Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier — DORA — est applicable depuis le 17 janvier 2025. La période de préparation est close : ce qui relevait hier du projet interne relève désormais du contrôle prudentiel.
DORA impose un socle commun à quasiment tout le secteur financier européen, autour de cinq piliers : gouvernance et gestion du risque TIC, notification des incidents majeurs, tests de résilience, gestion du risque lié aux prestataires tiers, et partage d'informations sur les cybermenaces. Deux livrables concentrent l'essentiel de la charge : le registre d'information des prestataires TIC et le dispositif de classification et de notification des incidents.
Qui est concerné
Le périmètre est délibérément large. Sont visées une vingtaine de catégories d'entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, sociétés de gestion, entreprises d'assurance et de réassurance, intermédiaires, prestataires de services sur crypto-actifs, dépositaires centraux, contreparties centrales, plateformes de négociation, agences de notation, prestataires de services de financement participatif.
S'y ajoute une catégorie nouvelle : les prestataires tiers de services TIC critiques (CTPP), désignés au niveau européen et placés sous la surveillance directe des autorités de supervision (EBA, ESMA, EIOPA). Un fournisseur cloud majeur n'est plus seulement le sous-traitant de sa banque cliente : il devient lui-même un objet de supervision.
Un principe de proportionnalité s'applique. Les petites entreprises interconnectées et certaines entités de taille réduite relèvent d'un cadre simplifié de gestion du risque TIC. La proportionnalité allège l'exigence, elle ne la supprime pas.
Pilier 1 — Gouvernance et gestion du risque TIC
DORA place la responsabilité au sommet : c'est l'organe de direction qui définit, approuve et supervise le cadre de gestion du risque TIC, et qui en répond. Cette responsabilité ne peut pas être déléguée à la DSI.
Concrètement, l'établissement doit disposer :
- d'une cartographie des actifs TIC et des fonctions qu'ils supportent, avec identification des fonctions critiques ou importantes ;
- d'une politique de sécurité de l'information, de politiques de continuité d'activité et de reprise après sinistre, testées et non seulement écrites ;
- de mécanismes de détection des activités anormales, avec des seuils d'alerte définis ;
- d'une stratégie de résilience opérationnelle numérique exposant comment le cadre soutient la stratégie commerciale ;
- d'un dispositif d'apprentissage post-incident : analyse des causes racines et remontée à l'organe de direction.
La qualification « fonction critique ou importante » est le pivot du dispositif : elle commande le niveau de test, le contenu du registre des tiers et l'intensité de la surveillance contractuelle. Une qualification faite à la légère fragilise tout le reste.
Pilier 2 — Incidents : classifier, puis notifier
DORA harmonise ce qui était jusqu'ici éclaté entre régimes nationaux. Tout incident lié aux TIC doit être enregistré, classé selon des critères communs — nombre de clients affectés, durée, étendue géographique, pertes de données, criticité des services touchés, impact économique — et, s'il est majeur, notifié à l'autorité compétente.
La notification suit trois temps : une notification initiale, un rapport intermédiaire lorsque la situation évolue ou que l'activité normale reprend, puis un rapport final exposant les causes racines. Les délais précis et les formulaires sont fixés par les normes techniques adoptées en application du règlement.
Le point de friction opérationnel n'est presque jamais la notification elle-même : c'est la capacité à qualifier un incident dans les heures qui suivent sa détection, un week-end compris. Sans arbre de décision écrit, sans astreinte et sans données d'impact disponibles rapidement, le délai est intenable.
Les cybermenaces significatives peuvent, elles, faire l'objet d'une notification volontaire. C'est une faculté, pas une obligation — mais elle nourrit le partage d'informations prévu au pilier 5.
Pilier 3 — Tester la résilience
Le règlement distingue deux niveaux.
Le programme de tests général est annuel et s'applique à toutes les entités, sur les systèmes supportant des fonctions critiques ou importantes : analyses de vulnérabilité, tests de sécurité réseau, revues de code, tests de compatibilité, tests de performance, tests de bout en bout.
