Règlement DORA : préparer la résilience opérationnelle numérique
Applicable depuis janvier 2025, DORA impose au secteur financier un cadre strict de résilience IT : gestion des risques, tests, incidents et supervision des prestataires.
· 10 min de lecture
Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) est applicable depuis le 17 janvier 2025. Son objectif : harmoniser, à l’échelle européenne, la résilience opérationnelle numérique du secteur financier, jusque-là traitée de manière fragmentée d’un pays et d’un régulateur à l’autre.
Qui est concerné ?
DORA couvre un périmètre très large d’entités financières : établissements de crédit et de paiement, entreprises d’investissement, assurances, gestionnaires d’actifs, prestataires de services sur crypto-actifs… mais aussi les prestataires tiers de services TIC critiques, qui entrent pour la première fois dans le champ d’une supervision européenne directe.
Les cinq piliers de DORA
1 · Gestion du risque TIC
Un cadre complet de gouvernance et de maîtrise des risques liés aux technologies, placé sous la responsabilité de l’organe de direction.
2 · Gestion des incidents
Détection, classification et notification des incidents majeurs liés aux TIC, selon des seuils et des délais harmonisés.
3 · Tests de résilience
Programme de tests réguliers, jusqu’aux tests de pénétration fondés sur la menace (TLPT) pour les entités les plus significatives.
4 · Risque lié aux tiers
Registre des prestataires TIC, exigences contractuelles et supervision des fournisseurs jugés critiques par les autorités européennes.
Un cinquième pilier encourage le partage d’informations sur les cybermenaces entre acteurs financiers, sur une base volontaire.
DORA et NIS2 : quelle articulation ?
Une entité financière peut se demander si elle relève de DORA, de NIS2, ou des deux. La règle est celle de la lex specialis : pour le secteur financier, DORA prime en tant que régime spécialisé sur la résilience numérique. En pratique, une banque ou un assureur pilotera ses obligations de résilience TIC via DORA, plus précis et plus exigeant sur ce périmètre.
Les deux textes partagent toutefois une même philosophie : gestion des risques fondée sur les processus, notification des incidents, responsabilisation de la direction et attention portée à la chaîne de sous-traitance. Une organisation qui structure correctement l’un avance mécaniquement sur l’autre.
Prestataires tiers critiques et normes techniques
La grande nouveauté de DORA est la supervision directe des prestataires tiers de TIC critiques par les autorités européennes de surveillance (EBA, EIOPA, ESMA). Un fournisseur cloud ou un éditeur dont dépendent de nombreuses institutions financières peut ainsi être désigné comme critique et faire l’objet d’un contrôle à l’échelle de l’Union.
Le règlement est par ailleurs précisé par des normes techniques (RTS et ITS) qui détaillent les attendus concrets : contenu du registre d’information, modèles de notification d’incidents, politique de sécurité, modalités des tests. Se tenir à jour de ces textes d’application est indispensable pour une mise en conformité réellement opérationnelle.
Les chantiers prioritaires
- constituer et tenir à jour le registre d’information des prestataires TIC ;
- revoir les contrats avec les fournisseurs pour y intégrer les clauses exigées ;
- formaliser le cadre de gestion des incidents et les circuits de notification ;
- planifier les tests de résilience et documenter leurs résultats.
Comme pour NIS2 ou l’AI Act, l’enjeu est moins de « cocher des cases » que de bâtir un dispositif démontrable : preuves, documentation à jour et suivi dans le temps.
Structurer votre mise en conformité DORA
Sources et références
GovernIA, la plateforme d’audit augmentée par l’IA
Industrialisez vos audits IA, RGPD, NIS2, ISO 27001 et DORA sur une plateforme collaborative cabinet/client, hébergée en France.