Mise en conformité DORA et NIS2 : le volet cryptographique

Les deux textes ne sont pas au même stade, et cette asymétrie explique la plupart des retards constatés. Les entités financières sont soumises à DORA depuis janvier 2025 ; les entités NIS2 françaises attendent encore leur loi de transposition. Dans les deux cas, la préparation prend des mois, pas des semaines.

Attendre la promulgation est le mauvais calcul : une fois la loi publiée, le délai de mise en conformité sera court alors que la constitution du dossier cryptographique demande plusieurs mois. Les entités qui commencent maintenant arbitrent ; celles qui attendent subiront.

Ni DORA ni NIS2 ne prononcent les mots « post-quantique ». Les deux textes créent pourtant l'obligation qui y conduit — l'un en imposant de faire évoluer la technologie cryptographique, l'autre en exigeant une capacité de remplacement rapide d'algorithme.

Le règlement délégué (UE) 2024/1774 impose aux entités financières de développer, documenter et mettre en œuvre une politique de chiffrement et de contrôles cryptographiques, fondée sur la classification des données et sur l'évaluation du risque TIC. Elle doit couvrir les données au repos, en transit et en cours d'utilisation, ainsi que les connexions réseau internes et externes.

Le point décisif est ailleurs : ce même article impose d'inclure des dispositions pour mettre à jour ou changer la technologie cryptographique en fonction des développements de la cryptanalyse. Une entité qui ne peut pas le faire doit adopter des mesures d'atténuation et de surveillance, les consigner et les justifier de manière motivée. Un article distinct encadre la gestion du cycle de vie des clés.

La directive impose des politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement, parmi les mesures de gestion des risques. Contrairement à DORA, elle ne mentionne pas explicitement la menace quantique — mais elle exige des mesures tenant compte de l'état de l'art, ce qui pour la cryptographie est une notion mouvante par construction.

Le règlement d'exécution (UE) 2024/2690, qui détaille les exigences techniques applicables à certains fournisseurs de services numériques, va plus loin : il attend une politique cryptographique alignée sur l'état de l'art et des mécanismes de crypto-agilité permettant un remplacement rapide d'algorithme. C'est, à ce jour, la formulation réglementaire européenne la plus directe sur le sujet.

Cette page présente notre lecture opérationnelle des textes à des fins d'information. Elle ne constitue pas un conseil juridique. La qualification de votre entité et l'étendue exacte de vos obligations relèvent de votre direction juridique ou de votre conseil.

Un contrôle ne porte pas sur vos intentions mais sur vos pièces. Voici celles qu'un auditeur DORA ou NIS2 demandera sur le volet cryptographique — et que nous produisons.

Constitution du volet cryptographique d'un dossier de conformité DORA et NIS2Animation : les six pièces cryptographiques attendues par un auditeur — politique de chiffrement, gestion du cycle de vie des clés, inventaire CBOM, crypto-agilité démontrée, note d'état de l'art et veille cryptanalyse — sont produites l'une après l'autre jusqu'à compléter le dossier de conformité.DE L'EXIGENCE À LA PREUVELes six pièces cryptographiques de votre dossierPolitique de chiffrementDORA · RTS 2024/1774 ART. 6FONDÉE SUR LA CLASSIFICATION DES DONNÉESGestion du cycle de vie des clésDORA · RTS 2024/1774 ART. 7GÉNÉRATION · ROTATION · RÉVOCATION · DESTRUCTIONInventaire cryptographique — CBOMDORA ART. 8 · NIS2 ART. 21CYCLONEDX 1.6 · DATÉ ET VERSIONNÉCrypto-agilité démontréeNIS2 · RE (UE) 2024/2690TEST DE BASCULE D'ALGORITHME, PAS UNE DÉCLARATIONNote d'état de l'art datéeRGPD ART. 32RÉFÉRENTIELS NIST ET ANSSI OPPOSABLESVeille cryptanalyse & plan PQCDORA · RTS 2024/1774 ART. 6OBLIGATION DE METTRE À JOUR LA TECHNOLOGIE0 %35 %70 %100 %VOLET CRYPTODOSSIER OPPOSABLEZIVYX QUANTUM TRAITE LE VOLET CRYPTOGRAPHIQUE — PAS LA GOUVERNANCE GRC DANS SON ENSEMBLEZIVYX.FR

↔ Faites défiler le schéma horizontalement

Chaque ligne relie un texte à la pièce qui le satisfait. C'est ce tableau, complété et daté, qui transforme une politique de sécurité en dossier opposable.

