DORA
Règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.
Définition complète
DORA (Digital Operational Resilience Act) est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. Directement applicable dans tous les États membres, il s'applique depuis le 17 janvier 2025.
Il vise les entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, entreprises d'assurance et de réassurance, intermédiaires d'assurance, gestionnaires de fonds, institutions de retraite professionnelle, infrastructures de marché, entre autres. Ses exigences s'organisent autour de la gestion des risques liés aux technologies de l'information et de la communication (TIC), de la déclaration des incidents majeurs, des tests de résilience (avec des tests de pénétration fondés sur la menace pour les entités désignées), de la gestion du risque lié aux prestataires tiers de TIC et du partage d'informations sur les menaces. Les microentreprises bénéficient d'un régime allégé.
DORA concerne aussi indirectement de nombreuses PME : les prestataires de services TIC (éditeurs, hébergeurs, infogérants) qui travaillent pour une banque, un assureur ou un courtier voient leurs contrats enrichis de clauses sur la sécurité, l'audit, la notification d'incidents et la réversibilité. Les prestataires jugés critiques au niveau européen sont en outre placés sous la surveillance des autorités européennes de surveillance.
Source : EUR-Lex, règlement (UE) 2022/2554 du 14 décembre 2022
Exemple concret
Un éditeur lyonnais de 30 salariés fournit un logiciel de gestion des sinistres à plusieurs courtiers en assurance. En 2025, ses clients lui adressent un avenant DORA : description précise du service, localisation des données, obligation de signaler sans délai tout incident, droit d'audit, participation aux tests et plan de sortie. L'éditeur doit formaliser sa gestion des incidents et son plan de continuité pour conserver ses contrats.
Comment se protéger
- Vérifier si votre entreprise est une entité financière au sens de DORA ou un prestataire TIC d'une telle entité
- Recenser les contrats avec des clients financiers et anticiper leurs demandes d'avenants
- Formaliser une procédure de détection, de classification et de notification des incidents
- Tenir un plan de continuité et de reprise testé, avec des objectifs de reprise documentés
- Documenter vos propres sous-traitants TIC et la localisation des données
- Préparer un plan de réversibilité permettant à un client de changer de prestataire
- Programmer des tests réguliers : scans de vulnérabilités, tests d'intrusion, exercices de crise
Questions fréquentes
Pas directement, sauf si elle fait partie des entités financières visées (courtier en assurance, établissement de paiement...). Mais si elle fournit des services informatiques à une entité financière, ses clients lui imposeront contractuellement une partie des exigences.
NIS2 est une directive transversale qui couvre de nombreux secteurs. DORA est un règlement spécifique au secteur financier. Pour les entités financières, DORA constitue le texte sectoriel de référence en matière de cybersécurité.
Les autorités compétentes du secteur financier, selon le type d'entité : notamment la Banque de France, l'Autorité de contrôle prudentiel et de résolution (ACPR) et l'Autorité des marchés financiers (AMF).
Termes liés
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
NIS2
Directive européenne renforçant la cybersécurité des organisations.
Plan de reprise d'activité
Procédures pour restaurer les systèmes après un incident majeur.
RGPD
Règlement européen sur la protection des données personnelles.
Vous avez besoin d'un expert en DORA ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.