En bref
- Réglementation : DORA.
- Toutes les entités financières listées par DORA sont concernées, ainsi que leurs prestataires TIC tiers (encadrés par contrat, voire supervisés s’ils sont critiques).
- Cadre de gestion des risques TIC.
- Gestion et notification des incidents.
- Tests de résilience.
- Régime prudentiel : pouvoirs de surveillance et de sanction des autorités ; astreintes possibles pour les prestataires TIC critiques (jusqu’à 1 % du CA journalier mondial moyen).
Échéances réglementaires
Les dates clés de cette réglementation.
Janvier 2023
Entrée en vigueur
En vigueurJanvier 2025
Application
En vigueurDe quoi parle DORA ?
DORA harmonise la résilience opérationnelle numérique de l’ensemble du secteur financier européen. Son périmètre est large : crédit, assurance, investissement, paiement, monnaie électronique, crypto-actifs, plateformes de négociation, entre autres.
Cinq piliers structurent le texte, avec un principe de proportionnalité et un cadre simplifié pour certaines petites entités.
Le secteur « Secteur financier » est-il concerné ?
Toutes les entités financières listées par DORA sont concernées, ainsi que leurs prestataires TIC tiers (encadrés par contrat, voire supervisés s’ils sont critiques).
La proportionnalité module l’intensité selon la taille et le profil de risque.
Obligations détaillées
Cadre de gestion des risques TIC
Stratégie, politiques et gouvernance des risques TIC sous la responsabilité de la direction.
Gestion et notification des incidents
Classer et notifier les incidents TIC majeurs aux autorités.
Tests de résilience
Programme de tests et, pour les significatifs, TLPT.
Risques des prestataires TIC
Registre d’information et encadrement contractuel (audit, réversibilité, sous-traitance).
Partage d’informations
Participation aux dispositifs d’échange sur les cybermenaces.
Sanctions & risques
Régime prudentiel : pouvoirs de surveillance et de sanction des autorités ; astreintes possibles pour les prestataires TIC critiques (jusqu’à 1 % du CA journalier mondial moyen).
Calendrier d’application
- 1Application. Depuis le 17 janvier 2025 pour toutes les entités financières.
- 2Registre. Remontée périodique aux autorités.
Erreurs fréquentes dans le secteur
- 1Confusion avec NIS2. Dupliquer les dispositifs.
- 2Registre incomplet. Omettre des prestataires ou la sous-traitance.
- 3Tests théoriques. Programme non éprouvé.
- 4Gouvernance absente. Traiter DORA comme purement technique.
Cas pratique
Un établissement de paiement structure sa conformité DORA en formalisant son cadre de risque TIC, en constituant son registre d’information des prestataires et en planifiant ses tests, avec une gouvernance portée par la direction.
Feuille de route de mise en conformité
- 1
Structurer le cadre TIC. Formaliser stratégie et gouvernance.
- 2
Outiller les incidents. Classification et notification.
- 3
Planifier les tests. Programme et TLPT si significatif.
- 4
Tenir le registre. Recenser et encadrer les prestataires.
- 5
Gouverner. Impliquer la direction.
Questions fréquentes
Oui, avec proportionnalité et cadre simplifié pour certaines petites entités.
Passez à l'action sur DORA
Diagnostic gratuit ou échange avec un expert dédié aux secteur financier.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur secteur financier ont sécurisé leur conformité avec DCO.