Le règlement DORA (Digital Operational Resilience Act) est entré en application le 17 janvier 2025 pour tous les acteurs financiers de l’UE.
Après deux ans de période de transition, l’heure est au bilan : qui est vraiment prêt, quelles sont les obligations concrètes, et comment s’organiser pour rester conforme dans la durée ?
Qu’est-ce que DORA ?
Le contexte
Le secteur financier est l’une des cibles prioritaires des cyberattaques. Une défaillance d’une grande banque ou d’une infrastructure de marché peut avoir des effets systémiques sur l’ensemble de l’économie.
Face à ce risque, l’Union européenne a adopté DORA pour imposer un cadre harmonisé de résilience opérationnelle numérique à tous les acteurs financiers.
Les objectifs de DORA
- Harmoniser les exigences de résilience numérique dans l’UE
- Renforcer la capacité des acteurs financiers à résister aux cyberattaques
- Encadrer les risques liés aux prestataires tiers de services TIC
- Faciliter la supervision par les autorités réglementaires
Qui est concerné par DORA ?
Les entités financières
DORA s’applique à un large périmètre d’acteurs financiers :
- Établissements de crédit (banques)
- Établissements de paiement et de monnaie électronique
- Entreprises d’investissement
- Prestataires de services sur crypto-actifs
- Compagnies d’assurance et de réassurance
- Fonds d’investissement et sociétés de gestion
- Infrastructures de marché (bourses, contreparties centrales)
- Agences de notation
- Auditeurs légaux
Les prestataires tiers de services TIC
DORA étend son périmètre aux prestataires critiques fournissant des services numériques aux entités financières :
- Fournisseurs cloud (AWS, Azure, Google Cloud…)
- Éditeurs de logiciels critiques
- Prestataires de services de données
- Centres de données
Certains prestataires peuvent être désignés “critiques” et soumis à une supervision directe des régulateurs européens.
Les 5 piliers de DORA
Pilier 1 : Gestion du risque TIC
DORA impose un cadre formalisé de gestion du risque lié aux technologies de l’information :
- Stratégie de résilience numérique documentée et approuvée par la direction
- Cartographie des actifs TIC et des dépendances critiques
- Analyse des risques avec évaluation des impacts potentiels
- Mesures de protection proportionnées aux risques identifiés
- Plans de continuité et de reprise des activités TIC
La responsabilité de la direction est explicitement engagée. Les organes de direction doivent approuver la stratégie et suivre sa mise en œuvre.
Un RSSI externalisé peut structurer cette gouvernance et coordonner les différentes parties prenantes.
Pilier 2 : Gestion et notification des incidents TIC
DORA impose un processus structuré de gestion des incidents :
Classification des incidents
- Critères d’évaluation de la sévérité (impact sur les clients, durée de l’incident, périmètre affecté…)
- Distinction entre incidents et cyber-menaces
Délais de notification
| Étape | Délai |
|---|---|
| Notification initiale | 4 heures après classification comme majeur |
| Rapport intermédiaire | 72 heures |
| Rapport final | 1 mois |
Notification aux clients : les entités doivent informer leurs clients des incidents susceptibles d’affecter leurs intérêts financiers.
Un SOC managé permet de détecter rapidement les incidents et de déclencher les procédures de notification dans les délais.
Pilier 3 : Tests de résilience opérationnelle numérique
DORA impose des tests réguliers pour valider la résilience des systèmes :
Tests de base (tous les acteurs)
- Tests de vulnérabilité
- Audits de sécurité
- Tests sur les plans de continuité
Tests avancés - TLPT (entités critiques) Le Threat-Led Penetration Testing (TLPT) est imposé aux acteurs les plus critiques :
- Périmètre défini par les régulateurs
- Tests basés sur des scénarios de menaces réelles
- Réalisés par des prestataires certifiés
- Fréquence : au moins tous les 3 ans
Nos équipes de tests d’intrusion sont spécialisées dans les tests DORA et TLPT.
Pilier 4 : Gestion des risques liés aux tiers prestataires TIC
C’est l’un des aspects les plus novateurs de DORA :
Registre des contrats TIC Chaque entité doit maintenir un registre détaillé de tous ses contrats avec des prestataires TIC.
Évaluation des risques tiers Avant tout contrat avec un prestataire TIC critique, une évaluation de risque approfondie doit être réalisée.
Clauses contractuelles obligatoires DORA impose des clauses spécifiques dans les contrats avec les prestataires TIC :
- Niveaux de service (SLA)
- Localisation des données et des sauvegardes
- Droits d’audit
- Plans de sortie et d’exit
- Obligation de notification d’incidents
Stratégie de sortie Pour les prestataires critiques, une stratégie de sortie documentée est obligatoire.
Pilier 5 : Partage d’informations sur les cybermenaces
DORA encourage le partage d’informations sur les menaces et vulnérabilités entre acteurs financiers.
Les entités peuvent participer à des dispositifs de partage de threat intelligence, sous réserve de confidentialité.
Comment se mettre en conformité DORA ?
Évaluer son niveau de maturité
Beaucoup d’entités financières avaient déjà des programmes de résilience en place (EBA guidelines, TIBER-EU…). DORA consolide et harmonise ces exigences.
Un état des lieux permet d’identifier les écarts et de prioriser les actions.
Les chantiers prioritaires
Court terme
- Constitution du registre des contrats TIC
- Mise en place des processus de notification d’incidents
- Classification des actifs TIC critiques
Moyen terme
- Programme de tests de résilience
- Renégociation des contrats avec les prestataires TIC
- Plans de continuité et de reprise
Long terme
- Programme TLPT pour les entités concernées
- Stratégies de sortie pour les prestataires critiques
- Participation aux dispositifs de partage de threat intelligence
DORA et ISO 27001 : complémentaires mais distincts
ISO 27001 apporte un cadre de management de la sécurité de l’information qui couvre une partie des exigences DORA. Mais DORA va plus loin sur des aspects spécifiques au secteur financier.
Nos services de conformité et certifications vous accompagnent dans une démarche combinée.
Conclusion
DORA représente une transformation profonde de la manière dont le secteur financier aborde la résilience numérique.
Pour les acteurs déjà engagés dans des démarches de cybersécurité sérieuses, la mise en conformité est accessible. Pour les autres, le rattrapage peut être significatif.
Dans tous les cas, DORA offre une opportunité de structurer durablement la résilience opérationnelle, au bénéfice des clients, des actionnaires et de la stabilité financière globale.