Le Digital Operational Resilience Act (DORA) est entré en application le 17 janvier 2025 dans l'ensemble de l'Union européenne. Pourtant, début 2026, 43 % des entités financières concernées ne sont toujours pas pleinement conformes (source : European Banking Authority, rapport de suivi, janvier 2026). Et les premières sanctions commencent à tomber.
Si votre entreprise opère dans le secteur financier, ou si vous êtes prestataire technologique d'une entité financière, DORA vous concerne directement. Voici un guide complet pour comprendre vos obligations et vous mettre en conformité.
Qu'est-ce que DORA ?
DORA est un règlement européen (pas une directive, ce qui signifie qu'il s'applique directement sans transposition nationale) qui vise à renforcer la résilience opérationnelle numérique du secteur financier européen.
Concrètement, DORA impose aux entreprises financières de démontrer qu'elles peuvent résister, répondre et se remettre de tout type de perturbation ou menace liée aux technologies de l'information et de la communication (TIC).
Pourquoi DORA existe
Le secteur financier est devenu extrêmement dépendant du numérique. Une panne informatique chez un seul prestataire cloud peut paralyser des dizaines de banques simultanément. L'attaque par ransomware contre ION Trading en janvier 2023, qui a affecté 42 clients bancaires internationaux pendant plusieurs jours, a été l'un des déclencheurs de l'accélération de DORA.
Avant DORA, chaque pays avait ses propres règles (souvent fragmentaires) en matière de résilience IT. DORA harmonise le tout au niveau européen avec un cadre unique et contraignant.
Qui est concerné ?
DORA s'applique à un large éventail d'entités :
- Établissements de crédit (banques)
- Entreprises d'investissement et sociétés de gestion
- Compagnies d'assurance et de réassurance
- Établissements de paiement et de monnaie électronique
- Plateformes de crypto-actifs (depuis MiCA)
- Fonds de pension
- Prestataires de services de crowdfunding
- Agences de notation
Et surtout, c'est la grande nouveauté, les prestataires tiers de services TIC critiques : hébergeurs cloud, éditeurs de logiciels, prestataires d'infogérance, sociétés de cybersécurité. Si votre entreprise fournit des services technologiques à l'une des entités ci-dessus, DORA vous impose des obligations indirectes significatives.
Au total, DORA concerne environ 22 000 entités financières et plus de 15 000 prestataires TIC dans l'UE.
Les 5 piliers de DORA
Pilier 1 : Gestion des risques liés aux TIC
Les entités financières doivent mettre en place un cadre complet de gestion des risques TIC, comprenant :
- Une cartographie exhaustive de tous les actifs TIC et de leurs interdépendances
- Des politiques de sécurité couvrant l'accès, le chiffrement, la gestion des vulnérabilités et la continuité d'activité
- Un plan de réponse aux incidents documenté et testé régulièrement
- Une gouvernance au niveau du conseil d'administration : l'organe de direction est personnellement responsable de la stratégie de résilience numérique
La responsabilité personnelle des dirigeants est un changement majeur. Ce n'est plus un sujet qu'on peut déléguer uniquement au DSI.
Pilier 2 : Gestion et signalement des incidents TIC
DORA impose un processus structuré de gestion des incidents :
- Classification des incidents selon des critères harmonisés (impact, durée, périmètre géographique, nombre de clients affectés)
- Notification initiale aux autorités compétentes dans les 4 heures suivant la détection d'un incident majeur
- Rapport intermédiaire sous 72 heures avec analyse de l'impact
- Rapport final sous un mois avec analyse des causes racines et mesures correctives
Les délais sont stricts et les pénalités en cas de non-signalement peuvent atteindre 1 % du chiffre d'affaires quotidien moyen par jour de retard.
Pilier 3 : Tests de résilience opérationnelle numérique
C'est le pilier le plus technique et souvent le plus coûteux. DORA impose :
- Tests de base annuels : scans de vulnérabilités, tests de pénétration, revues de code source, tests de performance et de compatibilité
- Tests avancés (TLPT) tous les 3 ans : des tests de pénétration basés sur la menace (Threat-Led Penetration Testing), réalisés par des équipes certifiées selon le framework TIBER-EU. Ces tests simulent des attaques réalistes sur les systèmes critiques en conditions de production.
