DORA : la résilience opérationnelle numérique s’impose à la finance
Applicable depuis le 17 janvier 2025, le règlement européen DORA impose au secteur financier — et à ses prestataires informatiques — un cadre exigeant de résilience opérationnelle numérique.
Qui est concerné
DORA (Digital Operational Resilience Act) s’applique à un très large éventail d’entités financières : banques, assurances, sociétés de gestion, établissements de paiement, prestataires de services sur crypto-actifs, etc. Point crucial : il vise aussi leurs prestataires de services TIC (hébergeurs, éditeurs, cloud), qui entrent dans le périmètre via les exigences contractuelles imposées à leurs clients financiers. En France, la supervision relève notamment de l’ACPR et de l’AMF.
Les cinq piliers
- Gestion du risque TIC : gouvernance, cartographie, mesures de protection et de continuité.
- Gestion et notification des incidents majeurs liés aux TIC.
- Tests de résilience opérationnelle, y compris tests avancés (TLPT) pour les acteurs significatifs.
- Gestion du risque lié aux prestataires TIC : registre, clauses contractuelles, stratégie de sortie/réversibilité.
- Partage d’informations sur les cybermenaces.
Le point le plus sous-estimé : les tiers
DORA fait du risque prestataire un sujet de premier plan : il faut un registre des contrats TIC, des clauses conformes, une évaluation de la concentration et un plan de réversibilité. Beaucoup d’organisations découvrent qu’elles ne maîtrisent pas leur dépendance à quelques fournisseurs critiques.
Se mettre en conformité
La démarche rejoint les fondamentaux de la résilience : analyse d’impact (BIA), plans de continuité et de reprise (PCA/PRA), tests réguliers, et une gouvernance du risque TIC pilotée au niveau de la direction. Un cadrage PCA/PRA structuré est souvent le meilleur point d’entrée.
Parcours associé : PCA / PRA / BIA. Ou évaluez votre maturité en 4 minutes.