3 Le Digital Operational Resilience Act (DORA), ou règlement sur la résilience opérationnelle numérique, est un règlement de l’Union européenne conçu pour renforcer la manière dont le secteur financier gère les risques numériques et liés aux TIC. Son objectif est simple : garantir que les institutions financières et leurs prestataires technologiques critiques peuvent continuer à fonctionner malgré des perturbations graves, qu’elles soient causées par des cyberattaques, des pannes de systèmes ou des défaillances de tiers. À mesure que les services financiers reposent de plus en plus sur le logiciel et deviennent interconnectés, la résilience opérationnelle est devenue un enjeu systémique plutôt que purement technique. DORA répond à cette évolution en établissant un cadre unique et harmonisé de résilience opérationnelle numérique pour l’ensemble de l’écosystème financier européen. Le règlement s’applique depuis le 17 janvier 2025, avec de nouvelles attentes en matière de gouvernance, de gestion des risques, de tests et de supervision. Pourquoi DORA a été adopté Au cours de la dernière décennie, le secteur financier a connu une transformation numérique rapide. Les systèmes bancaires centraux, les plateformes de négociation, les opérations d’assurance et les infrastructures de paiement dépendent désormais d’environnements TIC complexes et de prestataires de services externes, notamment des plateformes cloud et des fournisseurs d’infrastructure de données. Si la réglementation financière européenne couvrait déjà le risque prudentiel et la stabilité des marchés, le risque opérationnel numérique relevait d’un ensemble fragmenté de règles nationales et d’attentes des superviseurs. Cette fragmentation créait des niveaux de résilience inégaux et compliquait la supervision transfrontalière. DORA a été adopté pour répondre à trois défis structurels : la montée des risques TIC et cyber touchant des services financiers critiques des approches réglementaires incohérentes entre les États membres de l’UE une dépendance croissante aux prestataires technologiques tiers, souvent concentrée sur un petit nombre de fournisseurs En fixant des exigences communes, DORA vise à réduire le risque systémique, à améliorer la visibilité des superviseurs et à éviter que des défaillances numériques ne compromettent la stabilité financière. Ce que couvre DORA DORA est un règlement européen directement applicable : il n’a pas besoin d’être transposé en droit national. Cela garantit une mise en œuvre cohérente dans tous les États membres. Les entités concernées Le règlement s’applique à un large éventail d’entités financières, notamment : les établissements de crédit et les banques les entreprises d’assurance et de réassurance les entreprises d’investissement et les gestionnaires d’actifs les établissements de paiement et les établissements de monnaie électronique les infrastructures de marché, comme les plateformes de négociation et les dépositaires centraux de titres certains prestataires de services sur crypto-actifs soumis aux règles financières de l’UE DORA introduit en outre un cadre de supervision pour les prestataires tiers critiques de services TIC. Il s’agit de fournisseurs technologiques dont les services sont essentiels au fonctionnement des entités financières, comme l’infrastructure cloud, l’hébergement de données et les plateformes de traitement centrales. Des prestataires non européens peuvent aussi entrer dans le champ d’application s’ils fournissent des services TIC critiques à des institutions financières européennes réglementées. Les cinq piliers de DORA DORA organise ses exigences autour de cinq piliers interdépendants qui, ensemble, définissent la résilience opérationnelle numérique. 1. Gestion des risques liés aux TIC Les entités financières doivent mettre en place un cadre complet de gestion des risques TIC, aligné sur leur stratégie métier et leur appétence au risque. Cela comprend l’identification des systèmes critiques, la cartographie des dépendances et la définition de contrôles pour prévenir, détecter et traiter les perturbations TIC. La gestion des risques ne se limite pas à la cybersécurité. Elle couvre aussi la disponibilité des systèmes, l’intégrité des données, la gestion des capacités et les capacités de restauration. La gouvernance est une exigence centrale, avec une responsabilité claire au niveau de la direction et du conseil d’administration. 2. Notification des incidents liés aux TIC DORA introduit des exigences standardisées pour l’identification, la classification et la notification des incidents liés aux TIC. Les incidents majeurs doivent être signalés aux autorités compétentes dans des délais définis, puis faire l’objet de rapports intermédiaires et finaux à mesure que les investigations avancent. Cette approche structurée permet aux superviseurs d’évaluer l’impact des incidents non seulement au niveau de chaque établissement, mais aussi à l’échelle du système financier. Elle incite aussi les organisations à améliorer leurs processus internes de détection et d’escalade. 3. Tests de résilience opérationnelle numérique Pour valider les mesures de résilience, DORA impose des tests réguliers des systèmes et contrôles TIC. Cela inclut des tests de base, comme les évaluations de vulnérabilités et les exercices fondés sur des scénarios, ainsi que des tests plus avancés pour les entités plus grandes ou d’importance systémique. Certaines institutions financières doivent réaliser des tests de pénétration fondés sur la menace (TLPT), conçus pour simuler des scénarios d’attaque réalistes contre les systèmes critiques. L’objectif est d’identifier les faiblesses avant qu’elles ne puissent être exploitées lors d’incidents réels. 4. Gestion des risques liés aux prestataires tiers de services TIC DORA accorde une importance particulière aux risques liés aux prestataires TIC tiers. Les entités financières doivent tenir des inventaires détaillés de leurs fournisseurs TIC, évaluer le risque de concentration et s’assurer que les contrats comportent des dispositions claires sur la sécurité, la disponibilité, les droits d’audit et les stratégies de sortie. Pour les prestataires jugés critiques au niveau européen, DORA établit un mécanisme de supervision centralisé. Les superviseurs peuvent ainsi évaluer directement les risques systémiques liés aux grands fournisseurs technologiques qui soutiennent une part importante du secteur financier. 