Qu’est-ce que la réglementation DORA (Digital Operational Resilience Act)?

Article updated on 25/08/26

Index

1. Quels sont les objectifs de la réglementation DORA?
2. DORA et NIS2 : comment ces deux réglementations s’articulent-elles?
3. À qui s’adresse le règlement DORA?
4. Quel est le calendrier d’application pour la réglementation DORA?
5. Quelles sont les prescriptions imposées par DORA?
6. Quelles sont les sanctions prévues par DORA en cas de non-conformité?
7. Comment le respect du règlement DORA sera-t-il surveillé?
8. La gouvernance des TIC selon DORA : rôle du conseil d’administration et de la direction
9. Les solutions EasyVista pour la réglementation DORA.

Depuis le 17 janvier 2025, le règlement DORA (Digital Operational Resilience Act, Règlement UE 2022/2554) est pleinement applicable à l’ensemble du secteur financier européen. Pour de nombreuses DSI et directions des risques, la date butoir est passée — mais le travail de fond, lui, ne fait que commencer. DORA ne se résume pas à une liste de cases à cocher : il impose une transformation profonde de la façon dont les institutions financières gèrent leurs risques TIC, supervisent leurs prestataires, et démontrent leur résilience opérationnelle face aux régulateurs. Dans cet article, nous examinons ce que DORA exige concrètement, à qui il s’applique, et ce que les organisations les plus avancées font différemment pour transformer la conformité en avantage opérationnel.

Qu’est-ce que la Digital Operational Resilience Act (DORA)?

Le règlement DORA (Digital Operational Resilience Act, Règlement UE 2022/2554) est un règlement de l’Union européenne, adopté par le Parlement européen et le Conseil, visant à renforcer la cybersécurité et la résilience opérationnelle numérique des entités financières comme les banques, les compagnies d’assurance et les sociétés d’investissement.

Le règlement DORA établit un cadre commun pour la gestion des risques liés aux technologies de l’information et de la communication (TIC) et exige des entités financières de garantir un niveau élevé de résilience opérationnelle numérique.

Quels sont les objectifs de la réglementation DORA?

Les principaux objectifs du règlement DORA sont les suivants :

1. La résilience opérationnelle : Assurer que les institutions financières peuvent continuer à fonctionner même en cas d’incidents de cybersécurité.
2. La gestion des risques des TIC : Créer un cadre solide pour la gestion des risques liés aux TIC, incluant la prévention, la détection, la réponse et la remise en marche après les incidents cybernétiques.
3. La supervision et la coordination: Renforcer la supervision et la coordination entre les autorités nationales et européennes compétentes.
4. La transparence et la responsabilité: Assurer que les institutions financières sont transparentes quant à leur exposition aux risques liés aux TIC et qu’elles prennent des mesures adéquates pour atténuer ces risques.

DORA et NIS2 : comment ces deux réglementations s’articulent-elles?

DORA et NIS2 (Directive sur la sécurité des réseaux et des systèmes d’information) partagent l’objectif de renforcer la cybersécurité en Europe, mais s’adressent à des périmètres différents. DORA est un règlement sectoriel spécifique au secteur financier et s’applique en tant que lex specialis : pour les entités financières qu’il couvre, il prend le dessus sur NIS2. En pratique, une banque ou une compagnie d’assurance qui se conforme à DORA est réputée satisfaire aux exigences équivalentes de NIS2.

DORA complète également le RGPD en ajoutant des exigences de résilience opérationnelle qui vont au-delà de la seule protection des données. Par ailleurs, DORA se substitue aux lignes directrices existantes de l’EBA, de l’EIOPA et de l’ESMA en matière d’externalisation pour les entités qu’il couvre. Les entités financières doivent néanmoins vérifier leur périmètre exact avec leurs équipes juridiques, car certaines obligations NIS2 peuvent s’appliquer à des activités non couvertes par DORA.

À qui s’adresse la réglementation DORA?

Le règlement DORA s’adresse à un large éventail d’entités financières, y compris :

• Les banques
• Les compagnies d’assurance
• Les sociétés de gestion d’actifs
• Les plateformes de négociation
• Les agences de notation
• Les infrastructures de marché financier
• Les fournisseurs de services TIC liés aux entités du secteur financier

Quel est le calendrier d’application pour la réglementation DORA?

