Conformité DORA : piloter la résilience opérationnelle numérique de votre entité financière

Qu’est-ce que DORA ?

DORA (Digital Operational Resilience Act) est un règlement européen : contrairement à NIS 2, il s’applique directement, sans loi de transposition. Publié le 27 décembre 2022, il est entré en application le 17 janvier 2025. Il est précisé par des normes techniques de réglementation et d’exécution élaborées par les autorités européennes de supervision (ABE, AEMF, AEAPP).

Son objectif : garantir qu’une entité financière résiste à une perturbation grave de ses systèmes d’information, y réagisse et s’en rétablisse. En France, sa mise en œuvre est contrôlée par l’ACPR et l’AMF selon les entités. Pour les entités qu’il couvre, DORA prévaut sur NIS 2 en matière de gestion des risques et de notification des incidents.

Qui est concerné ?

L’article 2 vise vingt catégories d’entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, dépositaires centraux, contreparties centrales, plates-formes de négociation, gestionnaires de fonds et sociétés de gestion, entreprises d’assurance et de réassurance, intermédiaires d’assurance, institutions de retraite professionnelle, agences de notation, prestataires de financement participatif, entre autres.

Les prestataires tiers de services TIC sont concernés de deux façons : tous à travers les clauses contractuelles que leurs clients financiers doivent leur imposer, et les prestataires désignés comme critiques par une supervision directe des autorités européennes. Le règlement applique un principe de proportionnalité, avec un cadre simplifié pour certaines petites entités.

Les cinq piliers de DORA

Le règlement s’organise en cinq blocs d’exigences, qui structurent aussi tout plan de mise en conformité.

• Gestion des risques liés aux TIC (art. 5 à 16)

  Un cadre documenté et revu, sous la responsabilité de l’organe de direction : identification des fonctions et actifs, protection, détection, réponse et rétablissement, sauvegardes, apprentissage et communication.

• Incidents liés aux TIC (art. 17 à 23)

  Un processus de gestion, une classification selon des critères communs (clients touchés, durée, étendue, pertes de données, impact économique) et la notification des incidents majeurs à l’autorité compétente.

• Tests de résilience (art. 24 à 27)

  Un programme de tests proportionné, au moins annuel pour les systèmes qui soutiennent des fonctions critiques, et pour les entités désignées des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans.

• Risques liés aux prestataires TIC (art. 28 à 44)

  Une stratégie, un registre d’information de tous les contrats de services TIC, des clauses contractuelles obligatoires, des stratégies de sortie et l’évaluation du risque de concentration.

• Partage d’informations (art. 45)

  Des dispositifs volontaires d’échange d’informations et de renseignements sur les cybermenaces entre entités financières.

Notifier un incident majeur

Les normes techniques de DORA fixent un calendrier en trois temps pour les incidents classés majeurs :

• Une notification initiale dans les 4 heures suivant la classification de l’incident comme majeur, et au plus tard 24 heures après sa détection.
• Un rapport intermédiaire dans les 72 heures suivant la notification initiale.
• Un rapport final dans le mois qui suit le dernier rapport intermédiaire.

Le registre d’information, le chantier le plus concret

L’article 28 impose de tenir à jour un registre d’information de tous les accords contractuels portant sur des services TIC fournis par des tiers, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Son format est fixé par des normes techniques d’exécution, et les superviseurs le collectent.

Constituer ce registre oblige à relier des informations souvent éparses entre les achats, le juridique et la DSI : prestataires, contrats, fonctions soutenues, sous-traitance, localisation des données, criticité. C’est typiquement le travail qu’un outil GRC rend maintenable dans la durée.