Résilience opérationnelle
DORA — Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique
Le règlement européen qui impose au secteur financier de maîtriser ses risques informatiques et ses prestataires TIC.
En bref
- Type
- Règlement européen, directement applicable
- Applicable depuis
- 17 janvier 2025
- Autorités en France
- ACPR et AMF, selon le statut
- Prestataires TIC
- Concernés par contrat (art. 30) ou désignés critiques
150 exigences suivies · 149 mesures communes
Qu’est-ce que DORA ?
Le règlement (UE) 2022/2554, dit DORA, s’applique depuis le 17 janvier 2025 sans transposition. Il harmonise les exigences de résilience opérationnelle numérique des entités financières : banques, établissements de paiement et de monnaie électronique, entreprises d’investissement, sociétés de gestion, assureurs et réassureurs, prestataires de services sur crypto-actifs, infrastructures de marché…
DORA repose sur cinq piliers : gestion du risque lié aux TIC, gestion et notification des incidents, tests de résilience, gestion du risque lié aux prestataires tiers de services TIC et partage d’informations sur les menaces. Les normes techniques (RTS et ITS) précisent les modalités, et un cadre simplifié existe pour certaines petites entités.
Les exigences clés
- 1
Cadre de gestion du risque lié aux TIC (art. 5 à 16)
Responsabilité de l’organe de direction, stratégie de résilience, identification, protection, détection, réponse, rétablissement, sauvegardes et communication.
- 2
Incidents liés aux TIC (art. 17 à 23)
Processus de gestion, classification selon des critères harmonisés et notification des incidents majeurs : notification initiale, rapport intermédiaire et rapport final.
- 3
Tests de résilience (art. 24 à 27)
Programme de tests proportionné ; tests de pénétration fondés sur la menace (TLPT) pour les entités désignées.
- 4
Prestataires tiers de services TIC (art. 28 à 30)
Politique, registre d’informations sur tous les accords TIC, évaluation avant contrat, clauses contractuelles obligatoires et stratégies de sortie.
- 5
Partage d’informations (art. 45)
Participation encadrée à des dispositifs d’échange sur les cybermenaces.
Synthèse rédigée par OK-GRC. Les textes des normes ISO sont protégés par le droit d’auteur et ne sont pas reproduits.
Comment OK-GRC vous aide
- Les exigences DORA et leurs normes techniques reliées à 149 mesures communes
- Registre des fournisseurs TIC, criticité, fonctions critiques ou importantes et export du registre d’informations
- Registre des incidents avec classification et échéances de notification
- Modèle « Cadre de gestion du risque lié aux TIC », politiques de continuité et de sauvegarde
- Risques TIC, plans de traitement et suivi des tests dans un seul outil
- Vos mesures ISO 27001 donnent déjà un score de départ d’environ 48 à 68 %
Les référentiels voisins
Avec des mesures ISO 27001 en place, votre score de départ DORA est d’environ 48 à 68 %.
Les mesures que vous mettez en place pour DORA comptent aussi pour :
Questions fréquentes sur DORA
Un éditeur de logiciels est-il concerné par DORA ?
Pas directement, sauf s’il est désigné prestataire tiers critique par les autorités européennes. Mais ses clients financiers doivent lui imposer par contrat les dispositions de l’article 30 (niveaux de service, audit, notification des incidents, sortie). Se préparer avec le référentiel DORA est donc un avantage commercial.
Qu’est-ce que le registre d’informations ?
C’est l’inventaire, tenu par chaque entité financière, de tous ses accords contractuels avec des prestataires de services TIC, dans un format fixé par une norme technique d’exécution. Il est transmis aux autorités sur demande.
Contenu informatif à jour en octobre 2026 ; il ne constitue pas un avis juridique. Vérifiez toujours les textes officiels en vigueur.
Prêt à simplifier votre conformité ?
Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.
14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement