DORA

DORA (Digital Operational Resilience Act, règlement UE 2022/2554) est applicable depuis le 17 janvier 2025. Il impose au secteur financier européen (banques, assurances, sociétés de gestion, mais aussi les prestataires informatiques critiques qui les servent) un cadre unifié de résilience face aux risques numériques — là où chaque État membre avait auparavant ses propres exigences, souvent hétérogènes.

Les 5 piliers de DORA

Gestion des risques liés aux TIC : cartographie des systèmes, analyse de risques, mesures de protection — sous la responsabilité directe de l’organe de direction.
Gestion et notification des incidents : classification des incidents majeurs et notification aux autorités compétentes selon un calendrier strict (notification initiale, intermédiaire, finale).
Tests de résilience opérationnelle numérique : tests réguliers (scans de vulnérabilité, tests d’intrusion) et, pour les entités les plus importantes, des tests de pénétration basés sur la menace (TLPT) avancés tous les 3 ans, alignés sur le cadre européen TIBER-EU.
Gestion du risque lié aux prestataires tiers TIC : registre de tous les contrats avec des prestataires TIC, clauses contractuelles obligatoires (audit, réversibilité, plans de sortie), et une surveillance renforcée pour les prestataires jugés critiques (directement supervisés par les autorités européennes).
Partage d’informations : mécanismes volontaires de partage de renseignements sur les cybermenaces entre entités financières.

Ce qui change concrètement pour un prestataire IT

Un point notable de DORA : il s’applique aussi, indirectement, aux fournisseurs de services TIC d’une entité financière (hébergeurs, éditeurs de logiciels, cloud providers) — via les clauses contractuelles que l’entité financière est désormais obligée de leur imposer (droit d’audit, plan de sortie, engagements de disponibilité). Un prestataire qui vend à des banques ou assurances doit s’attendre à des exigences contractuelles bien plus strictes qu’auparavant.

DORA et les autres cadres

DORA ne réinvente pas la sécurité de zéro : une organisation déjà structurée autour d’ISO 27001 ou déjà soumise à NIS2 dispose d’une bonne partie des fondations attendues (analyse de risques, gestion des incidents, sécurité des tiers). DORA est cependant plus prescriptif sur les tests de résilience et la gestion contractuelle des prestataires, avec un régime de supervision directe par les autorités européennes pour les prestataires TIC critiques — une première pour ce type d’acteurs.