DORA : ce que les entités financières doivent faire, pilier par pilier

Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), s’applique depuis le 17 janvier 2025. Près de deux ans après son adoption, les autorités attendent désormais des dispositifs qui fonctionnent, pas seulement des documents. Voici ce que DORA exige, comment le lire de façon proportionnée et par où avancer.

Qui est concerné ?

DORA s’applique directement, sans transposition, aux entités financières listées à son article 2 : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, sociétés de gestion, entreprises d’assurance et de réassurance, intermédiaires d’assurance (hors PME), institutions de retraite professionnelle, infrastructures de marché, agences de notation, plateformes de financement participatif, etc. En France, les autorités compétentes sont principalement l’ACPR et l’AMF, selon le statut.

Le texte est proportionné : un cadre simplifié (article 16) s’applique notamment aux petites entreprises d’investissement non interconnectées, aux établissements de paiement et de monnaie électronique exemptés et aux petites institutions de retraite professionnelle.

Les prestataires TIC (éditeurs, hébergeurs, infogéreurs) ne sont pas directement soumis à DORA, sauf s’ils sont désignés comme prestataires tiers critiques et placés sous la surveillance des autorités européennes. Mais leurs clients financiers doivent leur répercuter des exigences contractuelles précises.

Pilier 1 : la gestion du risque lié aux TIC (articles 5 à 16)

• L’organe de direction définit, approuve et supervise le cadre de gestion du risque TIC, et en porte la responsabilité ; ses membres se forment.
• Un cadre documenté, revu au moins une fois par an : stratégie de résilience, politiques, procédures, outils.
• Identification des fonctions métier, des actifs informationnels et TIC et de leurs dépendances, notamment envers les prestataires.
• Protection et prévention : sécurité des réseaux, contrôle d’accès, chiffrement, gestion des changements et des correctifs.
• Détection des activités anormales.
• Réponse et rétablissement : politique de continuité des activités TIC, plans de réponse et de rétablissement, testés.
• Sauvegardes et procédures de restauration, apprentissage après incident et communication de crise.

Le règlement délégué (UE) 2024/1774 précise ces exigences, y compris pour le cadre simplifié.

Pilier 2 : les incidents liés aux TIC (articles 17 à 23)

1. Un processus de gestion des incidents : détection, enregistrement, traitement, analyse des causes.
2. Une classification selon des critères harmonisés (règlement délégué 2024/1772) : clients et contreparties touchés, durée, étendue géographique, pertes de données, criticité des services, impact économique.
3. La notification des incidents majeurs à l’autorité, selon le règlement délégué (UE) 2025/301 : notification initiale dans les 4 heures suivant la classification comme majeur et au plus tard 24 heures après en avoir eu connaissance, rapport intermédiaire dans les 72 heures suivant la notification initiale, rapport final au plus tard un mois après le dernier rapport intermédiaire.
4. L’information des clients lorsque l’incident affecte leurs intérêts financiers.

La notification volontaire des cybermenaces importantes est également prévue.

Pilier 3 : les tests de résilience (articles 24 à 27)

Un programme de tests fondé sur les risques (analyses de vulnérabilités, tests de scénarios, tests de continuité, tests d’intrusion…), avec des tests au moins annuels des systèmes qui soutiennent des fonctions critiques ou importantes. Les entités désignées par l’autorité réalisent en outre des tests de pénétration fondés sur la menace (TLPT), selon le cadre TIBER-EU, en principe tous les trois ans.

Pilier 4 : les prestataires tiers de services TIC (articles 28 à 30)

• Une stratégie et une politique relatives au risque lié aux prestataires.
• Un registre d’informations sur tous les accords contractuels de services TIC, au format fixé par le règlement d’exécution (UE) 2024/2956, transmis à l’autorité sur demande et faisant l’objet d’un compte rendu annuel.
• Une évaluation avant contractualisation (risques, concentration, sous-traitance).
• Des clauses contractuelles obligatoires (article 30) : description des services, localisation des données, niveaux de service, assistance en cas d’incident, droits d’accès et d’audit, conditions de résiliation, et pour les fonctions critiques ou importantes, plans de sortie et participation aux tests.
• Des stratégies de sortie documentées et testables.

Pilier 5 : le partage d’informations (article 45)

DORA encourage la participation à des dispositifs d’échange d’informations sur les cybermenaces, dans un cadre de confiance, et impose d’en informer l’autorité.

Un plan d’action en huit étapes

1. Déterminer votre régime (complet ou simplifié) et votre périmètre (entité, groupe).
2. Cartographier les fonctions critiques ou importantes et leurs dépendances TIC.
3. Faire approuver le cadre de gestion du risque TIC par l’organe de direction et planifier sa formation.
4. Mettre à jour la procédure d’incident avec la classification DORA et les délais de notification.
5. Compléter et fiabiliser le registre d’informations.
6. Revoir les contrats des prestataires critiques au regard de l’article 30.
7. Établir et exécuter le programme de tests ; tracer les corrections.
8. Préparer les stratégies de sortie et les tester sur au moins un prestataire critique.

Et si vous êtes prestataire TIC ?

Anticipez les demandes : clauses de l’article 30, questionnaires de sécurité, participation aux tests, plans de sortie, notification rapide des incidents. Aligner votre SMSI ISO 27001 et votre continuité ISO 22301 sur DORA est un argument commercial fort auprès des banques et assureurs.

Comment OK-GRC vous aide

Le référentiel DORA d’OK-GRC couvre les articles du règlement et leurs normes techniques, reliés à des mesures communes partagées avec ISO 27001 et ISO 22301. Le registre des fournisseurs suit la criticité, les fonctions soutenues et les contrats, le registre des incidents gère classification et échéances, et le modèle « Cadre de gestion du risque lié aux TIC » donne une base à adapter avec l’assistant IA.