Les TLPT ne concernent que les entités identifiées comme "significatives" par les autorités de supervision, mais les tests de base sont obligatoires pour toutes les entités couvertes.
Pilier 4 : Gestion des risques liés aux prestataires tiers TIC
C'est le pilier qui impacte le plus les entreprises non-financières. DORA impose aux entités financières de :
- Maintenir un registre de tous les accords contractuels avec des prestataires TIC
- Inclure des clauses contractuelles obligatoires : droits d'audit, niveaux de service, plans de sortie, localisation des données, notification d'incidents
- Réaliser une due diligence avant chaque nouveau contrat et un suivi continu de la performance
- Disposer de stratégies de sortie documentées pour chaque prestataire critique
En pratique, si vous êtes développeur web, hébergeur ou prestataire IT d'une banque ou d'un assureur, attendez-vous à recevoir des questionnaires de conformité détaillés et des demandes de clauses contractuelles spécifiques. C'est un sujet que nous traitons régulièrement chez Go To Agency pour nos clients dans le secteur financier.
Pilier 5 : Partage d'information
DORA encourage le partage de renseignements sur les cybermenaces entre entités financières, dans un cadre de confiance. Ce pilier est le moins contraignant (il s'agit d'un encouragement, pas d'une obligation) mais il est essentiel pour la sécurité collective du secteur.
Calendrier et sanctions
Le calendrier est le suivant :
- 17 janvier 2025 : entrée en application (déjà passée)
- 17 avril 2025 : date limite pour la soumission du registre des prestataires TIC aux autorités
- 17 janvier 2026 : les autorités européennes de surveillance (ESA) ont publié les normes techniques de réglementation (RTS) finales
- 2026-2027 : premières inspections et sanctions effectives
Les sanctions varient selon les pays mais DORA prévoit que les autorités puissent imposer des amendes administratives, des injonctions de mise en conformité, des astreintes journalières et même, pour les prestataires TIC critiques désignés, des interdictions temporaires de fournir des services aux entités financières.
Comment se mettre en conformité
La mise en conformité DORA est un projet structurant. Voici les étapes essentielles :
- Gap analysis : évaluez votre situation actuelle par rapport aux exigences DORA. Identifiez les écarts prioritaires.
- Cartographie des actifs TIC : inventoriez tous vos systèmes, applications, données et leurs interdépendances.
- Revue contractuelle : auditez tous vos contrats avec des prestataires TIC et intégrez les clauses obligatoires manquantes.
- Plan de réponse aux incidents : documentez et testez vos procédures de détection, classification et notification.
- Programme de tests : planifiez les tests de pénétration annuels et, si applicable, les TLPT triennaux.
- Formation : sensibilisez votre conseil d'administration et formez vos équipes IT et risques.
DORA et NIS2 : quelle articulation ?
DORA coexiste avec la directive NIS2, qui impose elle aussi des obligations de cybersécurité à un large éventail de secteurs (énergie, transport, santé, numérique...). La règle est simple : pour les entités financières, DORA prime sur NIS2 en tant que lex specialis. Mais si vous opérez dans plusieurs secteurs, vous pouvez être soumis aux deux.
Les deux textes partagent une philosophie commune : la cybersécurité n'est plus une option, c'est une obligation légale avec des sanctions financières significatives. Nous avons détaillé les enjeux de la cybersécurité réglementaire dans nos articles précédents.
Conclusion : la conformité comme avantage compétitif
DORA est contraignant, c'est indéniable. Mais les entreprises qui le voient uniquement comme un coût réglementaire passent à côté de l'essentiel. Une entreprise résiliente numériquement est une entreprise qui inspire confiance, qui peut prouver à ses clients et partenaires qu'elle protège leurs données et leurs opérations.
Dans un marché où la confiance numérique devient un critère de choix, la conformité DORA peut devenir un véritable avantage compétitif.
Envie d'en savoir plus ? Découvrez nos réalisations dans ce domaine.
