DORA.
Le règlement européen sur la résilience opérationnelle numérique du secteur financier : champ d’application, principales obligations et preuves dans la durée.
- Règlement (UE) 2022/2554
- Par Derya Altinay
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
DORA est le règlement européen sur la résilience opérationnelle numérique du secteur financier. Depuis le 17 janvier 2025, il impose aux entités financières concernées une gestion solide des risques TIC, incidents, tests de résilience et dépendances aux prestataires. Les obligations dépendent du rôle et du champ d’application ; un certificat général ne remplace pas leur respect continu.
Le règlement DORA encadre le fonctionnement continu.
DORA signifie Digital Operational Resilience Act et désigne le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. Il s’applique depuis le 17 janvier 2025. Son objectif est de permettre la poursuite et le rétablissement des services financiers même en cas de perturbations importantes des TIC. La Commission européenne réunit prévention, limitation des conséquences et rétablissement dans une même mission de résilience.
DORA dépasse la défense contre les cyberattaques. Les pannes techniques, les procédures de rétablissement inutilisables et les dépendances aux services externes peuvent aussi perturber les services financiers. La collaboration entre responsables métier, technologie et prestataires est donc déterminante. Un ensemble de politiques de sécurité ne montre pas à lui seul si un processus de paiement fonctionne effectivement après une perturbation.
Des normes techniques de réglementation et d’exécution complémentaires précisent le règlement. Le registre officiel de la Commission recense notamment les actes relatifs aux notifications d’incidents et à la sous-traitance. La mise en œuvre doit donc s’appuyer sur les règles définitives applicables et les prescriptions de l’autorité compétente. Une ancienne liste de contrôle ou un calendrier général de notification ne remplace pas cet examen.
Les entités financières et prestataires concernés par DORA.
DORA couvre certaines entités du secteur financier selon l’art. 2 du règlement (UE) 2022/2554, notamment les établissements de crédit, de paiement, les entreprises d’investissement et les entreprises d’assurance, sous réserve des exceptions légales. Les appellations FinTech, start-up ou PME ne tranchent pas la question. Dans sa réponse finale DORA 136–3193, l’EIOPA explique que la classification part du type d’entité et que les TIC partagées ne peuvent être exclues en se fondant uniquement sur des activités isolées.
Un prestataire tiers de services TIC ordinaire n’a pas le même rôle qu’une entité financière concernée. Les clients financiers peuvent exiger des engagements contractuels, une assistance en cas d’incident et des preuves solides. Il faut distinguer cela de la désignation expresse comme prestataire tiers critique de services TIC par les autorités européennes de surveillance au titre de l’art. 31 DORA. Le seul soutien à une fonction critique du client n’entraîne pas cette désignation, comme l’expliquent les informations de l’ESMA sur le cadre de supervision.
La proportionnalité consiste à adapter les obligations de manière justifiée à l’entreprise et à ses risques. Elle ne constitue pas une exemption générale pour les petites entreprises. Le cadre simplifié de gestion du risque TIC de l’art. 16 DORA doit être examiné séparément. Consignez ensemble le rôle, les exceptions possibles, l’autorité compétente et les raisons de la classification avant de déterminer l’étendue de la mise en œuvre.
Les exigences DORA relient six domaines de travail.
Les exigences DORA associent direction, gestion des risques et fonctionnement vérifiable. Cette présentation regroupe les principaux domaines du règlement ; l’échange d’informations sur les cybermenaces est volontaire. L’ESMA décrit ces sujets et renvoie aux normes techniques correspondantes pour leurs modalités précises.
Direction et responsabilité.
L’organe de direction est responsable de la gestion du risque TIC selon l’art. 5 DORA. Cela comprend un cadre assurant la cohérence entre décisions, responsabilités et ressources nécessaires. Le recours à des services externes ne dégage pas l’entité financière de sa responsabilité. La direction doit garder une visibilité sur les risques majeurs et les décisions en suspens.
Gestion du risque TIC et continuité.
Les art. 5 à 16 DORA traitent du cadre de gestion du risque TIC, y compris les règles particulières du cadre simplifié. Identification, protection, détection, réponse, rétablissement et apprentissage sont liés. Le point de référence est la fonction financière concernée, avec ses systèmes et dépendances. Un objectif de rétablissement documenté nécessite des capacités techniques et organisationnelles correspondantes.
Gérer et notifier les incidents.
Les art. 17 à 23 DORA régissent les incidents liés aux TIC et leur notification. Les responsables doivent évaluer les conséquences, effectuer la classification pertinente et organiser les notifications nécessaires. Les normes techniques applicables en précisent également les modalités. Une défaillance de fournisseur doit donc d’abord être qualifiée par les spécialistes, sans reprendre automatiquement le même statut de notification pour chaque réglementation.
Tester la résilience opérationnelle numérique.
Les art. 24 à 27 DORA traitent des tests de résilience. Les différents tests répondent à des questions différentes : un exercice de crise vérifie les décisions, tandis qu’un test de rétablissement vérifie les hypothèses techniques. Les tests de pénétration fondés sur la menace, ou TLPT, concernent certaines entités financières sélectionnées. Ils ne constituent pas une exigence générale pour tous les prestataires financiers ou tous leurs fournisseurs.
Maîtriser les risques liés aux prestataires tiers de services TIC.
Les art. 28 à 30 DORA relient les risques des prestataires, les exigences contractuelles et la responsabilité propre de l’entité financière. Le registre d’informations des accords contractuels TIC se distingue d’une simple liste de fournisseurs. Le soutien aux fonctions critiques ou importantes, les dépendances, la coopération contractuelle et les possibilités de sortie viables méritent une attention particulière. La supervision distincte des prestataires critiques est traitée aux art. 31 et suivants DORA.
