Conformité DORA pour les services financiers : guide de mise en œuvre 2026

DORA, dix-huit mois après

Le règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act, règlement (UE) 2022/2554) s'applique formellement depuis le 17 janvier 2025. Dix-huit mois plus tard, les autorités de supervision (BCE, ABE, ESMA, EIOPA, et autorités nationales compétentes) sont passées résolument de la sensibilisation à l'application effective. Le cycle de supervision 2026 pose des questions précises, fondées sur des preuves.

Si vous êtes RSSI dans une entité financière couverte par DORA (banques, entreprises d'investissement, assureurs, gestionnaires de fonds, établissements de paiement, établissements de monnaie électronique, contreparties centrales, plateformes de négociation, agences de notation de crédit, prestataires de services de financement participatif, ou prestataires tiers critiques de services TIC), votre comité d'audit devrait vous demander des preuves sur les cinq piliers de DORA au plus tard au T4 2026.

Cet article passe en revue chaque pilier avec la question pratique suivante : que veut réellement voir un inspecteur ?

Pilier 1 : gestion du risque lié aux TIC

Articles 5 à 14. Le socle. DORA exige un cadre de gestion du risque lié aux TIC documenté et approuvé par le conseil d'administration, couvrant l'identification, la protection, la détection, la réponse, la récupération, l'apprentissage et la communication. En pratique, ceci est largement couvert par les programmes ISO 27001 et NIST CSF, avec trois ajouts spécifiques à DORA :

• Responsabilité explicite du conseil. L'organe de direction doit approuver le cadre, le revoir au moins une fois par an, et superviser sa mise en œuvre. Les procès-verbaux des réunions du conseil doivent en attester.
• Stratégie de résilience opérationnelle numérique. Un document spécifique, distinct de la politique de sécurité, qui décrit comment l'entité entend rester opérationnellement résiliente. De nombreuses entités découvrent qu'elles possèdent toutes les briques (politiques, PCA, plan de réponse aux incidents) mais aucun document de stratégie globale.
• Registre et classification des actifs informationnels. Un inventaire des actifs informationnels et TIC classés par criticité. L'article 8 rend cette exigence explicite et vérifiable.

Ce que demande un inspecteur : le document de cadre, la stratégie, le registre des actifs avec sa date de dernière mise à jour, et trois jeux de procès-verbaux de conseil montrant des discussions de supervision.

Pilier 2 : gestion et notification des incidents liés aux TIC

Articles 15 à 23. C'est là que DORA impose la pression opérationnelle la plus forte. Les incidents majeurs liés aux TIC doivent être :

• Classifiés selon les critères des normes techniques réglementaires (transactions affectées, étendue géographique, durée, impact économique, impact réputationnel, criticité des services).
• Notifiés à l'autorité compétente via une notification en trois étapes : notification initiale sous 4 heures après la classification (et au plus tard 24 heures après la détection), notification intermédiaire, et notification finale.
• Suivis d'une analyse des causes profondes dans un délai d'un mois.

Deux réalités pratiques :

1. Les seuils de classification sont étonnamment bas. Une poignée de transactions de paiement affectées dans plusieurs États membres peut constituer un incident « majeur ». La plupart des institutions découvrent, en appliquant réellement les critères à leurs incidents de l'année précédente, que plusieurs auraient techniquement dû être notifiés.
2. Le délai de 4 heures démarre dès que la classification est achevée. Intégrez l'étape de classification dans votre procédure de réponse à incident afin qu'elle soit réalisée rapidement et documentée.

La notification volontaire des cybermenaces significatives est également encouragée. Plusieurs entités ont adopté une politique de divulgation volontaire pour tout événement franchissant un seuil interne inférieur au seuil obligatoire, sur l'idée que cela renforce la confiance des superviseurs.

Pilier 3 : tests de résilience opérationnelle numérique

Articles 24 à 27. DORA exige que les entités testent leur résilience, pas seulement qu'elles la documentent. Les tests requis incluent :

• Un programme de tests complet, au moins annuel, pour les opérations courantes.
• Des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans pour les entités classées comme significatives. Le TLPT doit suivre le cadre TIBER-EU ou un équivalent.
• Des tests menés par des parties indépendantes, internes ou externes, exemptes de tout conflit d'intérêts.

Le TLPT est l'élément le plus sous-estimé par la plupart des institutions. Contrairement à un test d'intrusion classique, le TLPT met en œuvre des tactiques, techniques et procédures réelles d'acteurs de la menace contre des systèmes en production, avec une sensibilisation interne limitée. Sa coordination nécessite une White Team dédiée, des relations contractuelles avec des prestataires de red team, et un dialogue préalable avec le superviseur. Prévoyez un budget de 300 000 à 800 000 € et 6 à 9 mois de délai par cycle.

