imposent des obligations de notification d’incident : le règlement général sur la protection des données (RGPD), la directive NIS2 et le règlement DORA. Pris isolément, chaque texte est documenté en abondance. Pris ensemble, ils dessinent un paysage que peu de RSSI et de DPO maîtrisent intégralement, en partie parce que la doctrine s’est construite par silos sectoriels.

L’intersection est forte. Une banque française est assujettie aux trois régimes simultanément. Un opérateur essentiel de l’énergie est soumis à NIS2 et au RGPD. Un éditeur SaaS qui héberge des données européennes peut être tiers ICT critique au sens de DORA tout en étant lui-même sous NIS2 et RGPD. La probabilité qu’un incident déclenche plusieurs notifications en parallèle, vers plusieurs autorités, dans plusieurs fenêtres temporelles, augmente avec la complexité des chaînes de sous-traitance. Les écarts d’interprétation entre DPO et RSSI, ou entre filiales d’un même groupe, deviennent des risques de conformité à part entière.

La confusion la plus fréquente concerne l’articulation entre DORA et NIS2 pour les entités financières, et le cumul entre RGPD et les deux autres régimes lorsqu’un incident touche des données personnelles. Cet article propose une lecture transversale, sans se substituer aux guides spécifiques publiés par les autorités nationales (CNIL, ANSSI, ACPR), mais en clarifiant les zones de chevauchement.

RGPD : périmètre, déclencheur, délais, autorités

Le règlement (UE) 2016/679, entré en application le 25 mai 2018, impose à tout responsable de traitement de notifier la violation de données à caractère personnel à l’autorité de contrôle compétente dans un délai de 72 heures à compter de la prise de connaissance, conformément à l’article 33 du règlement. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, l’article 34 impose en outre une communication aux personnes concernées dans les meilleurs délais.

Le déclencheur est la prise de connaissance par le responsable de traitement, et non la détection technique brute. La fiche pratique CNIL sur les violations de données précise les éléments à inclure dans la notification (nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, conséquences probables, mesures prises ou proposées). En France, la notification se fait via un téléservice dédié sur cnil.fr.

Le périmètre est large. Le RGPD s’applique à tout traitement de données personnelles dans l’UE, y compris hors UE dès qu’il vise des résidents européens. Toute organisation, secteur public ou privé, peut être concernée, ce qui rend ce régime le plus universel des trois. Pour un panorama opérationnel, voir l’article dédié Notification d’une fuite de données RGPD : le délai de 72 heures.

NIS2 : périmètre, déclencheur, délais, autorités

La directive (UE) 2022/2555, dite NIS2, remplace la directive NIS de 2016 et étend significativement le périmètre des entités assujetties. Sont visées les entités essentielles (énergie, transport, banque, infrastructures de marché financier, santé, eau potable, eaux usées, infrastructures numériques, administration publique, espace) et les entités importantes (services postaux, gestion des déchets, chimie, agroalimentaire, fabrication, fournisseurs numériques). Le seuil principal est la taille (à partir de 50 salariés ou 10 M€ de chiffre d’affaires), avec des exceptions sectorielles.

NIS2 impose un régime de notification en trois temps, codifié à l’article 23 de la directive : une alerte précoce dans les 24 heures suivant la prise de connaissance de l’incident significatif, une notification d’incident dans les 72 heures avec une évaluation initiale, et un rapport final dans un délai d’un mois. La directive ajoute la notion de notification intermédiaire à la demande du CSIRT national. En France, l’autorité de référence est l’ANSSI, qui anime la page officielle dédiée à NIS2 et le portail de signalement pour les opérateurs concernés.

Le déclencheur est le caractère significatif de l’incident, défini par des seuils combinant impact opérationnel, financier et réputationnel. La transposition en droit français est intervenue par la loi de transposition publiée en 2025, avec des décrets d’application qui précisent les seuils et procédures. Pour les détails opérationnels, voir l’article NIS2 : guide de la notification d’incident cyber.

