DORA en action : l'accord ANSSI-ACPR-Banque de France structure la supervision cyber

Un accord qui referme les angles morts de la supervision cyber

Depuis l'entrée en application du règlement DORA le 17 janvier 2025, les établissements financiers de l'Union européenne doivent démontrer, preuves à l'appui, la robustesse de leur dispositif de gestion du risque lié aux technologies de l'information et de la communication. Mais DORA ne remplace pas les compétences existantes : il les fait cohabiter. L'ANSSI reste l'autorité technique nationale de cybersécurité, l'ACPR le superviseur prudentiel chargé de vérifier le respect du règlement, et la Banque de France l'institution en charge de la résilience des infrastructures financières et de paiement. Sans coordination explicite entre ces trois entités, un établissement contrôlé pouvait se retrouver face à des demandes redondantes, voire contradictoires, de la part d'autorités qui ne partageaient pas systématiquement leurs constats.

L'accord du 3 juillet 2026 vient combler cet interstice. Il ne crée pas de nouvelle obligation directe pour les établissements financiers — il n'introduit aucun texte de niveau 2 ou 3 opposable — mais il change la manière dont les contrôles existants seront menés, articulés et suivis dans la durée. Selon l'ANSSI, cette coopération a été « débutée dès 2018 » et ce nouvel accord vise à « anticiper l'aggravation du risque cyber dans le secteur financier », dans un contexte où « les entités du secteur financier sont des cibles privilégiées en raison de la sensibilité des données qu'elles gèrent et des transactions financières qu'elles réalisent ».

Les quatre axes de la coopération renforcée

L'accord structure la collaboration entre les trois institutions autour de quatre axes explicites :

• Les incidents de sécurité d'origine cyber et les cybermenaces — partage d'information en amont et en aval d'un incident touchant une entité financière.
• Les contrôles et l'assistance mutuelle — mise en commun des constats de supervision pour éviter les redondances et gagner en efficacité collective.
• La gestion de crise cyber — coordination opérationnelle lorsqu'un incident dépasse le périmètre d'un seul établissement ou menace la stabilité financière.
• Les tests d'intrusion avancés fondés sur la menace (TLPT — Threat Led Penetration Testing) — exercices visant à éprouver la robustesse réelle des systèmes d'information critiques, sur le modèle déjà connu du cadre TIBER-EU.

Qui fait quoi désormais

Cette répartition n'est pas nouvelle en soi — chaque institution exerçait déjà ces missions séparément. Ce qui change, c'est l'engagement formel à faire circuler l'information entre ces trois pôles de compétence, plutôt que de laisser chaque établissement financier gérer trois interlocuteurs cloisonnés.

Ce que cela change concrètement pour un établissement financier

Pour une direction des risques ou une fonction conformité, trois conséquences opérationnelles se dégagent de cet accord :

1. Une seule version des faits. Un incident notifié à l'ANSSI (via CERT-FR) a désormais vocation à être connu de l'ACPR dans le cadre de son contrôle DORA, et de la Banque de France si la résilience d'une infrastructure de paiement est en jeu. La cohérence du narratif transmis aux régulateurs devient un enjeu de crédibilité, pas seulement de conformité formelle.
2. Des contrôles mieux calibrés, pas nécessairement plus légers. L'assistance mutuelle entre autorités doit réduire les demandes redondantes, mais elle augmente aussi la probabilité qu'un signal faible identifié par l'une des trois institutions remonte rapidement aux deux autres.
3. Les TLPT deviennent un chantier à anticiper. Les tests d'intrusion fondés sur la menace exigent une préparation en amont — cartographie des fonctions critiques, scénarios de menace réalistes, capacité de l'établissement à documenter sa réponse. Les entités les plus systémiques ont intérêt à ne pas attendre une notification formelle pour engager cette réflexion.

En pratique

Les fonctions conformité et sécurité des systèmes d'information des établissements financiers gagneront à :

• Vérifier que leurs procédures de notification d'incident couvrent bien les trois canaux concernés (ANSSI/CERT-FR, ACPR, Banque de France le cas échéant) sans divergence de contenu ou de calendrier.
• Documenter la cartographie des fonctions critiques en vue d'un éventuel exercice TLPT, plutôt que d'attendre une sollicitation formelle.
• Historiciser les échanges avec chaque autorité, dans l'hypothèse où un dossier de contrôle DORA s'appuierait sur des éléments déjà transmis à l'ANSSI.