Les tests de pénétration fondés sur la menace (TLPT, sur le modèle TIBER-EU) ne concernent que les entités désignées comme significatives par leur autorité. Ils s'exécutent au moins tous les trois ans, sur les systèmes de production, avec des testeurs répondant à des exigences d'indépendance et de compétence, et incluent les prestataires TIC qui supportent les fonctions testées.
| Dimension | Tests généraux | TLPT |
|---|---|---|
| Qui | Toutes les entités | Entités désignées significatives |
| Fréquence | Au moins annuelle | Au moins tous les 3 ans |
| Périmètre | Systèmes des fonctions critiques | Fonctions critiques en production |
| Testeurs | Internes ou externes, indépendants | Externes (ou internes sous conditions strictes) |
| Tiers TIC | Selon le périmètre | Inclus dans le scénario |
Pilier 4 — Le risque prestataires, cœur du sujet
C'est le pilier qui mobilise le plus de charge de mise en conformité, parce qu'il touche à des contrats déjà signés.
DORA exige une stratégie de sortie documentée pour chaque prestataire supportant une fonction critique ou importante. Il exige aussi un registre d'information recensant l'ensemble des accords contractuels sur l'usage de services TIC, tenu à jour et transmis annuellement à l'autorité compétente selon un format normalisé.
Les contrats doivent comporter un socle de clauses : description complète des services et des lieux de traitement, niveaux de service quantifiés, obligations d'assistance en cas d'incident, droits d'accès, d'inspection et d'audit, conditions de résiliation, coopération avec les autorités. Pour les fonctions critiques, les exigences sont renforcées, notamment sur les plans de sortie et les tests conjoints.
Le registre n'est pas un exercice documentaire : il est la matière première de la supervision. Sa qualité — exhaustivité, identifiants normalisés, rattachement de chaque contrat à une fonction et à son niveau de criticité — détermine directement la lecture que l'autorité aura de votre exposition.
Pilier 5 — Partage d'informations
Les entités financières sont encouragées à échanger entre elles renseignements et indicateurs sur les cybermenaces, au sein de communautés de confiance et dans le respect du droit de la concurrence et de la protection des données. Le dispositif est facultatif ; il constitue néanmoins un signal de maturité pour le superviseur.
Feuille de route pratique
Pour un établissement qui doit consolider son dispositif, l'ordre des travaux compte plus que leur volume :
- Fiabiliser la cartographie des fonctions métier et des actifs TIC qui les supportent — sans elle, aucune qualification n'est défendable.
- Figer la méthode de qualification des fonctions critiques ou importantes, et la faire valider par l'organe de direction.
- Reconstituer le registre des prestataires à partir des contrats réels, pas des listes achats.
- Écrire l'arbre de décision incident et le tester à blanc, hors heures ouvrées.
- Renégocier les clauses manquantes sur les contrats critiques, en priorisant par criticité.
- Programmer les tests et documenter les remédiations, en traçant qui décide et sous quel délai.
- Installer le reporting vers l'organe de direction : c'est lui qui répond du dispositif.
Les établissements qui s'en sortent le mieux sont ceux qui ont raccroché DORA à ce qui existait déjà — dispositif de contrôle interne, PCA, gestion des sous-traitants — au lieu de créer un chantier parallèle. DORA réorganise et durcit des obligations pour la plupart connues ; il invente rarement.
Ce que regarde le superviseur
Trois signaux reviennent systématiquement : la traçabilité des décisions (qui a qualifié quoi, quand, sur quelle base), la cohérence entre la cartographie, le registre et les tests, et l'implication démontrable de l'organe de direction. Un dispositif techniquement solide mais sans trace de gouvernance se lit comme un dispositif non piloté.
Ōri Advisory accompagne les établissements financiers sur la mise en conformité DORA, du cadrage de la cartographie à la remise en conformité contractuelle des prestataires TIC.