Le règlement DORA a été publié au Journal Officiel de l’Union Européenne le 27 décembre 2022 (Règlement UE 2022/2554, Journal officiel de l’Union européenne, L 333, 27 décembre 2022) et il est entré en vigueur le 16 janvier 2023. Les opérateurs financiers et autres entités couvertes par DORA devaient se conformer à ses exigences avant le 17 janvier 2025. Depuis cette date, DORA est pleinement en vigueur : les Autorités Européennes de Supervision ont engagé leurs activités de surveillance, les premières inspections ont été annoncées, et le processus de désignation des prestataires TIC critiques (CTPP) est en cours.

Les entités qui n’ont pas encore finalisé leur mise en conformité doivent agir sans délai, en priorisant l’évaluation de leurs risques TIC, la revue de leurs contrats d’externalisation et la mise en place de leur cadre de gouvernance.

Quelles sont les prescriptions de DORA?

Le règlement DORA normalise les critères relatifs à la sécurité des réseaux et des systèmes d’information qui régissent les processus commerciaux des entités financières.

Les exigences du règlement concernent les domaines suivants :

• La gestion des risques liés aux TIC
• Le reporting et la surveillance des incidents liés aux TIC
• Les tests de résilience opérationnelle numérique
• La gouvernance des risques liés aux tiers
• Le partage d’informations

Pilier 1 — Gestion des risques TIC : cartographie, prévention et réponse aux incidents

Les entités financières seront responsables de définir une stratégie qui inclut:

• La définition des KPI (indicateurs clés de performance) et des métriques nécessaires pour l’évaluation des risques ;
• L’identification des risques de dysfonctionnement ;
• La cartographie des actifs, de leurs dépendances et l’identification des fonctions cruciales (c’est-à-dire les fonctions dont l’interruption serait susceptible de porter atteinte à la stabilité financière ou à la continuité des services) ;
• La conception et la configuration de scénarios de test complexes pour réaliser une analyse d’impact adéquate sur l’entreprise ;
• La compréhension des dépendances entre les actifs, les systèmes et les processus commerciaux.

Pilier 2 — Reporting des incidents : classification, notification et communication

Le règlement DORA prévoit des processus afin de classer, évaluer, signaler les cyberincidents et communiquer à leur propos. Les entités financières doivent respecter un calendrier de notification en trois phases : une notification initiale dans les 4 heures suivant la classification d’un incident majeur, un rapport intermédiaire dans les 72 heures, et un rapport final dans le délai d’un mois. La distinction entre incidents majeurs et incidents non majeurs est définie selon des critères de seuils précisés aux Articles 19 à 23 du règlement DORA. Les rapports sont transmis à l’autorité nationale compétente concernée. Il est également nécessaire d’analyser et de fournir des informations liées aux incidents des TIC et aux menaces pesant sur les services.

Pilier 3 — Tests de résilience opérationnelle numérique : du test de base au TLPT

DORA impose un plan annuel pour garantir la mise en œuvre de tests adéquats portant sur la sécurité et la résilience des systèmes et applications essentiels. En outre, les entités financières impliquées doivent démontrer leur capacité à remédier aux vulnérabilités identifiées.

Les tests de base : vulnérabilités et continuité

Toutes les entités couvertes par DORA doivent réaliser annuellement des tests de base, incluant des évaluations de vulnérabilités, des tests de continuité d’activité et des exercices basés sur des scénarios. Ces tests visent à identifier les failles avant qu’elles ne soient exploitées et à valider l’efficacité des plans de réponse aux incidents.

Les tests de pénétration basés sur la menace (TLPT) : cadre TIBER-EU et obligations

Les entités financières significatives sont soumises à une exigence supplémentaire : le Threat-Led Penetration Testing (TLPT), ou test de pénétration basé sur la menace. Ce type de test, obligatoire au moins tous les trois ans, simule des attaques réelles menées par des acteurs malveillants sophistiqués en ciblant les systèmes et processus les plus critiques de l’entité. Le cadre de référence utilisé est TIBER-EU. Les résultats doivent être validés par les autorités compétentes, et les vulnérabilités identifiées doivent faire l’objet d’un plan de remédiation documenté (Articles 26–27 du règlement DORA).