5. Dispositifs de partage d’informations Pour améliorer la résilience collective, DORA encourage des dispositifs volontaires de partage d’informations entre entités financières. Ces dispositifs portent sur l’échange de renseignements sur les menaces, d’indicateurs de compromission et d’enseignements tirés des incidents. Si la participation est facultative, ce cadre favorise une plus grande transparence et une meilleure coordination face aux nouvelles menaces numériques. Gouvernance et responsabilité dans le cadre de DORA L’un des aspects marquants de DORA est l’accent mis sur la gouvernance. La résilience opérationnelle numérique y est traitée comme un enjeu stratégique plutôt que purement technique. Les organes de direction sont censés : approuver les stratégies de gestion des risques TIC superviser la mise en œuvre des mesures de résilience allouer des ressources suffisantes aux risques et à la sécurité TIC examiner les rapports d’incidents et les résultats des tests Cette importance donnée à la gouvernance reflète le fait que les perturbations opérationnelles peuvent avoir des conséquences financières, juridiques et réputationnelles, tant pour l’organisation que pour le système dans son ensemble. Le rôle des prestataires tiers DORA reconnaît formellement que la résilience financière dépend de plus en plus de fournisseurs technologiques externes. Les plateformes cloud, les systèmes de stockage de données et les services logiciels sont profondément intégrés aux opérations financières. Avec DORA, les entités financières restent pleinement responsables des risques introduits par les services TIC de tiers. Cela exige : un suivi continu des performances des prestataires des garanties contractuelles claires des stratégies de sortie et de substitution documentées une évaluation des risques de concentration systémique Pour les fournisseurs technologiques qui servent plusieurs institutions financières, DORA instaure une attention directe des superviseurs au niveau européen. L’objectif est de réduire le risque qu’une défaillance d’un seul prestataire perturbe de larges pans du système financier. Les bénéfices de la conformité à DORA Si la conformité à DORA introduit de nouvelles exigences opérationnelles et de gouvernance, elle apporte aussi des bénéfices concrets. Une résilience opérationnelle renforcée En formalisant les tests de résilience, la gestion des incidents et la planification de la reprise, les organisations améliorent leur capacité à résister aux perturbations et à s’en remettre. Une cohérence réglementaire Un cadre européen unique réduit la complexité liée au respect de règles nationales et d’attentes des superviseurs divergentes. Une meilleure visibilité sur les risques TIC Le reporting et la documentation standardisés améliorent la compréhension interne des dépendances et des vulnérabilités TIC. Une meilleure maîtrise du risque lié à la chaîne d’approvisionnement DORA renforce la supervision des prestataires TIC tiers, ce qui réduit l’exposition à des risques cachés ou non maîtrisés. Les difficultés de mise en œuvre De nombreuses organisations rencontrent des difficultés concrètes pour mettre en œuvre DORA, en particulier lorsque leurs environnements TIC sont complexes ou largement externalisés. Les difficultés courantes comprennent : la cartographie des actifs et des dépendances TIC dans les systèmes hérités l’alignement des processus de notification des incidents sur des délais stricts la mise à jour des contrats avec les prestataires tiers existants la coordination entre les équipes informatiques, risques, conformité et métier DORA s’appuie aussi sur des normes techniques de réglementation qui continuent d’évoluer, ce qui oblige les organisations à suivre les mises à jour et à ajuster leurs contrôles en conséquence. Se préparer à DORA en pratique Les organisations qui se préparent à DORA suivent généralement une démarche structurée : évaluer leur maturité actuelle en matière de gestion des risques TIC et de résilience identifier les écarts par rapport aux exigences de DORA renforcer les structures de gouvernance et de responsabilité formaliser les processus de classification et de notification des incidents revoir les accords avec les tiers et les risques de concentration mener des tests de résilience et corriger les faiblesses La formation et la sensibilisation sont également essentielles. Les collaborateurs jouent un rôle central dans la détection des incidents et l’exécution des plans de réponse, en particulier lors de perturbations sous forte pression. Sanctions et contrôle de l’application DORA comprend des mécanismes de contrôle pour garantir la conformité. Les autorités de supervision peuvent imposer des mesures administratives et des sanctions financières en cas de non-conformité, selon la gravité et l’impact. Pour les prestataires tiers critiques de services TIC, les mesures peuvent aussi inclure des exigences de remédiation contraignantes ou, dans les cas extrêmes, des limitations de la fourniture de services. DORA, un cadre de résilience à long terme Le règlement sur la résilience opérationnelle numérique marque un changement structurel dans la réglementation du risque numérique au sein du secteur financier européen. Plutôt que de se concentrer uniquement sur la prévention, DORA met l’accent sur la capacité à fonctionner malgré les perturbations et à se rétablir rapidement. Pour les institutions financières et leurs partenaires technologiques, DORA n’est pas un exercice de conformité ponctuel. Il établit un cadre permanent de gestion du risque numérique dans un environnement où les menaces, les technologies et les dépendances continuent d’évoluer. Les organisations qui abordent DORA comme une occasion de renforcer leurs fondations opérationnelles, plutôt que comme une contrainte réglementaire, sont mieux placées pour offrir des services financiers stables, sûrs et résilients sur le long terme.
