DORA vs ISO 27001 : Quelle Différence ?

Introduction : Deux Cadres Clés pour la Cybersécurité

Dans le paysage réglementaire européen, deux cadres majeurs structurent désormais les exigences en matière de cybersécurité : le règlement DORA (Digital Operational Resilience Act) et la norme ISO 27001. Alors que la directive NIS2 étend les obligations à 18 secteurs critiques, les dirigeants et RSSI doivent comprendre comment articuler ces différents référentiels.

La directive (UE) 2022/2555 (NIS2) introduit des exigences renforcées pour les entités essentielles (Annexe I) et importantes (Annexe II), avec des sanctions pouvant atteindre 10 millions d’euros ou 2% du chiffre d’affaires mondial. Dans ce contexte, l’ANSSI précise que la conformité à ISO 27001 peut constituer un élément de preuve pour répondre aux exigences de l’article 21 sur les mesures de cybersécurité, mais ne couvre pas l’intégralité des obligations NIS2 ou DORA.

1. Portée et Champ d’Application

1.1 DORA : Un Règlement Sectoriel pour la Finance

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique (DORA) s’applique spécifiquement à :

• Les établissements de crédit relevant de la directive CRD IV
• Les entreprises d’investissement au sens de MiFID II
• Les compagnies d’assurance soumises à Solvabilité II
• Les infrastructures critiques des marchés financiers (CCP, TR, CSD)

Contrairement à NIS2 qui distingue entités essentielles et importantes, DORA impose des exigences uniformes à toutes les entités financières, quelle que soit leur taille.

1.2 ISO 27001 : Une Norme Volontaire Transverse

La norme ISO/CEI 27001:2022 fournit un cadre générique pour les systèmes de management de la sécurité de l’information (SMSI), applicable à tout organisme, quel que soit son secteur. Ses principaux éléments comprennent :

• L’approche par risques (annexe A)
• Le cycle PDCA (Plan-Do-Check-Act)
• Les 93 contrôles de sécurité répartis en 4 catégories

2. Exigences Clés Comparées

2.1 Gouvernance et Responsabilité

L’article 20 de NIS2 et l’article 5 de DORA imposent une responsabilité personnelle des dirigeants :

• Obligation de formation des administrateurs (NIS2 art.20(3))
• Responsabilité pénale en cas de négligence (DORA art.9(5))
• Exigence de compétences spécifiques pour les membres du conseil

ISO 27001 exige simplement une “implication de la direction” (clause 5) sans précision sur les sanctions personnelles.

2.2 Gestion des Risques

DORA article 8 impose des tests de résilience obligatoires incluant :

• Tests d’intrusion avancés annuels
• Scénarios de crise réalistes
• Évaluation des fournisseurs critiques (TPPR)

NIS2 article 21 requiert quant à lui :

• Une analyse des risques spécifique au secteur
• Des mesures proportionnées à la taille et au risque
• Une revue trimestrielle par le conseil d’administration

3. Tableau Comparatif des Exigences

FAQ : Questions Fréquentes des Dirigeants

Une certification ISO 27001 suffit-elle pour être conforme à DORA ?

Non. Bien qu’ISO 27001 couvre environ 60% des exigences DORA, le règlement financier impose des obligations spécifiques non traitées par la norme, notamment : les tests de résilience obligatoires (art.8), les exigences relatives aux TPPR (art.28), et les obligations de reporting spécifiques (art.9-11).

Quels sont les délais de mise en conformité ?

Pour DORA : application depuis le 17 janvier 2025. Pour NIS2 : transposition en droit français prévue pour septembre 2025, avec période de grâce jusqu’en 2027 pour certaines dispositions.

Comment articuler les trois cadres ?