Pilier 4 — Gestion des risques liés aux TIC de tiers et exigences contractuelles

Les entités financières doivent gérer efficacement les risques TIC liés à leurs prestataires tiers. Elles doivent effectuer des tests réguliers sur les services externalisés. Les contrats d’externalisation TIC doivent inclure des clauses contractuelles protectrices conformes aux exigences de DORA (Article 30).

Les entités financières doivent réaliser une évaluation des risques pour tous les contrats d’externalisation TIC soutenant des services essentiels ou importants.

Les exigences contractuelles imposées par DORA (Article 30)

DORA impose une liste précise de dispositions devant figurer dans tous les contrats de services TIC, notamment : la description des niveaux de service, les clauses de localisation et de portabilité des données, les droits d’audit, les droits de résiliation, les obligations de notification d’incidents et les exigences de continuité d’activité. Les entités doivent également tenir un registre complet de l’ensemble de leurs arrangements contractuels avec des prestataires TIC tiers, distinguant les contrats soutenant des fonctions critiques ou importantes de ceux couvrant des services non essentiels. Ce registre est l’un des premiers documents que les autorités de supervision demanderont lors d’une inspection.

Le régime de surveillance des prestataires TIC critiques (CTPP)

DORA introduit un régime de surveillance spécifique pour les prestataires de services TIC désignés comme « critiques » (Critical ICT Third-Party Providers — CTPP) par les Autorités Européennes de Supervision (ESA). Ces fournisseurs essentiels — c’est-à-dire les prestataires TIC désignés comme critiques par les ESA en application de l’Article 31 du règlement DORA, parmi lesquels figurent des acteurs majeurs du cloud comme AWS, Microsoft Azure ou Google Cloud — sont soumis à une surveillance directe exercée par un Superviseur Principal (Lead Overseer), qui peut être l’EBA, l’EIOPA ou l’ESMA selon le secteur concerné.

Ce superviseur dispose du droit de mener des inspections sur site, d’exiger des plans de remédiation et d’imposer des mesures correctives. Pour les entités financières qui dépendent de ces prestataires, la désignation CTPP de leur fournisseur implique des obligations de reporting et de coopération renforcées avec les autorités de supervision.

Pilier 5 — Partage d’informations

Les fournisseurs tiers essentiels doivent démontrer leur capacité à améliorer la résilience pour soutenir les systèmes financiers, car les entités financières dépendent fortement de la stabilité, de la fonctionnalité, de la disponibilité et de la sécurité des services TIC reçus.

Quelles sont les sanctions prévues par DORA en cas de non-conformité?

La non-conformité à DORA expose les entités financières à des sanctions significatives. Les autorités nationales compétentes peuvent imposer des astreintes journalières pouvant atteindre 1 % du chiffre d’affaires mondial moyen de l’entité pour chaque jour de non-conformité. Pour les prestataires TIC critiques (CTPP) soumis à la surveillance directe des ESA, les amendes peuvent atteindre 5 000 000 € pour les personnes morales et 500 000 € pour les personnes physiques. Des sanctions supplémentaires — y compris des mesures correctives contraignantes et des injonctions de remédiation — peuvent être imposées en cas de manquements répétés ou graves (Article 50 du règlement DORA). Ces niveaux de sanction font de la conformité DORA une priorité financière, pas seulement réglementaire.

Comment le respect de la réglementation DORA sera-t-il surveillé ?

L’EBA, l’EIOPA et l’ESMA évalueront la conformité par des inspections à distance et sur site, et par la demande d’informations spécifiques : détails des services TIC, registres des rapports d’incidents et précisions sur les défenses adoptées contre les risques cybernétiques.

Les trois autorités européennes de supervision qui surveilleront la conformité sont :

• L’Autorité Bancaire Européenne (EBA)
• L’Autorité Européenne des Assurances et des Pensions Professionnelles (EIOPA)
• L’Autorité Européenne des Marchés Financiers (ESMA)

La gouvernance des TIC selon DORA : rôle du conseil d’administration et de la direction

Le règlement DORA (Articles 5 à 16) impose aux entités financières de mettre en place une gouvernance des TIC formalisée, avec des responsabilités clairement attribuées au niveau de l’organe de direction. Les membres du conseil d’administration et de la direction générale sont personnellement responsables des décisions relatives à la gestion des risques TIC — ce qui fait de la gouvernance des TIC un enjeu de gouvernance d’entreprise, et non plus seulement une question technique. Cela inclut :

• La définition de stratégies : Établir des politiques claires pour la gestion des risques liés aux TIC, alignées sur les objectifs commerciaux de l’institution, conformément aux obligations de DORA.
• La surveillance et le contrôle : Surveiller en continu les risques liés aux TIC et le respect des politiques établies, avec des reportings réguliers à l’organe de direction.
• La formation et la sensibilisation : Sensibiliser le personnel à l’importance de la sécurité des TIC et aux meilleures pratiques à adopter, une obligation explicitement prévue par DORA pour l’ensemble des collaborateurs concernés.

