Services DORA

Le règlement DORA (Digital Operational Resilience Act), règlement (UE) 2022/2554, est le texte européen qui fixe les exigences de résilience opérationnelle numérique applicables aux entités financières. Il est entré en application le 17 janvier 2025 et s’applique directement dans tous les États membres, sans transposition.

Son objectif est de garantir que les entités financières puissent prévenir les perturbations et incidents liés aux TIC de toute nature, y réagir et s’en remettre. Ce n’est pas une recommandation : c’est une obligation légale assortie d’un régime de sanctions.

Le champ d’application de DORA est très large. Sont concernés les établissements de crédit, les entreprises de services d’investissement, les établissements de paiement et de monnaie électronique, les sociétés de gestion de fonds (SGIIC, AIFM), les assureurs et réassureurs, les fonds de pension, les prestataires de services sur crypto-actifs (CASP au sens de MiCA), les plateformes de financement participatif et leurs prestataires TIC critiques (CTPP).

Si votre entité exerce dans le secteur financier dans l’UE, elle est très probablement soumise à DORA. La première action consiste à déterminer le niveau d’application et le régime de proportionnalité.

Les services DORA s’organisent autour des cinq piliers du règlement, qui correspondent aux domaines de conformité obligatoires :

• Gestion des risques TIC : cadre, politiques, classification des actifs et contrôles de sécurité.
• Gestion, classification et notification des incidents TIC majeurs aux autorités de supervision.
• Tests de résilience opérationnelle numérique : tests de base annuels et TLPT pour les entités significatives.
• Gestion du risque lié aux prestataires tiers TIC : contrats, registre, due diligence et CTPP.
• Partage d’informations et de renseignements sur les cybermenaces entre entités financières.

L’article 6 de DORA exige un cadre de gestion des risques TIC documenté, approuvé par l’organe de gouvernance et revu au moins une fois par an. Il doit couvrir l’identification, la protection, la détection, la réaction et la reprise face aux risques TIC.

• Inventaire et classification des actifs TIC selon leur criticité pour l’activité.
• Politique de sécurité de l’information et contrôle des accès.
• Plan de continuité d’activité TIC et plan de reprise après sinistre (DRP).
• Procédures de gestion des changements, des correctifs et des vulnérabilités.

La direction générale ne peut pas déléguer cette responsabilité : DORA exige que l’organe d’administration approuve et supervise directement ce cadre.

Les prestataires tiers critiques de services TIC (CTPP) sont désignés par les autorités européennes de surveillance (EBA, ESMA, EIOPA) en fonction de leur impact systémique. Ils sont soumis à une supervision européenne directe.

Les principaux prestataires cloud (Microsoft Azure, Amazon AWS, Google Cloud) figurent parmi les candidats naturels. Les entités qui y recourent pour des fonctions critiques doivent adapter leurs contrats, participer aux inspections et disposer de plans de sortie documentés.

Les contrats avec les prestataires TIC qui soutiennent des fonctions critiques doivent comporter des clauses obligatoires : description du service, SLA, droits d’audit, portabilité des données et plan de sortie.

DORA instaure un régime harmonisé de notification des incidents TIC majeurs, avec des délais très stricts :

• 4 heures à compter de la classification de l’incident comme majeur : notification initiale au superviseur.
• 72 heures : rapport intermédiaire avec des informations actualisées sur l’incident.
• 1 mois : rapport final avec l’analyse des causes, l’impact et les mesures adoptées.

L’absence de notification dans les délais constitue en soi une infraction au règlement DORA, passible de sanction. Mettre le processus en place avant la survenue de l’incident est la seule véritable garantie.

La durée varie selon la taille de l’entité, sa maturité en cybersécurité et l’ampleur des écarts identifiés :

• Petites ou moyennes entités avec une maturité de base : entre 6 et 12 mois pour une mise en conformité complète.
• Entités significatives ou aux infrastructures complexes : le projet peut s’étendre, notamment pour les tests TLPT et l’adaptation des contrats avec les prestataires critiques.

DORA s’appliquant depuis janvier 2025, les entités qui n’ont pas encore engagé leur démarche doivent agir en urgence pour réduire leur exposition réglementaire et réputationnelle.

DORA et NIS2 coexistent, mais DORA prévaut en tant que lex specialis pour les entités financières en matière de gestion des risques TIC. Une entité financière qui respecte DORA est considérée comme alignée sur les exigences équivalentes de NIS2.

À la différence de NIS2, dont le champ sectoriel est plus large, DORA est conçu exclusivement pour le secteur financier, avec des exigences bien plus détaillées : délais de notification plus stricts, tests TLPT spécifiques et un régime de supervision des prestataires tiers sans équivalent dans NIS2.