Le règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025, impose aux acteurs du secteur financier européen un cadre harmonisé de résilience opérationnelle numérique. Banques, compagnies d'assurance, sociétés de gestion, plateformes de paiement et prestataires de services sur crypto-actifs doivent désormais démontrer leur capacité à résister, répondre et se remettre de perturbations liées aux technologies de l'information et de la communication (TIC). Cet article analyse les exigences de DORA et propose une méthodologie de mise en conformité adaptée aux établissements de taille intermédiaire.
Périmètre et objectifs de DORA
DORA s'applique à plus de 22 000 entités financières dans l'Union européenne et, nouveauté majeure, aux prestataires tiers critiques de services TIC — hébergeurs cloud, éditeurs de logiciels bancaires, fournisseurs de données de marché — qui alimentent ces entités. L'objectif est double : garantir que les entités financières puissent maintenir leurs opérations critiques face à toute perturbation TIC, et réduire le risque systémique que représente la concentration de services TIC chez un nombre limité de fournisseurs. Le secteur de la finance est directement concerné par DORA, qui encadre le risque ICT et la résilience opérationnelle numérique.
Les cinq piliers de DORA
Le règlement s'articule autour de cinq axes fondamentaux qui structurent l'ensemble des obligations :
- Gestion des risques TIC : cadre de gouvernance, politique de sécurité de l'information, stratégie de résilience numérique.
- Gestion et notification des incidents TIC : classification, reporting aux autorités compétentes, partage d'informations.
- Tests de résilience opérationnelle numérique : tests de base annuels et tests de pénétration avancés (TLPT) tous les trois ans pour les entités significatives.
- Gestion des risques liés aux prestataires tiers de services TIC : due diligence, clauses contractuelles obligatoires, stratégie de sortie.
- Partage d'informations sur les cybermenaces entre entités financières.
Gestion des risques TIC : les exigences concrètes
Chaque entité doit établir un cadre de gestion des risques TIC proportionné à sa taille et à la complexité de ses activités. Ce cadre comprend la cartographie complète des actifs TIC, l'identification des fonctions critiques et importantes, l'analyse d'impact métier (BIA) et la définition d'objectifs de reprise (RTO/RPO). L'élaboration d'un plan de reprise après incident constitue un volet fondamental de cette exigence, en particulier face à la menace ransomware qui cible massivement le secteur financier.
Continuité d'activité et plans de reprise
DORA impose des exigences précises en matière de continuité d'activité. Les entités doivent définir des plans de continuité et de reprise d'activité couvrant l'ensemble de leurs fonctions critiques, les tester au minimum annuellement et les mettre à jour après chaque incident significatif ou changement organisationnel majeur. Les sauvegardes des données doivent être géographiquement distribuées, testées régulièrement et protégées contre les altérations malveillantes. La stratégie de sauvegarde automatisée constitue le socle technique de cette résilience opérationnelle.
La gestion des prestataires tiers TIC
L'un des aspects les plus structurants de DORA concerne la maîtrise de la chaîne de sous-traitance TIC. Chaque entité financière doit tenir un registre exhaustif de ses accords contractuels avec les prestataires tiers de services TIC, en distinguant ceux qui supportent des fonctions critiques ou importantes. Les contrats doivent inclure des clauses obligatoires couvrant les niveaux de service, les droits d'audit, les obligations de notification d'incidents, les conditions de résiliation et les stratégies de sortie.
Supervision directe des prestataires critiques
Innovation majeure, DORA instaure un mécanisme de supervision directe des prestataires tiers critiques par les autorités européennes de surveillance (EBA, ESMA, EIOPA). Les prestataires désignés comme critiques — principalement les hyperscalers cloud et les éditeurs de logiciels bancaires systémiques — seront soumis à des inspections, des recommandations et, le cas échéant, des astreintes journalières pouvant atteindre 1 % du chiffre d'affaires mondial. En France, l'ACPR est l'autorité compétente pour le contrôle des établissements bancaires et assurantiels.
- Réaliser un inventaire complet de tous les contrats de services TIC et classifier les prestataires.
- Évaluer la criticité de chaque prestataire selon l'impact de sa défaillance sur les fonctions métier.
- Négocier les clauses contractuelles obligatoires DORA avec chaque prestataire critique.
- Définir des stratégies de sortie documentées et testées pour chaque prestataire critique.
- Mettre en place un processus de surveillance continue des prestataires avec indicateurs de performance.
Tests de résilience et exercices
DORA distingue deux niveaux de tests. Les tests de base — scans de vulnérabilités, tests de performance, revues de code source, tests de compatibilité — doivent être réalisés annuellement. Les tests avancés de pénétration fondés sur la menace (TLPT, Threat-Led Penetration Testing) sont requis tous les trois ans pour les entités significatives. Ces exercices simulent des attaques réalistes menées par des équipes spécialisées (red teams) pour évaluer la capacité de détection, de réponse et de reprise de l'entité. Les bonnes pratiques de cybersécurité doivent être intégrées à la culture de l'ensemble des collaborateurs, pas uniquement des équipes IT.
Chez ACME, nous accompagnons les établissements financiers dans leur mise en conformité DORA : cartographie des risques TIC, audit des prestataires tiers, élaboration des plans de continuité et conduite de tests de résilience. Notre approche pragmatique permet aux structures de taille intermédiaire de répondre aux exigences réglementaires sans surinvestissement.
FAQ
DORA concerne-t-il les courtiers en assurance et les intermédiaires financiers ?
Oui, DORA couvre un périmètre très large incluant les intermédiaires d'assurance et de réassurance, les intermédiaires en opérations de banque et les conseillers en investissement financier, dès lors qu'ils disposent de plus de 250 salariés ou dépassent certains seuils d'activité. Les micro-entreprises de moins de 10 salariés bénéficient d'un régime simplifié mais restent tenues de mettre en œuvre des mesures de gestion des risques TIC proportionnées à leur taille.
Quelles sont les sanctions en cas de non-conformité à DORA ?
Le règlement laisse aux États membres le soin de définir les sanctions, qui doivent être « effectives, proportionnées et dissuasives ». En France, l'ACPR dispose d'un arsenal de sanctions pouvant inclure des avertissements, des blâmes, des interdictions temporaires d'exercice et des sanctions pécuniaires pouvant atteindre 10 % du chiffre d'affaires. Pour les prestataires tiers critiques, les autorités européennes peuvent imposer des astreintes de 1 % du CA mondial par jour de non-conformité.
Comment articuler DORA avec les obligations NIS2 ?
DORA constitue une lex specialis par rapport à NIS2 pour le secteur financier : les entités soumises à DORA sont réputées conformes aux exigences de NIS2 en matière de gestion des risques et de notification des incidents. Il n'y a donc pas de double obligation, mais les entités financières exerçant des activités dans d'autres secteurs couverts par NIS2 devront vérifier la couverture complète de leurs obligations.