En résumé, la gouvernance des TIC selon DORA est essentielle pour que les entreprises gèrent efficacement les risques liés aux TIC, qu’elles alignent les stratégies des TIC avec les objectifs commerciaux et qu’elles assurent la sécurité et la fiabilité de leur infrastructure technologique. En se concentrant sur la définition de politiques, la surveillance et le contrôle, ainsi que sur la formation et la sensibilisation, les entreprises peuvent construire un cadre robuste de gouvernance des TIC qui favorise leur succès à long terme et leur résilience face à l’évolution des défis technologiques.

FAQ

1. Quels sont les principaux avantages de DORA pour les institutions financières ?

DORA aide les institutions financières à améliorer leur résilience opérationnelle, en réduisant le risque de perturbations opérationnelles dues aux incidents cybernétiques. Il promeut également une plus grande transparence et une plus grande responsabilité dans la gestion des risques liés aux TIC.

2. Comment les institutions financières doivent-elles se préparer pour se conformer à DORA ?

Les institutions doivent réaliser une évaluation complète de leurs risques liés aux TIC, mettre en place des mesures de sécurité adéquates, développer des plans de réponse et de restauration, et s’assurer que la gouvernance des risques liés aux TIC est intégrée dans leurs stratégies commerciales.

3. Quel est le rôle des autorités de supervision dans le cadre de DORA ?

Les autorités de supervision sont responsables de surveiller la conformité des institutions financières aux exigences de DORA, de coordonner les activités de supervision au niveau européen et d’intervenir en cas de non-conformité.

4. Que se passe-t-il si une institution financière ne respecte pas les dispositions de DORA dans les délais impartis ?

Les institutions qui ne se conforment pas aux dispositions de DORA peuvent faire face à des sanctions administratives et à d’autres mesures rectificatives imposées par les autorités de supervision compétentes. Les autorités nationales compétentes peuvent imposer des astreintes journalières pouvant atteindre 1 % du chiffre d’affaires mondial moyen de l’entité pour chaque jour de non-conformité. Pour les prestataires TIC critiques soumis à la surveillance directe des ESA, les amendes peuvent atteindre 5 000 000 € pour les personnes morales et 500 000 € pour les personnes physiques (Article 50 du règlement DORA).

5. Que signifie l’acronyme DORA ?

DORA signifie Digital Operational Resilience Act, soit en français la « loi sur la résilience opérationnelle numérique ». Il s’agit d’un règlement européen (UE 2022/2554) entré en vigueur le 16 janvier 2023 et applicable depuis le 17 janvier 2025. Son objectif est d’harmoniser les exigences en matière de résilience numérique pour l’ensemble du secteur financier de l’Union européenne, en imposant un cadre commun de gestion des risques TIC, de tests de résilience et de surveillance des prestataires tiers.

6. Quelle est la différence entre DORA et NIS2 ?

DORA et NIS2 (Directive sur la sécurité des réseaux et des systèmes d’information) partagent l’objectif de renforcer la cybersécurité en Europe, mais s’adressent à des périmètres différents. DORA est un règlement sectoriel spécifique au secteur financier et s’applique en tant que lex specialis : pour les entités financières qu’il couvre, il prend le dessus sur NIS2. En pratique, une banque ou une compagnie d’assurance qui se conforme à DORA est réputée satisfaire aux exigences équivalentes de NIS2. Les entités financières doivent néanmoins vérifier leur périmètre exact avec leurs équipes juridiques, car certaines obligations NIS2 peuvent s’appliquer à des activités non couvertes par DORA.