Une approche pragmatique consiste à :

• Utiliser ISO 27001 comme socle commun
• Compléter par les exigences sectorielles de DORA si applicable
• Intégrer les obligations spécifiques NIS2 selon le secteur

Conclusion : Une Approche Stratégique Nécessaire

Face à la complexité réglementaire, les organisations doivent adopter une vision intégrée de leur conformité. L’ANSSI recommande de :

• Cartographier précisément les exigences applicables
• Prioriser les actions selon le risque sectoriel
• Capitaliser sur les synergies entre les cadres

Pour aller plus loin, consultez notre guide complet sur la mise en conformité NIS2 : Accompagnement Cybersécurité NIS2

Portée et Objectifs : Une Approche Différente

Bien que DORA (Digital Operational Resilience Act) et ISO 27001 partagent des objectifs communs en matière de sécurité de l’information, leurs portées et leurs approches diffèrent significativement.

DORA : Une Régulation Sectorielle

DORA s’applique exclusivement au secteur financier dans l’Union Européenne, ciblant les institutions financières, les fournisseurs de services tiers et les infrastructures critiques. Son objectif principal est de renforcer la résilience opérationnelle face aux cybermenaces, avec une emphase sur :

• La gestion des incidents ICT
• Le testing de résilience (pentests, scénarios de crise)
• La supervision des tiers critiques
• L’obligation de reporting aux autorités

ISO 27001 : Un Cadre Généraliste

Contrairement à DORA, ISO 27001 est un standard international applicable à tout secteur d’activité. Sa philosophie repose sur :

• L’approche risque (analyse et traitement systématique)
• Un système de management (PDCA : Plan-Do-Check-Act)
• Une certification optionnelle mais valorisante
• 114 contrôles modulables via l’Annexe A

Une entreprise financière pourrait ainsi utiliser ISO 27001 comme socle tout en implémentant des exigences DORA spécifiques en parallèle.

Exigences Techniques : Comparaison des Contrôles

Les deux cadres intègrent des mesures techniques, mais avec des niveaux de prescription variables.

Points de Convergence

• Chiffrement des données : Les deux normes le recommandent fortement
• Formation des employés : Obligatoire dans les deux cas
• Revue des tiers : Évaluation des risques chez les fournisseurs

Divergences Majeures

DORA impose des mesures techniques précises (ex : sauvegardes hors-site pour les données critiques), tandis qu’ISO 27001 laisse le choix des moyens pour atteindre les objectifs de sécurité.

Conformité et Sanctions : Deux Régimes Distincts

DORA : Un Cadre Contraignant

Applicable dès 2025, DORA prévoit un régime de sanctions lourdes pour non-conformité :

• Amendes jusqu’à 1% du chiffre d’affaires annuel
• Obligation de correction immédiate sous supervision des autorités nationales (ex : ACPR en France)
• Responsabilité personnelle des dirigeants dans certains cas

ISO 27001 : Une Démarche Volontaire

La certification ISO 27001 repose sur :

• Un audit initial par un organisme accrédité (ex : AFNOR, Bureau Veritas)
• Des audits de surveillance annuels
• Pas de sanction légale directe, mais des impacts commerciaux en cas de non-renouvellement

Une entreprise peut choisir d’implémenter ISO 27001 sans certification, alors que DORA ne laisse pas cette option aux entités concernées.

Complémentarité en Pratique

Plusieurs institutions financières utilisent déjà ISO 27001 comme base pour répondre partiellement à DORA, notamment pour :

• La documentation des processus
• La gestion des risques
• Les politiques de sécurité interne

Cependant, des gaps spécifiques (comme les tests de résilience avancés) nécessitent des mesures supplémentaires.

Perspectives d’Évolution et Synergies

L’interaction entre ces deux cadres devrait s’intensifier avec plusieurs tendances émergentes :

L’influence de DORA sur ISO 27001

L’ISO prépare une révision majeure de la norme (version 2025) qui pourrait intégrer :

• Des exigences renforcées sur la résilience opérationnelle
• Des lignes directrices sectorielles pour la finance
• Une meilleure articulation avec les régulations comme NIS2 et DORA

Outils Technologiques Convergents

Les plateformes de GRC (Governance, Risk, Compliance) développent désormais des modules hybrides permettant de :

• Cartographier les contrôles communs
• Générer des rapports spécifiques pour chaque cadre
• Automatiser le suivi des exigences réglementaires

Cette convergence technique réduit la charge de conformité pour les entreprises soumises aux deux référentiels.