Pilier 4 : risque lié aux prestataires tiers TIC

Articles 28 à 44. C'est le pilier ayant les conséquences opérationnelles les plus lourdes pour la plupart des institutions. DORA impose des exigences détaillées sur la gestion des prestataires tiers TIC :

• Registre exhaustif de tous les accords contractuels avec les prestataires tiers TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes.
• Diligence raisonnable précontractuelle avec évaluations documentées.
• Clauses contractuelles standardisées couvrant des éléments précis : accords de niveau de service, localisation des données, exigences de sécurité, notification des incidents, droits d'audit, stratégies de sortie.
• Surveillance du risque de concentration : les entités ne doivent pas devenir excessivement dépendantes d'un seul prestataire tiers TIC.
• Les prestataires tiers critiques TIC (CTPP) sont désignés par les autorités européennes de surveillance et deviennent des entités directement supervisées.

L'exigence de registre n'est à elle seule pas triviale. La plupart des institutions disposent d'un inventaire dans leur système d'achats, mais pas au format prescrit par DORA. L'article 28(3) énumère dix-neuf champs de données spécifiques par accord.

Les exigences contractuelles se répercutent sur les fonctions juridique, achats et sécurité. Renégocier les contrats existants pour y ajouter les clauses imposées par DORA est, pour la plupart des institutions, un projet s'étalant sur plusieurs trimestres, et c'est précisément ce que les inspections du T4 2026 examinent activement.

Pilier 5 : partage d'informations et de renseignements

Article 45. Le pilier le moins prescriptif, mais de plus en plus mis en avant. DORA autorise explicitement les entités financières à échanger des informations sur les cybermenaces entre elles, y compris des indicateurs de compromission, des tactiques, techniques et procédures, au sein de communautés de confiance. Cette autorisation est importante car elle lève certaines préoccupations de confidentialité qui décourageaient auparavant le partage.

Ce que recherchent les superviseurs ici, c'est que vous ayez envisagé de participer à un dispositif de partage d'informations et que vous ayez soit rejoint un tel dispositif (FS-ISAC, ISAC nationaux, groupes sectoriels), soit documenté les raisons de ne pas l'avoir fait. L'attente monte que « nous ne partageons pas de renseignements sur les menaces » ne soit plus une réponse acceptable pour une institution significative.

L'articulation avec NIS2

De nombreuses entités financières entrent simultanément dans le champ de NIS2 (entité essentielle, secteur financier). DORA est lex specialis : il prévaut lorsqu'il couvre le même terrain. En pratique, cela signifie :

• Pour la gestion du risque TIC et la notification des incidents, DORA s'applique et NIS2 s'efface.
• Pour les aspects que DORA ne couvre pas (hygiène cybersécurité générale, formation, etc.), NIS2 continue de s'appliquer.
• Notifier un incident à une seule autorité au titre de DORA satisfait généralement les deux régimes, mais vérifiez auprès de votre autorité nationale compétente car les procédures diffèrent.

Ce qu'un inspecteur demandera en 2026

D'après les premiers examens DORA, la liste de contrôle des superviseurs ressemble à peu près à ceci :

• Le document de cadre de gestion du risque TIC, approuvé par le conseil, revu au cours des 12 derniers mois.
• La stratégie de résilience opérationnelle numérique.
• Le registre des actifs informationnels, classifié, mis à jour au cours des 6 derniers mois.
• La procédure de classification des incidents majeurs.
• Les notifications d'incidents des 12 derniers mois.
• Le document de programme de tests annuel et les rapports de tests les plus récents.
• Le calendrier des TLPT et le dernier engagement réalisé (le cas échéant).
• Le registre des accords avec les prestataires tiers TIC, au format de l'article 28(3) de DORA.
• Trois contrats tiers représentatifs montrant les clauses requises.
• L'analyse du risque de concentration.
• Les dispositifs de partage de renseignements sur les menaces.

Arriver avec ce dossier prêt permet d'éviter un travail de remédiation considérable.

Comment une plateforme GRC aide

Presque toutes les exigences de preuve DORA sont prises en charge nativement par une plateforme GRC dédiée : registres, liaison des preuves aux contrôles, journaux d'incidents, inventaires fournisseurs avec niveaux de risque, pistes d'audit et rapports prêts pour le conseil. Les institutions qui peinent le plus avec DORA sont celles qui le traitent comme une série de projets de conformité ponctuels dans des tableurs, plutôt que comme les opérations courantes d'une plateforme qui produit les preuves comme sous-produit naturel.

Pour conclure

DORA est la réglementation de résilience opérationnelle la plus prescriptive qu'ait produite une grande juridiction. C'est aussi l'une des mieux conçues : ses cinq piliers correspondent au fonctionnement réel des programmes de sécurité et de résilience matures. Les institutions qui s'en sortiront le plus mal lors du cycle de supervision 2026 sont celles qui ont traité DORA comme un exercice documentaire plutôt que comme une refondation du fonctionnement quotidien de la fonction.