DORA s’applique : les cinq piliers de la résilience numérique financière

Depuis ce 17 janvier 2025, le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), s’applique. Adopté fin 2022, il laissait deux ans aux entités financières pour se préparer. Banques, entreprises d’investissement, assureurs, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, gestionnaires de fonds : une vingtaine de catégories d’entités sont concernées, avec une application proportionnée à leur taille et à leur profil de risque.

Le texte a une particularité qui le distingue de beaucoup de réglementations de sécurité : il ne s’adresse pas d’abord à la direction informatique. Son article 5 confie à l’organe de direction la responsabilité ultime du cadre de gestion du risque lié aux technologies de l’information et de la communication (TIC). Le conseil d’administration doit définir, approuver et superviser ce cadre, et ses membres doivent entretenir des connaissances suffisantes pour le faire.

Les cinq piliers en une page

À ces cinq piliers s’ajoute un mécanisme de supervision directe des prestataires TIC jugés critiques pour le secteur financier, confiée aux autorités européennes de surveillance. Il ne crée pas d’obligation nouvelle pour l’entité financière, mais il signale que la dépendance à quelques grands fournisseurs est désormais regardée comme un risque systémique.

Ce qui change concrètement aujourd’hui

Le règlement est accompagné de normes techniques de réglementation et d’exécution, élaborées par les autorités européennes de surveillance et adoptées par la Commission, qui précisent la classification des incidents, le contenu des notifications, le format du registre d’informations ou encore les tests fondés sur la menace. Certaines ont été adoptées au cours de 2024, d’autres restent en cours de finalisation : chaque entité doit suivre ce calendrier avec son autorité compétente.

Pour les entités qui relèvent aussi de NIS 2, DORA s’applique en tant que texte sectoriel : ses exigences prévalent pour la gestion du risque TIC et la notification des incidents. Il ne s’ajoute pas à NIS 2 comme une couche supplémentaire, mais il ne dispense pas de la cohérence entre les deux cadres là où un groupe a des activités hors du secteur financier.

Une exigence commune : la preuve

Les cinq piliers ont un point commun. L’autorité ne demandera pas seulement si un processus existe ; elle demandera qui l’a approuvé, quand il a été revu, ce qui s’est passé lors du dernier incident, quelles décisions ont été prises et sur quelle base. Un cadre de gestion des risques qui vit dans des documents dispersés, sans historique de validation, sera difficile à défendre.

C’est le problème que traite notre produit Gouvernance & traçabilité : prouver qui a décidé quoi, quand, et sur quelle base, à partir d’un audit des droits d’accès et des traces existantes. Pour les questions de conformité plus larges (NIS 2, ISO/IEC 27001, articulation entre cadres), notre expertise cybersécurité et conformité détaille notre approche.

Un premier pas utile, dès cette semaine : réunir sur une seule page la liste des fonctions critiques ou importantes, les systèmes qui les portent et les prestataires dont elles dépendent. Ce document n’est pas exigé sous cette forme, mais il sert de base à quatre des cinq piliers.

1. Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier, Journal officiel de l’Union européenne.
2. Autorités européennes de surveillance (ABE, AEAPP, AEMF), normes techniques de réglementation et d’exécution prises en application de DORA.
3. Directive (UE) 2022/2555 (NIS 2), concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union.