DORA : périmètre, déclencheur, délais, autorités

Le règlement (UE) 2022/2554, DORA, est entré en application le 17 janvier 2025. Il s’applique à une vingtaine de catégories d’entités financières (banques, assurances, sociétés de gestion, prestataires de services d’investissement, établissements de paiement, prestataires de services en cryptoactifs, contreparties centrales, etc.) ainsi qu’aux prestataires ICT critiques tiers (CTPP) désignés par les autorités européennes de supervision.

Le régime de notification, codifié aux articles 17 à 19, repose sur trois rapports successifs pour tout incident ICT classé majeur : une notification initiale dans un délai de 4 heures à compter de la classification de l’incident comme majeur (et au plus tard 24 heures après la détection), un rapport intermédiaire sous 72 heures, et un rapport final dans un délai d’un mois. En France, l’autorité compétente est l’ACPR pour les banques et assurances, l’AMF pour les sociétés de gestion et certains prestataires d’investissement.

Le déclencheur est la classification interne de l’incident comme majeur, sur la base des seuils du règlement délégué (UE) 2024/1772. Pour une lecture détaillée des cinq piliers du règlement et de la mécanique TLPT, voir DORA : guide de conformité cybersécurité pour le secteur financier.

Tableau comparatif RGPD / NIS2 / DORA

Le tableau ci-dessous synthétise les principales caractéristiques des trois régimes de notification. Il se veut neutre et factuel : les valeurs renvoient aux textes consolidés en vigueur en 2026.

Critère	RGPD	NIS2	DORA
Texte	Règlement (UE) 2016/679	Directive (UE) 2022/2555	Règlement (UE) 2022/2554
Entités concernées	Tout responsable de traitement de données personnelles, public ou privé, dans l’UE ou ciblant l’UE	Entités essentielles et importantes (énergie, transport, santé, finance, numérique, administration, etc.), seuil 50 salariés ou 10 M€ de CA	Entités financières (banques, assurances, sociétés de gestion, paiement, cryptoactifs, etc.) et prestataires ICT critiques tiers
Déclencheur	Violation de données personnelles susceptible de risque pour les personnes	Incident significatif sur les services couverts	Incident ICT classé majeur sur la base de seuils quantitatifs et qualitatifs
Délai initial	72 heures à compter de la prise de connaissance	Alerte précoce sous 24 heures	Notification initiale sous 4 heures après classification (max 24h après détection)
Délai intermédiaire	Sans objet (mise à jour si information complémentaire)	Notification incident sous 72 heures	Rapport intermédiaire sous 72 heures
Délai final	Sans objet (notification unique avec compléments)	Rapport final sous 1 mois	Rapport final sous 1 mois
Autorité française	CNIL	ANSSI / CERT-FR (CSIRT national)	ACPR (banques, assurances), AMF (sociétés de gestion)
Contenu du rapport	Nature, catégories et volume, conséquences probables, mesures prises	Évaluation initiale, sévérité, impact, mesures	Cause racine, impact, classification, mesures correctives, indicateurs quantitatifs
Notification aux personnes	Obligatoire si risque élevé (article 34)	Possible sur instruction du CSIRT pour la notification publique	Possible pour information clientèle, sur demande de l’autorité
Sanctions max	20 M€ ou 4 % du CA mondial annuel	10 M€ ou 2 % du CA mondial annuel pour les entités essentielles, 7 M€ ou 1,4 % pour les importantes	Sanctions nationales (France : ACPR, jusqu’au retrait d’agrément) ; CTPP : 1 % du CA journalier mondial moyen / jour, jusqu’à 6 mois

Le tableau met en évidence trois différences structurantes. Le RGPD vise un objet juridique distinct (la donnée personnelle) qui en fait un régime cumulable avec les deux autres. NIS2 et DORA partagent une philosophie de protection des services et de la résilience opérationnelle, mais NIS2 est transversale tandis que DORA est sectorielle et plus prescriptive. Les délais de DORA (4 heures) sont les plus courts, ceux du RGPD (72 heures) les plus longs, NIS2 se situant entre les deux avec son alerte précoce à 24 heures.

Cas concrets de cumul d’obligations

Trois cas illustrent comment les régimes se combinent en pratique.