# DORA vs ISO 27001 : Quelle Différence ?

Les réglementations et normes en cybersécurité sont essentielles pour protéger les organisations contre les cybermenaces. Deux cadres majeurs sont souvent comparés : **DORA (Digital Operational Resilience Act)** et **ISO 27001**. Bien qu’ils partagent des objectifs communs, leurs approches et applications diffèrent.

## **Principales différences entre DORA et ISO 27001**

| Critère | DORA | ISO 27001 |
|——————|——|———–|
| **Portée** | Secteur financier (UE) | Toutes les industries (international) |
| **Obligation** | Réglementation (obligatoire) | Norme (volontaire) |
| **Objectif** | Résilience opérationnelle | Gestion de la sécurité de l’information |
| **Contrôles** | Exigences strictes sur la gestion des incidents et la continuité | Approche basée sur les risques |

### **DORA : Une réglementation sectorielle**
DORA s’applique aux entités financières de l’UE et impose des exigences strictes en matière de :
– Gestion des risques ICT (Technologies de l’Information et de la Communication)
– Tests de résilience opérationnelle
– Reporting des incidents majeurs
– Supervision des fournisseurs tiers

### **ISO 27001 : Une norme internationale flexible**
ISO 27001 est une norme volontaire applicable à tout secteur. Elle repose sur :
– Une approche **basée sur les risques**
– Un **Système de Management de la Sécurité de l’Information (SMSI)**
– Des contrôles personnalisables (Annexe A)
– Une certification par un organisme accrédité

## **FAQ : Questions fréquentes**

### **1. Une entreprise peut-elle être conforme à DORA et certifiée ISO 27001 ?**
Oui, les deux cadres sont complémentaires. ISO 27001 fournit une base solide pour la gestion des risques, tandis que DORA ajoute des exigences spécifiques pour le secteur financier. Une certification ISO 27001 peut faciliter la conformité à DORA.

### **2. DORA remplace-t-il ISO 27001 ?**
Non, DORA est une réglementation sectorielle, tandis qu’ISO 27001 reste une norme universelle. Les entreprises financières devront respecter DORA tout en pouvant utiliser ISO 27001 pour renforcer leur SMSI.

### **3. Quels sont les avantages d’ISO 27001 par rapport à DORA ?**
– **Flexibilité** : Adaptable à tout secteur et taille d’entreprise.
– **Reconnaissance internationale** : Valorise l’image de l’entreprise.
– **Approche globale** : Couvre tous les aspects de la sécurité de l’information.

### **4. Quels sont les points communs entre DORA et ISO 27001 ?**
Les deux exigent :
– Une évaluation des risques
– Des mesures de protection des données
– Une gestion des incidents
– Une amélioration continue

### **5. Comment se préparer à DORA si on est déjà certifié ISO 27001 ?**
– Identifier les exigences supplémentaires de DORA (tests de résilience, reporting renforcé).
– Mettre à jour le SMSI pour inclure les contrôles spécifiques.
– Former les équipes aux nouvelles obligations réglementaires.

### **6. Faut-il choisir entre DORA et ISO 27001 ?**
Non, l’idéal est de les combiner :
– **ISO 27001** pour structurer la sécurité.
– **DORA** pour répondre aux obligations légales du secteur financier.

—

## **Besoin d’accompagnement pour la conformité DORA ou ISO 27001 ?**

Que vous soyez dans le secteur financier ou non, nos experts vous aident à :
✔ **Évaluer votre conformité**
✔ **Mettre en place un SMSI robuste**
✔ **Préparer les audits et certifications**

[🔗 Découvrez notre offre d’accompagnement cybersécurité](/nis2-accompagnement-cybersecurite/)

—

**Conclusion** : DORA et ISO 27001 ont des objectifs similaires mais des applications différentes. Les entreprises financières devront se conformer à DORA, tandis qu’ISO 27001 reste un atout pour toute organisation souhaitant renforcer sa sécurité. Une approche combinée offre une protection optimale.