Échanger de façon ciblée les informations sur les menaces.
L’art. 45 DORA permet des accords d’échange d’informations sur les cybermenaces. La participation est volontaire et nécessite des règles claires de confidentialité et d’utilisation. Cet échange complète les opérations de sécurité internes ; il ne remplace ni l’évaluation d’un incident ni une notification nécessaire à l’autorité compétente.
Mettre en œuvre DORA : du rôle aux capacités vérifiées.
Clarifier le rôle et les compétences.
Documentez, pour l’entité juridique concernée, le champ d’application, les exceptions, la relation avec l’autorité de surveillance et les responsables afin de fonder le travail sur une classification justifiée.
Recenser les fonctions financières et leurs dépendances.
Reliez les fonctions importantes aux systèmes, informations et services externes effectivement utilisés afin d’identifier les conséquences possibles des perturbations et les dépendances communes.
Évaluer les risques et les accords.
Vérifiez avec les métiers, la technologie et les achats si les mesures, les engagements des prestataires et les contrats soutiennent la continuité nécessaire et où des décisions de direction sont requises.
Tester la gestion des incidents et le rétablissement.
Exercez la détection, l’évaluation, l’escalade et le rétablissement à partir de scénarios adaptés, en incluant la coopération nécessaire avec les prestataires, et documentez les résultats.
Actualiser les preuves et suivre les changements.
Après des changements importants ou de nouveaux enseignements, vérifiez la cohérence des responsabilités, registres, procédures et tests, ainsi que la correction effective des faiblesses identifiées.
Les preuves DORA se constituent dans le fonctionnement courant.
Le respect de DORA se démontre par des décisions traçables et une mise en œuvre vérifiable. Selon l’obligation applicable, cela comprend les appréciations des risques, les dispositions de continuité, les enregistrements d’incidents, les résultats de tests et les documents relatifs aux accords TIC. Une preuve doit identifier l’entité juridique et la fonction concernées ainsi que les éléments effectivement examinés. Un procès-verbal de test mentionnant des problèmes ouverts ne confirme pas leur correction.
Les autorités compétentes surveillent les entités financières dans le cadre légal, notamment selon les art. 46 et suivants DORA. Cette surveillance se distingue de la supervision européenne des prestataires tiers critiques de services TIC expressément désignés selon les art. 31 à 44. L’ESMA décrit cette supervision comme un complément à la responsabilité propre et à la surveillance existante des entités financières. Un certificat DORA général d’une durée uniforme ne remplace pas ces relations et obligations.
Pour aller plus loin sur le blog.
- Préparation à DORA pour les entités financières et prestataires TICLe guide opérationnel détaillé avec rôles, dépendances, tests et exemple de service de paiement.
- Risques liés aux tiers sous le RGPD, NIS2 et DORAGarder une vue cohérente des différentes décisions relatives aux fournisseurs et aux relations de service.
DORA et les autres référentiels.
Pour les entités financières concernées, DORA constitue, dans les domaines pertinents, un acte sectoriel du droit de l’Union par rapport à NIS2 ; cela n’exonère pas globalement tout groupe financier ou sa chaîne d’approvisionnement de l’ensemble des obligations BSIG. ISO 27001 peut structurer l’organisation d’un SMSI, mais ne remplace ni les exigences DORA ni leurs preuves. Les obligations du RGPD doivent être évaluées séparément, notamment lorsqu’une perturbation touche aussi des données personnelles.
Dans Secani.
Secani contient un catalogue éditorial DORA fondé sur le règlement (UE) 2022/2554 et certains actes complémentaires. Les informations de profil distinguent notamment les entités financières confirmées et les cadres complet et simplifié. Ces données facilitent un traitement documenté ; elles ne réalisent pas de classification juridique automatique. Le catalogue ne constitue ni une traduction officielle ni une attestation de conformité à DORA.
Commencer par une entité juridique et une fonction.
Choisissez d’abord une entité juridique pertinente et une fonction financière concrète. Réunissez leur classification, les responsabilités, les dépendances système, les accords de service et les derniers résultats de tests. Vérifiez ensuite avec les responsables les affirmations déjà étayées et la prochaine décision nécessaire. Le guide détaillé du blog développe ce point de départ.
Sources.
- Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier
- Commission européenne : cyberrésilience
- Commission européenne : actes délégués et actes d’exécution relatifs à DORA
- ESMA : DORA, principaux domaines et normes techniques
- ESMA : supervision des prestataires tiers critiques de services TIC
- EIOPA : questions-réponses DORA 136–3193 sur l’art. 2
- Lignes directrices de la Commission relatives à l’art. 4 NIS2, 2023/C 328/02
Questions fréquentes.
Non. L’entité juridique, sa catégorie légale et les exceptions possibles de l’art. 2 DORA sont déterminantes. Une appellation commerciale ou une petite taille ne suffisent à établir ni l’applicabilité ni une exemption.
Non. La désignation comme prestataire tiers critique de services TIC intervient dans le cadre européen de supervision selon l’art. 31 DORA. Une relation client ou le soutien à une fonction critique du client ne remplace pas cette désignation.
Non. Les tests de pénétration fondés sur la menace de l’art. 26 DORA concernent des entités financières sélectionnées. Les autres exigences applicables aux tests de résilience restent à examiner séparément.
Non. Un certificat ISO 27001 confirme un SMSI dans le périmètre indiqué et ne remplace pas les obligations légales DORA. Les exigences applicables, leur mise en œuvre effective et les preuves correspondantes restent déterminantes.
Réunir les responsabilités et les preuves.
Découvrez comment Secani facilite le traitement des exigences réglementaires.
Cette page explique DORA de manière générale et ne remplace pas une analyse juridique au cas par cas. Les actes en vigueur et les prescriptions de l’autorité compétente font foi.