Cas 1 : banque française victime d’un ransomware avec exfiltration de données clients. L’incident déclenche DORA (incident ICT majeur sur les systèmes de production) et RGPD (violation de données personnelles). NIS2 ne s’applique pas en propre car DORA prime pour les entités financières. Le RSSI et la cellule de crise notifient l’ACPR sous 4 heures via le canal DORA. Le DPO notifie la CNIL sous 72 heures via le téléservice. Si les conséquences sont susceptibles d’engendrer un risque élevé (par exemple si des numéros de carte ou des justificatifs d’identité sont exfiltrés), une communication aux personnes concernées est ajoutée au titre de l’article 34 du RGPD. Le récit factuel des deux notifications doit être aligné, ce qui suppose une coordination procédurale en amont.

Cas 2 : opérateur essentiel non-financier (énergie, eau, santé) avec fuite de données employés. L’incident déclenche NIS2 (incident significatif sur les services essentiels) et RGPD (violation de données personnelles, en l’espèce des données RH). Pas de DORA, l’entité n’étant pas financière. Le RSSI ou son délégué notifie le CSIRT national (CERT-FR) avec une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Le DPO notifie en parallèle la CNIL sous 72 heures. Si la fuite touche des données sensibles (santé, syndicales), la communication aux personnes est obligatoire.

Cas 3 : prestataire ICT critique tiers d’une banque, sans données personnelles affectées. Une infrastructure cloud désignée CTPP au sens de DORA subit une indisponibilité significative qui impacte la production de plusieurs banques européennes. L’incident déclenche DORA (au titre du pilier 4 sur les prestataires ICT critiques, et indirectement via les notifications des entités financières clientes), potentiellement NIS2 si l’entité est qualifiée d’entité essentielle ou importante au titre de la fourniture de services numériques. Le RGPD ne s’applique pas en propre si l’incident n’a pas affecté de données personnelles, ce qui suppose une instruction technique rigoureuse pour qualifier l’absence d’atteinte. La supervision européenne directe par les ESAs ajoute un niveau de contrôle supplémentaire que les régimes nationaux ne couvrent pas.

Ces trois cas montrent qu’aucune notification ne peut être traitée en silo. La coordination entre DPO, RSSI et direction juridique est la condition de cohérence opérationnelle.

Le principe lex specialis : DORA prime sur NIS2 pour les entités financières

L’articulation entre DORA et NIS2 obéit au principe de lex specialis, selon lequel la règle spéciale prévaut sur la règle générale. Le considérant 16 de NIS2 et l’article 1er de DORA précisent ce point : pour les entités financières au sens de l’article 2 du règlement (UE) 2022/2554, les exigences de DORA en matière de gestion des risques ICT et de notification d’incidents se substituent aux exigences équivalentes de NIS2.

Concrètement, une banque assujettie ne notifie pas deux fois le même incident, une fois au CSIRT national (NIS2) et une fois à l’ACPR (DORA). Elle applique le régime DORA, qui impose des délais plus courts et un contenu de rapport plus prescriptif. Le régime NIS2 reste néanmoins pertinent dans deux cas. D’abord pour les obligations transversales que DORA ne couvre pas explicitement, par exemple certaines exigences de gouvernance ou de coopération. Ensuite pour les fournisseurs ICT non financiers qui peuvent eux-mêmes être qualifiés d’entités essentielles ou importantes au sens de NIS2.

Le principe lex specialis ne joue pas pour le RGPD. Une violation de données personnelles déclenche systématiquement la notification CNIL, indépendamment de la qualification DORA ou NIS2 de l’incident. La CNIL et l’ACPR ont chacune leur propre périmètre de contrôle, et l’absence de notification à l’une ne peut pas être justifiée par une notification à l’autre.

Comment construire un dispositif de notification unifié

La complexité du paysage règlementaire impose une approche unifiée, sans laquelle les délais ne sont pas tenables et les incohérences inévitables. Un dispositif unifié repose sur cinq composantes.

Une gouvernance partagée DPO / RSSI / direction juridique. Le RSSI est généralement chef de file pour DORA et NIS2, le DPO pour le RGPD, mais aucune des trois notifications ne peut être traitée sans coordination. Les organisations matures formalisent un comité crise cyber qui réunit ces trois fonctions, sous l’autorité du COMEX, avec des règles d’engagement écrites. Le rôle de chaque fonction dans la chaîne de notification doit être documenté avant l’incident.

Une classification d’incident commune. Plutôt que de maintenir trois grilles de classification distinctes, une grille unique permet de qualifier l’incident une fois et de dériver mécaniquement les obligations de notification applicables. Cette grille croise les seuils RGPD (atteinte aux données, risque élevé), NIS2 (significativité de l’incident sur les services), DORA (critères du règlement délégué 2024/1772). Elle est tenue par le RSSI mais validée par le DPO et le juridique.

Un registre central des notifications. Toutes les notifications adressées aux autorités, leurs accusés de réception, les échanges ultérieurs et les décisions sont centralisés dans un registre unique. Ce registre est une pièce essentielle des contrôles ACPR, CNIL et ANSSI. Il facilite aussi le retour d’expérience interne et la mise à jour des procédures.

Une formation régulière. Les équipes en astreinte (SOC, CERT interne, cellule juridique) doivent connaître les délais de chaque régime et savoir reconnaître quand un incident bascule dans le périmètre d’une notification. Un exercice de table-top semestriel intégrant les trois régimes (par exemple un ransomware avec exfiltration sur une entité multisectorielle) est une pratique observée dans les organisations matures.

Un outil de détection capable d’alimenter les trois timers. Les délais les plus courts (4 heures DORA, 24 heures NIS2) ne sont tenables qu’avec une détection automatisée et instrumentée. Les sources internes (SIEM, EDR) doivent être complétées par des sources externes (CTI, surveillance dark web, signalements partenaires) pour réduire le délai entre la compromission effective et sa qualification interne. Voir Comment détecter une fuite d’identifiants et Cyber Threat Intelligence : guide complet pour les approches opérationnelles.

Stealed et les trois régulations européennes

Stealed est une plateforme française de détection de fuites d’identifiants, hébergée chez Scaleway dans la région fr-par, qui surveille en continu les logs d’infostealers, les forums underground et les canaux Telegram privés. La détection se fait en quelques minutes, ce qui répond aux contraintes de délai des trois régulations européennes traitées dans cet article.

Pour le RGPD, la détection rapide d’identifiants exfiltrés permet d’amorcer la qualification d’une violation potentielle dans le délai de 72 heures, voire de prévenir l’incident lorsque les identifiants sont révoqués avant leur exploitation. Pour NIS2, la couverture des sources non publiques (Telegram, forums fermés) est complémentaire des signaux techniques internes utiles à la détection d’incident significatif. Pour DORA, la latence d’alerte courte est compatible avec la fenêtre de 4 heures, en particulier pour les chaînes d’attaque qui démarrent par la compromission d’un compte salarié ou prestataire.

Le module External Insight surveille les domaines tiers (sous-traitants, fournisseurs critiques, prestataires SaaS) et identifie les fuites d’identifiants qui les concernent. Cette visibilité est doublement utile dans un dispositif multi-réglementaire : pour DORA, elle alimente la documentation du registre ICT et le suivi des prestataires critiques ; pour NIS2, elle nourrit la cartographie de la chaîne d’approvisionnement numérique exigée par la directive ; pour le RGPD, elle aide à anticiper les violations en cascade lorsqu’un sous-traitant compromis détient des données personnelles. La souveraineté française de l’hébergement facilite par ailleurs la documentation de la localisation des données, qui est un point d’attention transversal aux trois textes.

Évaluez votre dispositif

Réservez 30 minutes avec notre CTO pour évaluer votre dispositif de notification multi-réglementaire, ses zones de chevauchement RGPD / NIS2 / DORA et les compléments utiles à votre détection. Si vous préférez tester la plateforme avant tout échange, créez un compte gratuitement pour démarrer la surveillance d’un domaine.

