DORA en bref
DORA (Digital Operational Resilience Act), soit le règlement (UE) 2022/2554, impose au secteur financier européen un cadre unifié de résilience opérationnelle numérique. Le règlement entend par là la capacité à résister, à réagir et à se rétablir face à toute perturbation liée aux technologies de l'information. Publié fin 2022, il est applicable depuis le 17 janvier 2025. En tant que règlement, il s'applique directement dans les États membres, sans transposition nationale.
Le périmètre du règlement couvre une vingtaine de catégories d'entités financières, banques, établissements de paiement, établissements de monnaie électronique, entreprises d'investissement, assureurs, prestataires de services sur crypto-actifs (PSCA), etc. Il englobe aussi, et c'est une première, les prestataires tiers de services TIC dont ces entités dépendent, y compris les grands fournisseurs cloud.
Les cinq piliers
DORA s'articule autour de cinq piliers complémentaires, dont les autorités européennes de supervision (EBA, ESMA, EIOPA) précisent les modalités par des normes techniques (RTS / ITS).
| Pilier | Objet | Attendu concret |
|---|---|---|
| 1. Gestion du risque TIC | Gouvernance et maîtrise du risque | Cadre documenté, responsabilité de l'organe de direction, cartographie des actifs |
| 2. Gestion des incidents | Détection, classification, notification | Processus d'incident, seuils de gravité, reporting harmonisé aux autorités |
| 3. Tests de résilience | Éprouver les dispositifs | Tests réguliers ; tests avancés (TLPT) pour les entités significatives |
| 4. Risque lié aux tiers | Dépendance aux prestataires TIC | Registre d'information, clauses contractuelles, gestion de la concentration |
| 5. Partage d'information | Renseignement sur les menaces | Échange volontaire d'indicateurs de cybermenace entre entités |
Notification des incidents majeurs
DORA harmonise la notification des incidents TIC majeurs dans l'ensemble du secteur financier européen. L'entité doit d'abord classer l'incident selon des critères communs, clients affectés, durée, pertes de données, impact économique et portée géographique. Un incident qualifié de majeur déclenche ensuite une cascade de délais de reporting à l'autorité compétente.
Ces modèles et ces délais sont fixés par des normes techniques (RTS/ITS) élaborées par les autorités européennes. La difficulté pratique tient à la nécessité de qualifier vite un incident et de disposer d'un canal de reporting déjà en place. La fenêtre de quatre heures court pendant la gestion de crise elle-même.
Tests avancés (TLPT) et prestataires TIC critiques
Le pilier « tests » culmine avec le TLPT (Threat-Led Penetration Testing), un test d'intrusion fondé sur des scénarios de menace réalistes et calqué sur le cadre européen TIBER-EU. Une équipe offensive (red team) le mène sur les systèmes de production de l'entité testée. Seules les entités les plus significatives y sont soumises, à une fréquence d'au moins tous les trois ans.
Le pilier « tiers » institue un cadre de supervision directe des prestataires TIC critiques (CTPP), désignés à l'échelle de l'Union et surveillés par un superviseur principal issu des autorités européennes. Ce dispositif constitue la principale innovation du règlement. Il vise le risque de concentration, tout un secteur dépendant de quelques grands fournisseurs cloud dont la défaillance serait systémique.
DORA et NIS2 : lex specialis
DORA cohabite avec la directive NIS2 (directive (UE) 2022/2555). Cette directive forme le cadre général de cybersécurité de l'Union pour les entités essentielles et importantes de nombreux secteurs (énergie, santé, transport, numérique…). Pour le secteur financier, DORA joue le rôle de lex specialis, si bien que ses règles, plus précises, prévalent sur les dispositions équivalentes de NIS2.
| Critère | DORA | NIS2 |
|---|---|---|
| Nature | Règlement (applicable directement) | Directive (à transposer par chaque État) |
| Périmètre | Secteur financier + prestataires TIC | Secteurs essentiels et importants (large) |
| Application | 17 janvier 2025 | Transposition attendue le 17 octobre 2024 |
| Focus | Résilience opérationnelle numérique détaillée | Cadre général de cybersécurité et de gouvernance |
| Articulation | Lex specialis pour la finance | Cadre de droit commun |
NIS2, contrairement à DORA, exige une transposition dans chaque droit national. En France, ce travail, piloté avec l'ANSSI comme autorité compétente, a accusé du retard sur l'échéance européenne du 17 octobre 2024. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat en mars 2025, n'était toujours pas définitivement adopté en septembre 2026. Pour un établissement de paiement, le texte de référence reste DORA, même si un groupe aux activités diversifiées peut relever des deux textes selon ses filiales.
Et ailleurs dans le monde. