Banque & DORA : la résilience opérationnelle numérique

De quoi parle DORA ?

DORA harmonise les exigences de résilience opérationnelle numérique de l’ensemble du secteur financier européen. Il s’articule autour de cinq piliers : gestion des risques TIC, gestion et notification des incidents liés aux TIC, tests de résilience opérationnelle numérique, gestion des risques liés aux prestataires TIC tiers, et dispositifs de partage d’informations.

Un principe de proportionnalité s’applique : un cadre simplifié existe pour certaines petites entités non interconnectées.

Le secteur « Banque » est-il concerné ?

Les établissements de crédit sont des entités financières pleinement soumises à DORA. Le texte couvre l’ensemble de leurs activités reposant sur des systèmes d’information, ainsi que la relation avec leurs prestataires TIC.

La proportionnalité module l’intensité des obligations selon la taille et le profil de risque, mais le cadre s’applique à toutes les banques.

Obligations détaillées

Sanctions & risques

DORA relève d’un régime prudentiel : les autorités compétentes disposent de pouvoirs de surveillance, d’injonction et de sanction. Les prestataires TIC désignés critiques peuvent faire l’objet d’astreintes pouvant atteindre 1 % de leur chiffre d’affaires journalier mondial moyen.

Au-delà de la sanction, un défaut de résilience expose à des mesures de supervision et à un risque systémique et réputationnel majeur.

Calendrier d’application

• 1Application. DORA est applicable depuis le 17 janvier 2025.
• 2Registre d’information. Remontée périodique du registre des prestataires TIC aux autorités.

Erreurs fréquentes dans le secteur

• 1Confusion avec NIS2. Dupliquer les dispositifs alors que DORA prévaut pour le risque TIC.
• 2Registre incomplet. Ne pas recenser exhaustivement les prestataires TIC et la sous-traitance.
• 3Tests théoriques. Disposer d’un programme de tests non éprouvé.
• 4Gouvernance absente. Traiter DORA comme un sujet purement technique.

Cas pratique

Une banque cartographie ses prestataires TIC et découvre une forte concentration sur un seul fournisseur cloud pour des fonctions critiques. Au titre de DORA, elle documente ce risque de concentration, renforce les clauses de réversibilité et intègre le prestataire à son registre d’information et à son programme de tests — transformant un angle mort en dispositif maîtrisé.

Feuille de route de mise en conformité

1. 1

   Structurer le cadre TIC. Formaliser stratégie, politiques et gouvernance des risques TIC.

2. 2

   Outiller les incidents. Mettre en place classification et notification des incidents majeurs.

3. 3

   Planifier les tests. Définir un programme de tests et, si significatif, préparer les TLPT.

4. 4

   Tenir le registre. Constituer le registre d’information et encadrer les contrats prestataires.

5. 5

   Gouverner. Faire porter le dispositif par l’organe de direction.

Questions fréquentes