Questions fréquentes RGPD / NIS2 / DORA

Comment savoir laquelle des trois régulations s’applique en cas de cumul ? Les trois régimes peuvent s’appliquer cumulativement, sans que l’un n’éteigne l’autre. Le RGPD se déclenche dès qu’un incident affecte des données à caractère personnel. NIS2 se déclenche pour les entités essentielles ou importantes en cas d’incident significatif sur les services couverts. DORA se déclenche pour les entités financières en cas d’incident ICT majeur. Une banque française victime d’un ransomware avec exfiltration de données clients devra ainsi notifier la CNIL au titre du RGPD et l’ACPR au titre de DORA. Pour les entités financières, DORA prime sur NIS2 en application du principe de lex specialis.

Qui notifie quoi, à quelle autorité ? Le RGPD impose au responsable de traitement de notifier la violation à la CNIL dans les 72 heures et, en cas de risque élevé, d’informer les personnes concernées. NIS2 impose à l’entité essentielle ou importante de notifier le CSIRT national (en France l’ANSSI via le CERT-FR) avec une alerte précoce sous 24 heures et un rapport sous 72 heures. DORA impose à l’entité financière de notifier l’autorité compétente sectorielle (en France l’ACPR ou l’AMF) sous 4 heures après classification, 72 heures puis 1 mois. Le DPO traite généralement la notification RGPD, le RSSI ou son délégué les notifications NIS2 et DORA.

Faut-il notifier la CNIL et l’ANSSI séparément si l’incident touche les deux régimes ? Oui. Les notifications CNIL et ANSSI couvrent des objets juridiques différents (atteinte aux données personnelles d’une part, perturbation de service essentiel d’autre part) et reposent sur des canaux distincts. Le portail CERT-FR pour NIS2 et le téléservice CNIL pour le RGPD ne sont pas interconnectés. Une coordination entre DPO et RSSI est indispensable pour aligner le récit factuel des deux notifications, sans quoi des incohérences peuvent être relevées en contrôle.

Comment fonctionne le principe lex specialis entre DORA et NIS2 ? Le considérant 16 de NIS2 et l’article 1er de DORA articulent les deux textes : pour les entités financières au sens de l’article 2 du règlement (UE) 2022/2554, les exigences de DORA en matière de gestion des risques ICT et de notification d’incidents prévalent sur les exigences équivalentes de NIS2. Concrètement, une banque assujettie applique le régime DORA (4h / 72h / 1 mois) et non le régime NIS2 (24h / 72h / 1 mois). NIS2 reste pertinent pour les autres obligations transversales que DORA ne couvre pas, et pour les fournisseurs ICT non financiers.

Les sanctions des trois régimes sont-elles cumulatives ? Les amendes peuvent se cumuler, sous réserve du principe non bis in idem qui interdit de sanctionner deux fois le même fait sur le même fondement. Une atteinte aux données personnelles peut être sanctionnée par la CNIL au titre du RGPD (jusqu’à 20 M€ ou 4 % du CA mondial). Un manquement aux exigences de cybersécurité de NIS2 peut entraîner une amende administrative jusqu’à 10 M€ ou 2 % du CA pour les entités essentielles. DORA renvoie aux sanctions nationales, en France l’ACPR peut prononcer sanctions pécuniaires, retrait d’agrément et sanctions individuelles. En pratique, un incident grave peut donner lieu à plusieurs procédures parallèles.

Pour aller plus loin

DORA : guide de conformité cybersécurité pour le secteur financier en 2026 : approfondissement des cinq piliers et du régime de notification 4h / 72h / 1 mois.
NIS2 : guide de la notification d’incident cyber : périmètre, seuils et procédure CERT-FR pour les entités essentielles et importantes.
Notification d’une fuite de données RGPD : le délai de 72 heures : mécanique de la notification CNIL, contenu attendu et notification aux personnes.
Comment détecter une fuite d’identifiants : sources, signaux et délais opérationnels de la détection en temps réel.
Cyber Threat Intelligence : guide complet : intégrer la CTI dans un dispositif de notification multi-réglementaire.