DORA en 2026 : la résilience numérique n'est plus optionnelle pour les acteurs financiers

Le règlement (UE) 2022/2554, dit DORA, le règlement sur la résilience opérationnelle numérique, est entré en vigueur le 16 janvier 2023 et s'applique dans toute l'Union européenne depuis le 17 janvier 2025. Il harmonise les règles de gestion des risques TIC pour 21 catégories d'entités financières, des banques et assureurs aux entreprises d'investissement, établissements de paiement et prestataires de services sur crypto-actifs.

DORA ne s'ajoute pas à la réglementation financière existante. Il remplace un ensemble disparate de règles TIC nationales et sectorielles par un cadre unique, et étend pour la première fois une surveillance directe aux prestataires technologiques dont dépendent les acteurs financiers.

Cinq exigences, un seul organe responsable

Le règlement repose sur cinq piliers : un dispositif documenté de gestion des risques TIC, la classification et la notification des incidents, des tests réguliers de résilience numérique, la surveillance des risques liés aux prestataires TIC tiers, et le partage volontaire d'informations sur les cybermenaces. Ces cinq piliers relèvent d'une seule règle de responsabilité : l'organe de direction définit, approuve et reste responsable du dispositif de gestion des risques TIC. Cela ne peut être délégué à un DSI ou à un prestataire externe.

• Dispositif de gestion des risques TIC : stratégie, politiques, procédures et outils documentés pour identifier, protéger, détecter, répondre et se rétablir face aux incidents liés aux TIC, revus au moins une fois par an.
• Classification et notification des incidents : les incidents majeurs liés aux TIC doivent être signalés à l'autorité nationale compétente, via une notification initiale, un rapport intermédiaire et un rapport final, selon un calendrier fixé par les normes techniques réglementaires.
• Tests de résilience opérationnelle numérique : un programme de tests de base chaque année pour la plupart des entités, et des tests d'intrusion pilotés par la menace (TLPT) tous les trois ans pour les entités identifiées comme critiques pour le système financier.
• Gestion du risque lié aux prestataires TIC tiers : un registre complet d'informations sur tous les accords avec des prestataires TIC tiers, des clauses contractuelles couvrant les stratégies de sortie et les droits d'audit, et une surveillance directe par l'UE des prestataires désignés comme critiques.
• Partage d'informations : dispositifs volontaires entre acteurs financiers pour échanger des renseignements sur les cybermenaces, encouragés mais non obligatoires.

L'exposition que la plupart des entités sous-estiment

Deux domaines concentrent la plupart des constats des superviseurs à ce jour. Le premier est le registre des prestataires TIC tiers : de nombreuses entités savent lister leurs principaux fournisseurs cloud et logiciels, mais peinent à cartographier les sous-traitants situés plusieurs niveaux plus bas, ce que le règlement exige pourtant. Le second est la couverture contractuelle : les clauses de sortie, les droits d'audit et les engagements de niveau de service négociés il y a plusieurs années répondent rarement aux exigences précises de DORA, et leur renégociation avec de grands prestataires prend un temps que la plupart des entités n'avaient pas budgété.

Pourquoi cela concerne aussi les acteurs hors secteur financier

DORA va plus loin que les bilans financiers. Fournisseurs cloud, éditeurs de logiciels bancaires cœur de métier et sociétés d'infrastructure de paiement au service de clients financiers se voient de plus en plus demander de démontrer leur alignement avec DORA comme condition contractuelle, qu'ils soient eux-mêmes une entité financière ou non. Une fintech ou un éditeur de logiciel incapable de répondre à un questionnaire de due diligence DORA perd des contrats, non pas parce qu'il est hors périmètre, mais parce que son client, lui, y est soumis.

“Un dispositif documenté de gestion des risques TIC n'est pas un exercice de style. C'est ce qu'une contrepartie financière, un auditeur ou un régulateur s'attend à voir en quelques jours, pas en quelques semaines.”

— Aegryn

Aegryn Advisory accompagne les acteurs financiers et leurs prestataires technologiques dans la documentation de la gestion des risques TIC, la structuration des registres de prestataires tiers et la préparation des preuves de tests de résilience, certifiées sous la dimension Sécurité & Souveraineté du CIFSO, avant même le moment où un superviseur, un investisseur ou un grand client en demande la preuve.