Guide DORA : comment se mettre en conformité ?

Qu'est-ce que DORA ?

DORA (Digital Operational Resilience Act) est le règlement européen qui unifie les exigences de résilience numérique du secteur financier. Il part d'un constat : la continuité des services financiers dépend désormais entièrement de la solidité des systèmes d'information et de la maîtrise des dépendances technologiques.

Il complète NIS2 pour les entités financières, mais en tant que texte spécialisé (lex specialis), il prévaut pour ces acteurs, avec un cadre plus détaillé et une supervision assurée par les autorités financières.

Sa logique est proactive : ne pas se contenter de réagir aux incidents, mais démontrer en amont une capacité à résister, à continuer d'opérer et à se rétablir, y compris face à des scénarios sévères mais plausibles.

Les cinq piliers de DORA

DORA s'organise autour de cinq piliers complémentaires. Les couvrir tous, de façon cohérente, constitue l'essentiel de la mise en conformité.

Qui est concerné ?

DORA vise un périmètre très large d'entités financières, ainsi que leurs prestataires TIC. Beaucoup d'acteurs de taille moyenne y sont soumis, avec toutefois un principe de proportionnalité (un cadre simplifié existe pour certaines petites entités).

• Banques, entreprises d'investissement, établissements de paiement et de monnaie électronique.
• Assurances, réassurances et intermédiaires.
• Sociétés de gestion, fonds, prestataires de services sur crypto-actifs, plateformes de financement participatif.
• Prestataires TIC critiques (cloud, data centers, éditeurs), soumis à une supervision européenne directe.

Le registre des prestataires TIC, pièce maîtresse

L'une des exigences les plus structurantes de DORA est le registre d'informations : un inventaire détaillé de tous vos prestataires TIC et des services qu'ils fournissent, appuyant fonctions critiques et importantes.

Ce registre n'est pas qu'une formalité : il permet d'identifier les dépendances, de mesurer le risque de concentration (trop dépendre d'un seul fournisseur) et de préparer des stratégies de sortie. Il est régulièrement demandé par les superviseurs.

• Inventoriez chaque prestataire, service et fonction supportée.
• Identifiez les prestataires supportant des fonctions critiques.
• Évaluez et documentez le risque de concentration.

Quelles sanctions en cas de non-conformité ?

Les sanctions relèvent des autorités financières nationales pour les entités, et d'un superviseur européen pour les prestataires TIC critiques. Elles peuvent être significatives, et la responsabilité de la direction est engagée.

Comment se mettre en conformité : la feuille de route en 7 étapes

Étape 1 — Définir le cadre de gouvernance des risques TIC

Formalisez un cadre approuvé par l'organe de direction : rôles, responsabilités, appétence au risque, stratégie de résilience numérique. DORA rend la direction explicitement responsable — la gouvernance n'est pas déléguable à la seule DSI.

Ce cadre doit être documenté, revu périodiquement et articulé avec la gestion globale des risques de l'entité.

• Nommez les responsables et définissez la comitologie.
• Documentez votre appétence au risque TIC.
• Faites valider le cadre par l'organe de direction.

Étape 2 — Cartographier actifs et dépendances

Recensez systèmes, fonctions critiques et dépendances TIC internes et externes. Identifiez précisément les fonctions dont l'interruption menacerait la continuité de vos services financiers.

Cette cartographie alimente à la fois l'analyse de risques, le registre des prestataires et la définition des objectifs de rétablissement.

• Identifiez les fonctions critiques et importantes.
• Cartographiez les dépendances internes et externes.
• Reliez chaque fonction à ses prestataires TIC.

Étape 3 — Mettre en place détection et protection

Déployez des mesures de protection, une surveillance continue, une détection des anomalies et des mécanismes de réponse et de reprise, avec des objectifs de temps de rétablissement et de perte de données définis.

La résilience se prépare : sauvegardes, redondances, plans de continuité et de reprise doivent être en place et testés.

• Définissez des objectifs de rétablissement (RTO/RPO).
• Mettez en place surveillance et détection des anomalies.
• Formalisez plans de continuité et de reprise.

Étape 4 — Structurer la gestion des incidents TIC

Établissez la classification des incidents selon les critères réglementaires (impact, durée, étendue) et une chaîne de notification vers les autorités respectant les délais imposés.

Un incident majeur doit pouvoir être qualifié rapidement et déclaré selon les modèles attendus : préparez ces processus à froid.

• Classez les incidents selon les critères DORA.
• Préparez les modèles et circuits de notification.
• Tenez un registre des incidents TIC.

Étape 5 — Organiser les tests de résilience

Planifiez un programme de tests : analyses de vulnérabilités, scénarios, tests de continuité. Pour les entités importantes, des tests de pénétration guidés par la menace (TLPT) doivent être menés périodiquement par des testeurs qualifiés.

Ces tests ne sont pas un audit ponctuel : ils s'inscrivent dans un programme pluriannuel documenté.

• Établissez un programme de tests pluriannuel.
• Réalisez des TLPT si vous êtes une entité importante.
• Corrigez les vulnérabilités identifiées et tracez les actions.

Étape 6 — Maîtriser les prestataires TIC

Constituez le registre d'informations des prestataires, intégrez les clauses contractuelles obligatoires (audit, sécurité, sous-traitance, sortie), évaluez le risque de concentration et prévoyez des stratégies de sortie crédibles.

La dépendance au cloud est un point d'attention central : DORA exige d'en maîtriser les conséquences.

• Tenez à jour le registre des prestataires TIC.
• Intégrez les clauses contractuelles obligatoires.
• Préparez des stratégies de sortie pour les fonctions critiques.

Étape 7 — Organiser le reporting et le partage d'informations

Préparez les déclarations aux autorités, tenez le registre à jour et participez, le cas échéant, aux dispositifs de partage d'informations sur les menaces entre entités financières.

Ce dernier pilier, souvent négligé, contribue à la résilience collective du secteur.

• Fiabilisez les processus de reporting aux superviseurs.
• Maintenez le registre prêt à être communiqué.
• Participez au partage d'informations sur les cybermenaces.

Les erreurs fréquentes à éviter

• Réduire DORA à un projet IT : c'est un projet de gouvernance et de contrôle porté par la direction.
• Oublier de constituer le registre des prestataires TIC, pièce maîtresse du dispositif.
• Négliger les clauses contractuelles obligatoires avec les prestataires, notamment cloud.
• Confondre DORA et NIS2 : pour une entité financière, DORA prime en tant que lex specialis.
• Sous-estimer le risque de concentration et l'absence de stratégie de sortie.
• Traiter les tests comme un audit ponctuel plutôt qu'un programme pluriannuel.
• Ne pas préparer les modèles et délais de notification d'incident.

Comment Data Comply One vous accompagne

Data Comply One propose un module de gestion de votre conformité DORA, centralisé dans la même plateforme que vos autres obligations réglementaires.

Deux modes s'offrent à vous : gérer votre conformité vous-même avec le logiciel, ou l'externaliser à nos experts — un RSSI externalisé — qui la pilotent pour vous directement sur la plateforme, pour un dispositif démontrable auprès de l'ACPR ou de l'AMF.

Vous disposez ainsi d'un dispositif consolidé et vivant, sans dépendre d'une expertise dispersée entre plusieurs outils.

Où en êtes-vous ? ·