DORA (Digital Operational Resilience Act) est un règlement européen d'application directe dans les États membres. Il s'impose à un périmètre étendu d'entités financières — établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique, compagnies d'assurance et de réassurance, gestionnaires de fonds d'investissement alternatifs, prestataires de services sur crypto-actifs, infrastructures de marché — ainsi qu'aux prestataires tiers de services TIC critiques qui les servent.
Concept clé · Résilience opérationnelle numérique
La capacité d'une entité financière à construire, garantir et revoir son intégrité et sa fiabilité opérationnelles en assurant, directement ou indirectement via des prestataires de services TIC tiers, la pleine gamme des capacités liées aux TIC nécessaires pour maintenir la sécurité des réseaux et des systèmes d'information qu'elle utilise, et pour assurer la continuité et la qualité de la fourniture de services financiers, y compris en cas de perturbations (définition issue du règlement DORA, art. 3(1)).
DORA s'articule autour de cinq piliers qui structurent l'ensemble des exigences imposées aux entités dans le périmètre. Ces exigences sont précisées par des normes techniques de réglementation (RTS) et de mise en œuvre (ITS) publiées par les autorités européennes de surveillance (EBA, ESMA, EIOPA).
Pilier 1
Gestion des risques liés aux TIC
Cadre de gestion des risques TIC, stratégie de résilience numérique, politiques de sécurité, continuité des activités et plans de reprise TIC. Exigences renforcées pour les entités financières significatives.
Pilier 2
Gestion et notification des incidents
Classification des incidents liés aux TIC, processus de gestion interne, notification aux autorités compétentes selon des critères et délais harmonisés, rapport annuel sur les incidents majeurs.
Pilier 3
Tests de résilience opérationnelle numérique
Programme de tests fondé sur des menaces (TLPT — Threat-Led Penetration Testing) pour les entités significatives, tests de base pour l'ensemble des entités dans le périmètre, conditions de reconnaissance mutuelle entre États membres.
Pilier 4
Gestion du risque lié aux tiers prestataires TIC
Politique de gestion du risque tiers, registre des contrats, exigences contractuelles minimales, supervision directe par les autorités européennes des prestataires TIC critiques désignés.
Pilier 5
Partage d'informations sur les cybermenaces
Dispositions permettant aux entités financières de participer volontairement à des arrangements de partage d'informations et de renseignements sur les cybermenaces, dans le respect du cadre réglementaire applicable.
DORA ne peut être appréhendé isolément. Sa compréhension opérationnelle suppose de le situer dans l'environnement normatif et réglementaire qui l'entoure — notamment les normes ISO auxquelles il renvoie explicitement ou implicitement, et les autres exigences réglementaires qui s'appliquent simultanément aux entités financières.
DORA · (UE) 2022/2554
Règlement européen sur la résilience opérationnelle numérique — applicable depuis le 17 janvier 2025
Normes techniques (RTS / ITS)
RTS Gestion des risques TIC
Cadre de gestion des risques, outils, méthodes, politiques · Actes délégués de la Commission
RTS Classification des incidents · TLPT
Critères de classification, seuils de notification, méthodologie TLPT
Normes ISO de référence
ISO/IEC 27001
SMSI — socle de gouvernance de la sécurité
ISO/IEC 27005
Gestion des risques en sécurité de l'information
ISO 22301
Continuité d'activité — plans de reprise TIC
ISO 31000
Cadre générique de gestion des risques
Environnement réglementaire connexe
NIS2
Directive cybersécurité — entités essentielles et importantes
TIBER-EU
Framework BCE pour les tests de résilience fondés sur les menaces
EBA Guidelines
Lignes directrices sur la gestion des risques TIC et de sécurité
RGPD
Intersection avec la sécurité des données personnelles
Pilier 1 — Gestion des risques TIC : articulation avec ISO/IEC 27001 et ISO 31000
Le cadre de gestion des risques TIC exigé par DORA s'articule naturellement avec ISO/IEC 27001 — pour la gouvernance du SMSI — et ISO 31000 — pour les principes généraux de gestion des risques. Les exigences DORA en matière de continuité des activités et de plans de reprise TIC trouvent leur pendant normatif dans ISO 22301. Mon approche consiste à montrer comment les organisations déjà engagées dans ces démarches normatifs peuvent capitaliser sur leurs travaux existants pour répondre aux exigences de DORA.
Pilier 2 — Incidents TIC : classification, gestion et notification aux autorités
DORA impose une classification des incidents liés aux TIC fondée sur des critères précis (nombre de clients affectés, durée, impact géographique, pertes financières, importance systémique) et des délais de notification stricts aux autorités compétentes — notification initiale, intermédiaire et finale. La maîtrise de ces processus est une exigence opérationnelle immédiate pour les équipes en charge de la sécurité, de la conformité et de la gestion des incidents.
Pilier 3 — TLPT : tests de résilience fondés sur les menaces
Les tests de pénétration fondés sur les menaces (TLPT — Threat-Led Penetration Testing) constituent l'exigence la plus avancée de DORA pour les entités significatives. Fondés sur le framework TIBER-EU de la BCE, ils mobilisent des équipes red team professionnelles qui simulent des attaques réalistes en s'appuyant sur des renseignements sur les menaces. La compréhension des modalités de leur mise en œuvre, de leur gouvernance et de la reconnaissance mutuelle entre États membres est essentielle pour les entités concernées.
Pilier 4 — Risque tiers TIC : supervision et exigences contractuelles
Le risque lié aux prestataires tiers de services TIC est au cœur de DORA. Le règlement impose une politique dédiée, un registre des contrats, des clauses contractuelles minimales obligatoires et, pour les prestataires TIC critiques désignés par les autorités européennes de surveillance, un régime de supervision directe. Cette dimension est particulièrement sensible pour les entités financières recourant massivement aux services cloud — et pour les prestataires technologiques eux-mêmes.
Cette approche est nourrie par une expérience opérationnelle acquise auprès de grands groupes financiers internationaux, d'entités régulées par les autorités européennes de surveillance, d'organisations du secteur de la défense et des Big Four. Elle s'appuie sur une pratique de terrain développée en France, au Luxembourg et en Scandinavie — trois juridictions particulièrement exposées aux exigences DORA en raison de la concentration d'entités financières et de prestataires TIC critiques qui y sont établis.
La mise en conformité DORA ne se réduit pas à un projet réglementaire : elle engage la gouvernance au plus haut niveau, mobilise les fonctions juridique, conformité, sécurité, opérations et achats, et implique une revue en profondeur des relations avec les prestataires technologiques. Mon approche vise à transmettre cette vision transverse, ancrée dans la réalité opérationnelle des entités financières.
DORA impose aux entités financières de démontrer, de manière structurée et auditable, leur capacité à résister aux perturbations TIC et à s'en remettre. C'est un changement de paradigme : la résilience opérationnelle numérique devient une obligation de résultat, pas seulement de moyens.