DORA : la résilience opérationnelle numérique du secteur financier
Introduction
Entré en application le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act, règlement UE 2022/2554) impose un cadre harmonisé de résilience opérationnelle numérique à l'ensemble du secteur financier de l'Union européenne. Face à la multiplication des cyberattaques visant les banques, assureurs et infrastructures de marché, l'UE a fait le choix d'une approche unifiée et contraignante.
Pourquoi DORA ?
Avant DORA, la cybersécurité financière reposait sur un patchwork de règles nationales et sectorielles (orientations EBA, recommandations EIOPA, lignes directrices ESMA). Les conséquences :
- Incohérences entre États membres
- Risques systémiques liés à la dépendance aux prestataires TIC tiers (cloud, SaaS)
- Manque de visibilité sur la chaîne de sous-traitance numérique
- Réponses fragmentées aux incidents transfrontaliers
Périmètre : qui est concerné ?
DORA s'applique à plus de 22 000 entités financières européennes, ainsi qu'à leurs prestataires TIC critiques :
- Établissements de crédit (banques)
- Entreprises d'investissement et plateformes de négociation
- Établissements de paiement et de monnaie électronique
- Entreprises d'assurance et de réassurance
- Gestionnaires de fonds (OPCVM, FIA)
- Prestataires de services sur crypto-actifs (PSCA / MiCA)
- Contreparties centrales et dépositaires centraux de titres
- Prestataires tiers de services TIC critiques (CTPP) — désignés par les autorités européennes
Les 5 piliers de DORA
1. Gestion du risque TIC
Chaque entité doit mettre en place un cadre de gouvernance et de contrôle interne robuste. L'organe de direction est personnellement responsable de la définition, de l'approbation et de la supervision de la stratégie de résilience numérique.
Obligations clés :
- Cartographie des actifs informationnels et des fonctions critiques
- Politiques de sécurité de l'information (ISO 27001 reste une référence)
- Mécanismes de détection, protection, réponse et reprise
- Plans de continuité d'activité (PCA) et de reprise (PRA)
- Tests réguliers et revue annuelle du cadre
2. Notification des incidents majeurs
DORA harmonise la classification et la déclaration des incidents TIC. Les incidents majeurs doivent être notifiés à l'autorité compétente selon un calendrier strict :
- Notification initiale : sous 4 heures après classification (et au plus tard 24 h après détection)
- Rapport intermédiaire : sous 72 heures
- Rapport final : sous 1 mois
3. Tests de résilience opérationnelle
DORA impose un programme de tests proportionné à la taille et au profil de risque :
- Tests de vulnérabilité, scans, analyses de code source
- Tests de continuité et de bascule
- Pour les entités systémiques : TLPT (Threat-Led Penetration Testing) tous les 3 ans, inspirés du framework TIBER-EU
4. Gestion des risques liés aux tiers TIC
C'est sans doute l'apport le plus structurant de DORA. Les entités doivent :
- Tenir un registre exhaustif des contrats avec leurs prestataires TIC (à transmettre annuellement aux autorités)
- Évaluer la criticité de chaque prestataire et des fonctions sous-traitées
- Inclure des clauses contractuelles obligatoires (droit d'audit, sortie, sous-traitance, sécurité)
- Anticiper les stratégies de sortie et de réversibilité (notamment pour le cloud public)
- Surveiller le risque de concentration sur quelques hyperscalers
5. Partage d'informations sur les cybermenaces
DORA encourage les entités à participer à des dispositifs de partage d'informations (threat intelligence) entre acteurs financiers, dans le respect du RGPD et du secret professionnel.
Supervision des prestataires TIC critiques
Nouveauté majeure : les CTPP (Critical Third-Party Providers) — typiquement les grands fournisseurs cloud (AWS, Microsoft Azure, Google Cloud) — sont placés sous la supervision directe d'un autorité européenne désignée (Lead Overseer), avec un pouvoir d'inspection, de recommandation et, in fine, de sanctions financières (jusqu'à 1 % du chiffre d'affaires mondial quotidien moyen).
Sanctions et responsabilité
Les sanctions varient selon les États membres mais incluent :
- Amendes administratives significatives
- Mesures correctrices contraignantes
- Responsabilité personnelle des dirigeants
- Atteinte réputationnelle (publication des sanctions)
Comment se mettre en conformité ?
Une démarche structurée s'impose :
- Cartographier les fonctions critiques et les actifs TIC
- Réaliser une analyse d'écart (gap analysis) par rapport aux 5 piliers
- Mettre à jour la gouvernance : nomination d'un responsable, formation du board
- Renégocier les contrats fournisseurs pour intégrer les clauses DORA
- Constituer le registre TIC et l'outiller (GRC, CMDB)
- Industrialiser la gestion d'incidents et les tests
- Documenter : DORA est un règlement evidence-based
Articulation avec les autres règlements
DORA s'inscrit dans un écosystème réglementaire dense :
| Règlement | Périmètre | Lien avec DORA |
|---|---|---|
| NIS2 | Secteurs essentiels et importants | DORA est lex specialis pour la finance |
| RGPD | Données personnelles | Complémentaire (notification incidents) |
| MiCA | Crypto-actifs | Les PSCA sont soumis à DORA |
| AI Act | Systèmes d'IA | Modèles IA financiers = systèmes à haut risque |
Conclusion
DORA n'est pas qu'une contrainte réglementaire : c'est une opportunité de renforcer durablement la résilience du secteur financier face aux cybermenaces. Les entités qui adoptent une approche proactive — gouvernance solide, registre TIC outillé, tests réguliers, gestion rigoureuse des tiers — transformeront cette obligation en avantage compétitif.
Dans un contexte où la dépendance au cloud et l'interconnexion numérique ne cessent de croître, la résilience opérationnelle devient un pilier de la confiance dans le système financier européen.