Règlement DORA : le guide de la résilience opérationnelle numérique

En bref

Qu'est-ce que le règlement DORA ?

DORA (Digital Operational Resilience Act) est un règlement européen adopté le 14 décembre 2022 et directement applicable dans tous les États membres depuis le 17 janvier 2025, sans transposition nationale, contrairement à une directive comme NIS2. Son objectif : garantir que le secteur financier puisse résister, réagir et se rétablir face aux incidents liés aux technologies de l'information et de la communication (TIC), qu'il s'agisse d'une cyberattaque, d'une panne majeure ou de la défaillance d'un prestataire.

Jusqu'ici, la résilience numérique était traitée de façon éparse selon les pays et les secteurs. DORA harmonise ces exigences à l'échelle de l'Union.

Qui est concerné ?

DORA vise près d'une vingtaine de catégories d'entités financières listées à l'article 2 : établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique, sociétés de gestion et gestionnaires de fonds, entreprises d'assurance et de réassurance, prestataires de services sur crypto-actifs, infrastructures de marché, etc.

Point souvent oublié : les prestataires TIC. DORA encadre aussi les prestataires tiers de services TIC des entités financières. Concrètement, si votre PME héberge, développe, infogère ou sécurise le système d'information d'une banque, d'un assureur ou d'une fintech, votre client va vous répercuter des exigences : clauses contractuelles spécifiques, droits d'audit, obligations de notification, plan de réversibilité. Vous n'êtes pas directement supervisé par l'ACPR, mais la conformité de votre client dépend de la vôtre.

Et la proportionnalité ? DORA s'applique en tenant compte de la taille et du profil de risque : les microentreprises financières bénéficient d'un cadre de gestion du risque TIC simplifié.

Les cinq piliers de DORA

1. La gestion du risque TIC

Un cadre documenté et approuvé par l'organe de direction : cartographie des actifs et des dépendances, politiques de protection, de détection, de réponse et de reprise, sauvegardes et plans de continuité. La responsabilité est explicitement portée par la direction, pas seulement par la DSI.

2. La gestion et la notification des incidents

Les incidents liés aux TIC doivent être détectés, classés et notifiés à l'autorité compétente, selon un processus et des délais stricts (notification initiale, rapport intermédiaire, rapport final) précisés par les normes techniques (RTS).

3. Les tests de résilience opérationnelle

Toutes les entités réalisent des tests réguliers (analyses de vulnérabilités, tests de continuité…). Les entités les plus significatives doivent en outre mener, tous les trois ans, des tests avancés de pénétration fondés sur la menace (TLPT), en France selon le cadre TIBER-FR.

4. La gestion du risque lié aux prestataires tiers TIC

L'un des apports majeurs du texte : clauses contractuelles obligatoires, registre d'information recensant tous les contrats TIC (transmis à l'autorité au moins une fois par an), stratégies de sortie, et une surveillance directe, au niveau européen, des prestataires jugés critiques.

5. Le partage d'informations

DORA encourage le partage volontaire de renseignements sur les cybermenaces entre entités financières, dans un cadre de confiance.

DORA en France : ACPR, AMF et TIBER-FR

En France, deux autorités se partagent la supervision : l'ACPR (banques et assurances) et l'AMF (sociétés de gestion, infrastructures de marché). L'ACPR a publié le 18 décembre 2024 une notice détaillant ses attentes sur le cadre de gestion du risque TIC. Les tests TLPT s'inscrivent dans le cadre national TIBER-FR.

Quelles sanctions ?

Le non-respect peut coûter cher : jusqu'à 2 % du chiffre d'affaires annuel mondial pour une entité financière. Un prestataire TIC désigné comme critique au niveau européen s'expose à des astreintes pouvant atteindre 1 % de son chiffre d'affaires quotidien moyen mondial.

DORA ou NIS2 : lequel s'applique ?

Les deux textes visent la cybersécurité, mais ne se cumulent pas sur le même périmètre. Pour le volet système d'information des entités financières, DORA est le texte spécifique (lex specialis) et prime sur NIS2. NIS2 couvre les autres secteurs essentiels et importants. En pratique : une banque relève de DORA ; une PME industrielle ou de services peut relever de NIS2 ; une PME informatique peut être touchée par les deux, selon ses clients.

Par où commencer

Sur Lyyp, vous pouvez trouver un prestataire vérifié spécialisé en conformité et en résilience, ou évaluer votre maturité cyber en quelques minutes.

FAQ

DORA est-il obligatoire ?

Oui. C'est un règlement européen d'application directe, en vigueur depuis le 17 janvier 2025, sans transposition nationale.

Ma PME n'est pas une banque, suis-je concerné ?

Peut-être, indirectement : si vous êtes prestataire de services TIC d'une entité financière, votre client vous imposera des exigences contractuelles issues de DORA.

Quelle différence avec NIS2 ?

DORA est spécifique au secteur financier et prime, pour ce secteur, sur NIS2, qui couvre les autres secteurs essentiels et importants.

Qui contrôle DORA en France ?

L'ACPR (banques, assurances) et l'AMF (gestion d'actifs, infrastructures de marché).

Que risque-t-on en cas de non-conformité ?

Des sanctions pouvant atteindre 2 % du chiffre d'affaires annuel mondial pour une entité financière.

Sources