Les intitulés d'articles évoluant au fil des rectificatifs et des lignes directrices des autorités européennes de surveillance, nous datons chaque référence dans les livrables et révisons le tableau à chaque mise à jour du corpus.

La conformité DORA ou NIS2 est un chantier bien plus large que la cryptographie. Nous préférons le dire clairement plutôt que de vous le faire découvrir en cours de mission.

Politique de chiffrement et de contrôles cryptographiques. Procédure de gestion du cycle de vie des clés. Inventaire CBOM. Dossier de crypto-agilité et test de bascule d'algorithme. Note d'état de l'art datée et sourcée. Feuille de route post-quantique et procédure de veille. Questionnaire cryptographique à destination de vos prestataires TIC. Banc de test de compatibilité. Préparation des équipes à l'entretien d'audit sur ces sujets.

Enregistrement auprès de l'ANSSI. Gouvernance et comitologie cyber. Notification d'incidents et procédures associées. Plans de continuité et de reprise d'activité. Registre d'information DORA dans son ensemble. Tests d'intrusion fondés sur la menace. Formation générale des dirigeants. Sur ces volets, nous travaillons en appui de votre RSSI ou de votre cabinet GRC, à qui nous livrons directement les pièces cryptographiques dans leur format d'intégration.

C'est aussi pour cette raison que nos livrables sont conçus pour être intégrés dans un dossier tenu par quelqu'un d'autre : formats ouverts, sources modifiables, références datées. Si vous travaillez déjà avec un cabinet de conformité, nous nous insérons dans son plan de charge sans dupliquer son travail.

De huit à seize semaines selon le périmètre. Vos équipes sont mobilisées environ six heures au total sur l'ensemble de la mission.

Trois formules à prix affiché. Elles couvrent la brique cryptographique de votre conformité, pas la gouvernance GRC dans son ensemble — le périmètre est détaillé plus haut.

Tarifs indicatifs hors taxes, valables pour la France, la Belgique, le Luxembourg et la Suisse. Le diagnostic d'écart est déduit à 100 % du dossier de conformité s'il est engagé dans les six mois. Si un audit cryptographique est mené conjointement, l'inventaire n'est facturé qu'une fois.

La conformité n'est pas un livrable isolé : elle documente ce que vous faites réellement. Trois missions alimentent directement le dossier.

DORA vise les entités financières ; NIS2 couvre un périmètre bien plus large. Beaucoup d'organisations relèvent des deux, et parfois d'un référentiel sectoriel supplémentaire.

Le diagnostic d'écart confronte votre documentation existante aux dix exigences du tableau de correspondance et vous dit, pièce par pièce, ce qui tiendra devant un auditeur. Il est déduit à 100 % du dossier complet.

Zivyx Quantum · France · Belgique · Suisse · Luxembourg · Réponse sous 48 h ouvrées

Zivyx Quantum accompagne la mise en conformité réglementaire des PME, fintechs, startups, banques, assureurs, acteurs de la santé et opérateurs publics de France, Belgique, Suisse et Luxembourg, sur la brique cryptographique de DORA, NIS2 et de l'article 32 du RGPD. Nos livrables s'appuient sur l' audit cryptographique et sur la migration post-quantique, qui donnent au dossier son contenu factuel.

conformité DORAconformité NIS2mise en conformité réglementaireDORA cryptographieNIS2 chiffrementpolitique de chiffrementcontrôles cryptographiquesgestion du cycle de vie des clésrèglement (UE) 2022/2554règlement délégué (UE) 2024/1774directive (UE) 2022/2555règlement d'exécution (UE) 2024/2690RGPD article 32état de l'art cryptographiecrypto-agilitéCBOMCycloneDX 1.6inventaire cryptographiqueloi résiliencetransposition NIS2 FranceReCyF ANSSIRéférentiel Cyber Franceentités essentiellesentités importantesrisque TICprestataires TICregistre d'information DORAaudit de conformité cryptographiquedossier de preuvesveille cryptanalysefeuille de route post-quantiqueML-KEMML-DSANIST FIPS 203NIST FIPS 204recommandations ANSSIRGS annexe B1SecNumCloudhébergement HDSeIDASsanctions NIS2conformité DORA fintechconformité NIS2 PMEexpert cryptographie Franceconsultant conformité cyber

© 2026 Zivyx Chiffrement Quantique. All Rights Reserved