Le règlement DORA (Digital Operational Resilience Act, UE 2022/2554) est applicable depuis le 17 janvier 2025 à toutes les entités financières opérant dans l’UE. Contrairement à NIS2, c’est un règlement (donc d’application directe, sans transposition) et il vise spécifiquement la résilience opérationnelle numérique. Voici les 5 piliers, ce qu’attend l’ACPR / la BCE, et la checklist de mise en conformité.
Périmètre DORA : qui est concerné
Plus de 22 000 entités sont visées dans l’UE : banques, assurances, gestionnaires d’actifs, FIA/OPCVM, fintechs, PSPs, CSDs, infrastructures de marché, agences de notation. DORA couvre aussi les prestataires TIC critiques (cloud providers, éditeurs SaaS spécialisés finance) qui se voient eux-mêmes supervisés directement par les autorités européennes.
Les 5 piliers de DORA
Pilier I — Gestion du risque TIC (art. 5-15)
Cadre de gestion du risque numérique formalisé, sous responsabilité directe de l’organe de direction. Doit inclure : cartographie des actifs TIC, analyse de risque, mesures de protection, détection, réponse, continuité. C’est, en gros, un SMSI ISO 27001 + ISO 22301 fusionnés, avec un focus opérationnel.
Pilier II — Gestion, classification et notification des incidents TIC (art. 17-23)
Définition d’un incident TIC majeur (RTS 2024/1772), classification, notification à l’ACPR sous 4h pour l’alerte initiale, puis rapports intermédiaires et final. C’est plus serré que NIS2 (4h vs 24h).
Pilier III — Tests de résilience opérationnelle numérique (art. 24-27)
Programme de tests annuel pour toutes les entités, et tests TLPT (Threat-Led Penetration Testing) tous les 3 ans pour les entités significatives. Le TLPT suit le cadre TIBER-EU.
Pilier IV — Gestion du risque lié aux prestataires TIC tiers (art. 28-44)
C’est le pilier le plus disruptif. Voir section dédiée ci-dessous.
Pilier V — Partage d’informations (art. 45)
Volontaire mais encouragé : partage de CTI entre entités financières via ISACs (ex. FS-ISAC). Sous protection juridique européenne (pas de divulgation forcée).
L’innovation majeure : la supervision des prestataires TIC critiques
DORA crée un statut de « Prestataire de services TIC critique » (CTPP — Critical Third-Party Provider). Ces prestataires (typiquement AWS, Microsoft Azure, Google Cloud, mais aussi des éditeurs spécialisés finance) sont désignés par les autorités européennes (ESAs) et supervisés directement par elles. Premier batch désigné en 2025.
| Obligation | Pour l’entité financière | Pour le CTPP désigné |
|---|---|---|
| Registre des prestataires TIC | Obligatoire (annexe à DORA RTS) | Doit fournir les éléments |
| Clauses contractuelles minimales | 14 clauses obligatoires (art. 30) | Doit accepter les clauses |
| Plan de sortie / réversibilité | Documenté + testé | Doit fournir l’assistance |
| Audit sur site | Droit d’audit explicite | Obligation de coopérer |
| Supervision directe par ESA | N/A | Subit la supervision directe |
TLPT — tests d’intrusion avancés sous supervision
Le TLPT (Threat-Led Penetration Testing) est un pentest avancé, mené par un Red Team certifiée TIBER-EU, sur l’environnement de production réel, avec un scénario basé sur la threat intelligence. Cycle de 3 ans, sous supervision de l’ACPR.
Compter 250 à 800 k€ pour un TLPT complet selon la taille de l’entité. Le périmètre est négocié avec le superviseur. Cinq red teams sont aujourd’hui certifiées TIBER-EU en France (Wavestone, Synacktiv, CSIS, NVISO, Mandiant).
Checklist par pilier
Pilier I — Risque TIC
- Cadre de gestion du risque TIC documenté et approuvé par le CA
- Cartographie complète des actifs TIC liés aux fonctions critiques
- Plan de continuité TIC avec RTO/RPO par fonction
- Politique de sauvegarde testée trimestriellement
- RACI clair : qui décide, qui escalade, qui notifie
Pilier II — Incidents
- Procédure de classification d’incident conforme au RTS 2024/1772
- Astreinte capable de notifier l’ACPR sous 4h
- Modèle de notification ACPR prêt à l’emploi
- Plan de communication crise (clients, médias, régulateur)
Pilier III — Tests
- Programme de tests annuel approuvé par le CA
- Pentests externes annuels sur applications critiques
- Tests de basculement PRA annuels
- Si entité significative : planification TLPT triennal
- Red team interne ou contractée
Pilier IV — Tiers TIC
- Registre complet des prestataires TIC (Annexe II RTS)
- Identification des prestataires soutenant des fonctions critiques
- 14 clauses obligatoires intégrées dans tous les contrats
- Plan de réversibilité documenté et testé pour les 3 prestataires les plus critiques
- Évaluation annuelle de la concentration de risque
DORA est le règlement le plus exigeant qu’ait connu le secteur financier européen en matière de cyber. Il n’est plus possible de traiter la cybersécurité comme un sujet IT : c’est désormais un sujet de gouvernance, avec responsabilité directe du Conseil d’Administration.
Recommandation
Si vous êtes en retard sur DORA fin 2025, priorisez : (1) le registre des prestataires TIC, (2) la procédure de notification incident en 4h, (3) la mise à jour des contrats avec les CTPP désignés. Le reste se construit dans les 12 mois qui suivent. Mais l’ACPR ne vous attendra pas — un premier cycle de contrôle est déjà engagé sur les grands groupes français.