7. DORA s’applique-t-il aux entreprises situées hors de l’Union européenne ?

DORA s’applique à toute entité financière opérant dans l’Union européenne, qu’elle soit domiciliée dans un État membre ou non. Plus significativement, il s’applique également aux prestataires de services TIC tiers — y compris les fournisseurs de cloud et les éditeurs de logiciels — qui fournissent des services à des entités financières de l’UE, même s’ils sont établis en dehors de l’Union. Les prestataires désignés comme « critiques » (CTPP) sont soumis à une surveillance directe des Autorités Européennes de Supervision, quel que soit leur lieu d’établissement. Cela fait de DORA un règlement à portée extraterritoriale significative, comparable au RGPD dans son impact sur les acteurs mondiaux.

8. Quelles sont les sanctions financières prévues par DORA ?

Les autorités nationales compétentes peuvent imposer des astreintes journalières pouvant atteindre 1 % du chiffre d’affaires mondial moyen de l’entité pour chaque jour de non-conformité. Pour les prestataires TIC critiques (CTPP) soumis à la surveillance directe des ESA, les amendes peuvent atteindre 5 000 000 € pour les personnes morales et 500 000 € pour les personnes physiques. Des sanctions supplémentaires — y compris des mesures correctives contraignantes et des injonctions de remédiation — peuvent être imposées en cas de manquements répétés ou graves. Ces niveaux de sanction font de la conformité DORA une priorité financière, pas seulement réglementaire (Règlement UE 2022/2554, Article 50).

9. Qu’est-ce que le TLPT dans le cadre de DORA ?

Le TLPT (Threat-Led Penetration Testing, ou test de pénétration basé sur la menace) est l’exigence de test la plus avancée imposée par DORA. Il est obligatoire pour les entités financières significatives et doit être réalisé au moins tous les trois ans selon le cadre TIBER-EU. Contrairement aux tests de vulnérabilité classiques, le TLPT simule des attaques réelles menées par des acteurs malveillants sophistiqués, en ciblant les systèmes et processus les plus critiques de l’entité. Les résultats doivent être validés par les autorités compétentes, et les vulnérabilités identifiées doivent faire l’objet d’un plan de remédiation documenté (Règlement UE 2022/2554, Articles 26–27).

10. Comment une institution financière doit-elle structurer son registre des contrats TIC pour DORA ?

DORA exige que toutes les entités financières tiennent un registre complet de l’ensemble de leurs arrangements contractuels avec des prestataires TIC tiers. Ce registre doit distinguer les contrats soutenant des fonctions critiques ou importantes de ceux couvrant des services non essentiels. Il doit inclure des informations sur les niveaux de service, les droits d’audit, les obligations de notification d’incidents, et les clauses de continuité d’activité. Ce registre est l’un des premiers documents que les autorités de supervision demanderont lors d’une inspection — sa qualité et son exhaustivité sont donc un indicateur direct du niveau de maturité de conformité de l’entité (Règlement UE 2022/2554, Article 28).

Le règlement DORA présente un défi, mais aussi une opportunité pour les institutions financières d’améliorer leur résilience opérationnelle et de mieux se protéger contre les menaces cybernétiques dans un monde de plus en plus numérisé.

Comment EasyVista peut vous accompagner

Face aux exigences opérationnelles de DORA — surveillance continue des infrastructures, gestion des incidents TIC, cartographie des actifs et des dépendances, supervision des prestataires tiers — les organisations qui s’appuient sur des outils fragmentés se retrouvent rapidement en difficulté. La conformité durable repose sur une visibilité unifiée et des processus automatisés, pas sur des efforts manuels ponctuels.

EasyVista propose une plateforme intégrée qui couvre plusieurs des piliers opérationnels de DORA. La solution EV Observe offre une surveillance unifiée de l’infrastructure, du réseau et du cloud, permettant de détecter les incidents TIC en temps réel et d’alimenter les processus de reporting imposés par le règlement. La découverte automatisée des actifs et la cartographie des dépendances donnent aux équipes IT la visibilité nécessaire pour identifier les fonctions critiques et évaluer l’impact des incidents — deux exigences centrales de DORA.

Consultez notre ebook sur la réglementation DORA et découvrez comment EasyVista peut aider les entreprises financières à structurer leur conformité, en améliorant la résilience opérationnelle et la gestion des risques des TIC.

Si vous souhaitez en connaître plus sur le règlement DORA et savoir comment structurer votre mise en conformité, téléchargez le ebook !