DORA : ce que les entités financières doivent tenir prêt

Le règlement DORA (Digital Operational Resilience Act) s’applique depuis le 17 janvier 2025 aux banques, assureurs, sociétés de gestion, prestataires de paiement et à la plupart des acteurs financiers de l’Union, sans transposition nationale. Près de deux ans plus tard, les superviseurs ne demandent plus si les entités connaissent le texte : ils vérifient ce qu’elles peuvent produire.

Une gestion du risque informatique portée par la direction

DORA impose un cadre de gestion du risque lié aux technologies de l’information et de la communication (TIC) documenté, revu au moins une fois par an, et dont l’organe de direction porte la responsabilité finale : il le définit, l’approuve et en supervise la mise en œuvre. Comme NIS2, DORA fait de la résilience numérique un sujet de gouvernance.

Le registre d’informations des prestataires

Chaque entité tient un registre de tous ses accords contractuels avec des prestataires de services TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. En France, ce registre est remis aux autorités selon les modèles du règlement d’exécution (UE) 2024/2956, via le portail ONEGATE de la Banque de France. C’est souvent le chantier le plus lourd : il oblige à savoir précisément qui fait quoi, où, et avec quels sous-traitants.

Notifier un incident majeur : 4 heures, 72 heures, un mois

Un incident lié aux TIC qualifié de majeur est notifié à l’autorité compétente (ACPR ou AMF en France) en trois temps :

• une notification initiale dans les 4 heures suivant sa qualification comme majeur, et au plus tard 24 heures après en avoir eu connaissance ;
• un rapport intermédiaire au plus tard 72 heures après la notification initiale ;
• un rapport final au plus tard un mois après le dernier rapport intermédiaire.

Les critères de qualification sont fixés par le règlement délégué (UE) 2024/1772. Tenir ces délais suppose une procédure de qualification prête et exercée, et une articulation avec les autres obligations, comme la notification d’une violation de données à la CNIL.

Tester la résilience, jusqu’aux tests de pénétration fondés sur la menace

DORA demande un programme de tests de résilience proportionné. Les entités les plus significatives, désignées par leur superviseur, réalisent en plus des tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans, sur des systèmes de production et selon un scénario réaliste.

Ce qu’il faut retenir

DORA ne se satisfait pas de politiques écrites : il faut un registre exact, des procédures de notification qui tiennent les délais et des tests qui prouvent la résilience. Concevoir l’architecture qui rend ces exigences tenables, puis mettre en œuvre et documenter les mesures jusqu’à la preuve : c’est le rôle de Trusted Architecture et de Trusted Integration, après un diagnostic Trusted Assessment.