DORA et NIS2 : pourquoi les experts-comptables, avocats et commissaires de justice sont directement concernés

Les cabinets d’expertise comptable, d’avocats et de commissaires de justice — anciennement huissiers de justice — ne figurent pas systématiquement parmi les organisations directement soumises à DORA ou à NIS2.

Pour autant, considérer que ces réglementations ne les concernent pas serait une erreur.

Ces professions détiennent et échangent quotidiennement des données particulièrement sensibles : informations financières, fiscales, sociales, juridiques, coordonnées bancaires, pièces d’identité, contrats ou éléments liés à des contentieux. Elles travaillent également pour des banques, des assurances, des établissements financiers, des collectivités et des entreprises entrant dans le périmètre de DORA ou de NIS2.

Elles se trouvent donc au cœur de la chaîne de confiance numérique de leurs clients.

DORA et NIS2 : de quoi parle-t-on ?

DORA : renforcer la résilience numérique du secteur financier

Le règlement européen DORA — Digital Operational Resilience Act — est applicable depuis le 17 janvier 2025.

Il impose aux acteurs du secteur financier de mieux maîtriser leurs risques informatiques et leur capacité à résister à une cyberattaque ou à une panne majeure. Il concerne notamment les banques, les assurances, les mutuelles, les établissements de paiement, les sociétés de gestion et de nombreux autres organismes financiers.

DORA leur demande notamment de :

• protéger leurs systèmes d’information ;
• détecter et gérer les incidents ;
• assurer la continuité de leurs activités ;
• tester régulièrement leur résilience ;
• contrôler les risques liés à leurs prestataires technologiques ;
• encadrer contractuellement les accès aux systèmes et aux données.

Le règlement prévoit ainsi un suivi renforcé des prestataires TIC et des services numériques utilisés par les entités financières. Le règlement DORA fixe des règles communes concernant la sécurité des systèmes d’information, la gestion des incidents et les prestataires technologiques.

NIS2 : élever le niveau de cybersécurité des activités essentielles

La directive NIS2 étend fortement le nombre d’organisations soumises à des obligations de cybersécurité. Elle couvre 18 secteurs considérés comme essentiels ou importants : énergie, transport, santé, eau, numérique, industrie, services postaux, gestion des déchets, administrations publiques, etc.

Elle prévoit notamment :

• une analyse et une gestion structurées des risques cyber ;
• des mesures de prévention, de détection et de réaction ;
• la gestion des incidents et leur notification ;
• la continuité et la reprise d’activité ;
• la sécurisation des accès ;
• la prise en compte des fournisseurs et de la chaîne d’approvisionnement ;
• une implication plus forte des dirigeants.

En France, la transposition est toujours en cours. L’ANSSI invite néanmoins les futures entités concernées à engager dès maintenant leur mise en conformité et met à leur disposition le Référentiel Cyber France, ou ReCyF. L’ANSSI précise l’état d’avancement de la transposition et les premières mesures à anticiper.

Ces professions sont-elles juridiquement soumises à DORA ou à NIS2 ?

La réponse doit être nuancée.

Un cabinet d’expertise comptable, un cabinet d’avocats ou une étude de commissaires de justice n’est pas automatiquement soumis à DORA du seul fait de son activité. DORA vise principalement les entités financières et encadre spécifiquement leurs prestataires de services informatiques.

De même, les activités juridiques et comptables ne font pas partie, en tant que telles, des 18 secteurs visés par NIS2. Un cabinet peut toutefois entrer dans le périmètre en raison d’une autre activité exercée, de son organisation ou de dispositions particulières qui devront être précisées par les textes français.

Mais l’impact le plus concret est ailleurs : leurs clients régulés doivent désormais maîtriser les risques associés à toute leur chaîne de fournisseurs et aux personnes qui accèdent à leurs données.

La question n’est donc plus seulement :

« Mon cabinet est-il officiellement soumis à DORA ou à NIS2 ? »

Elle devient :

« Mes clients peuvent-ils continuer à me confier leurs données en ayant la garantie qu’elles sont correctement protégées ? »

Pourquoi les experts-comptables sont-ils particulièrement exposés ?

Un cabinet d’expertise comptable concentre une quantité considérable d’informations sur ses clients :

• comptes annuels et situations financières ;
• déclarations fiscales et sociales ;
• bulletins de salaire ;
• RIB et informations bancaires ;
• identifiants permettant d’accéder aux plateformes déclaratives ;
• données issues de logiciels comme Pennylane, OpenPaye ou d’autres applications métiers.

Un compte Microsoft 365 compromis, un mot de passe partagé ou un poste infecté peut ainsi donner accès aux données de dizaines ou de centaines d’entreprises.

Prenons l’exemple d’un cabinet travaillant pour une PME industrielle concernée par NIS2 et pour une société de services financiers soumise à DORA. Ces deux clients peuvent progressivement lui demander :

• comment les accès à leurs dossiers sont sécurisés ;
• si le MFA est activé ;
• qui peut consulter ou télécharger leurs données ;
• comment sont supprimés les accès d’un ancien collaborateur ;
• si les postes sont protégés et supervisés ;
• comment le cabinet réagit en cas d’attaque ;
• dans quel délai il peut détecter et signaler un incident.

Le cabinet entre alors directement dans le cercle d’influence de DORA et de NIS2.

Pourquoi les avocats sont-ils concernés ?

Les cabinets d’avocats manipulent des informations dont la divulgation peut avoir des conséquences majeures :

• stratégies juridiques ;
• opérations de fusion-acquisition ;
• contrats confidentiels ;
• procédures judiciaires ;
• données personnelles ;
• éléments financiers ;
• secrets d’affaires.

Ils échangent également avec les directions juridiques de banques, d’assureurs, d’industriels, d’établissements de santé ou d’acteurs publics.

Un client régulé pourra difficilement accepter que ses documents soient accessibles depuis un poste personnel non protégé, qu’un même mot de passe soit utilisé sur plusieurs applications ou qu’aucune alerte ne soit générée lorsqu’un volume inhabituel de données est téléchargé.

Le secret professionnel reste essentiel, mais il doit désormais s’appuyer sur des mesures techniques permettant d’en garantir réellement le respect.

Pourquoi les commissaires de justice sont-ils concernés ?

Les études de commissaires de justice détiennent elles aussi des données particulièrement sensibles :

• décisions de justice ;
• coordonnées personnelles ;
• adresses et informations patrimoniales ;
• coordonnées bancaires ;
• dossiers de recouvrement ;
• pièces relatives aux constats et aux procédures.

Elles utilisent de nombreuses applications métiers et échangent avec des banques, des assurances, des bailleurs, des entreprises et des acteurs publics.

Une compromission peut entraîner une fuite massive de données, une usurpation d’identité, une fraude au paiement ou l’interruption de procédures. Les donneurs d’ordre seront donc de plus en plus attentifs au niveau de sécurité des études avec lesquelles ils travaillent.

Le SOC 24 h/24 et 7 j/7 devient-il obligatoire ?

DORA et NIS2 n’imposent pas systématiquement à chaque cabinet de souscrire un SOC fonctionnant 24 h/24 et 7 j/7.

En revanche, ces textes renforcent fortement les exigences de détection, de réaction et de continuité. Or une cyberattaque ne se déclenche pas nécessairement pendant les heures d’ouverture du cabinet.

Un antivirus classique peut bloquer certains fichiers malveillants, mais il ne suffit pas toujours à :

• repérer un comportement anormal ;
• analyser une succession d’événements suspects ;
• isoler rapidement un poste compromis ;
• identifier une attaque pendant la nuit ou le week-end ;
• qualifier l’incident et déclencher une réponse adaptée.

Une supervision SOC 24/7, associée à une protection EDR, apporte cette capacité de surveillance continue. Elle devient donc un enjeu majeur pour les structures qui détiennent des données critiques ou travaillent avec des clients soumis à des exigences réglementaires.

L’objectif n’est pas seulement de disposer d’un outil de sécurité supplémentaire. Il est de pouvoir démontrer que le cabinet sait détecter une menace et réagir rapidement, même en dehors de ses horaires d’ouverture.

L’autre priorité : reprendre le contrôle des accès aux données

Dans beaucoup de cabinets, les données sont aujourd’hui réparties entre plusieurs environnements :

• Microsoft 365 ;
• messagerie électronique ;
• SharePoint ou une autre plateforme documentaire ;
• logiciels métiers ;
• applications comptables, juridiques ou de paie ;
• outils de téléphonie et de collaboration ;
• accès à distance.

Chaque application possède parfois ses propres comptes, ses propres mots de passe et ses propres règles. Il devient alors difficile de savoir précisément qui accède à quoi.

Le contrôle unifié des accès vise à centraliser autant que possible l’authentification et les règles de sécurité. Il repose notamment sur :

• une identité professionnelle unique pour chaque utilisateur ;
• l’authentification multifacteur ;
• l’interdiction des comptes partagés ;
• des droits accordés selon le rôle de chacun ;
• la suppression immédiate des accès lors d’un départ ;
• des règles conditionnelles selon le poste ou le lieu de connexion ;
• la traçabilité des connexions et des actions sensibles ;
• l’utilisation d’un gestionnaire de mots de passe pour les accès ne pouvant pas être centralisés.

Concrètement, un collaborateur ne doit accéder qu’aux dossiers nécessaires à son activité, depuis un terminal identifié et correctement protégé. En cas de départ ou de changement de fonction, ses droits doivent pouvoir être modifiés immédiatement depuis un point de contrôle central.

Passer d’une sécurité déclarative à une sécurité démontrable

DORA et NIS2 marquent une évolution importante : il ne suffit plus d’affirmer que les données sont protégées.

Les cabinets doivent progressivement être capables de démontrer :

• que leurs accès sont maîtrisés ;
• que le MFA est généralisé ;
• que les postes sont correctement protégés ;
• que les événements de sécurité sont surveillés ;
• qu’une sauvegarde indépendante existe ;
• qu’un incident peut être détecté et traité rapidement ;
• qu’un plan de continuité et de reprise a été envisagé ;
• que les collaborateurs sont régulièrement sensibilisés.

Pour les experts-comptables, avocats et commissaires de justice, cette démarche ne répond pas uniquement à une pression réglementaire. Elle protège la confidentialité des dossiers, sécurise la relation client et peut devenir un véritable facteur de différenciation.

Par où commencer ?

La première étape consiste à établir un diagnostic simple de l’existant :

1. Identifier les données les plus sensibles et les clients soumis à DORA ou à NIS2.
2. Recenser les applications, les utilisateurs et les différents modes d’accès.
3. Généraliser le MFA et supprimer les comptes partagés.
4. Vérifier la protection et le chiffrement des postes.
5. Centraliser autant que possible la gestion des identités et des droits.
6. Mettre en place une sauvegarde indépendante des données critiques.
7. Évaluer le besoin d’une supervision SOC 24/7.
8. Formaliser une procédure simple de réaction en cas d’incident.

CybrLink accompagne les cabinets dans cette démarche avec une approche pragmatique : diagnostic, sécurisation des accès, protection des postes et des données, sauvegarde, sensibilisation et supervision SOC 24 h/24 et 7 j/7.

L’objectif n’est pas d’ajouter de la complexité, mais de construire un environnement plus simple à administrer, plus facile à contrôler et capable de répondre aux nouvelles exigences des clients

En résumé :

• DORA et NIS2 : même sans obligation directe, experts-comptables, avocats et commissaires de justice doivent sécuriser les données de leurs clients régulés.
• Priorités : unifier et contrôler les accès, généraliser le MFA et assurer une détection continue grâce à un SOC 24/7.

Besoin d’un coup de main pour trouver la bonne solution ?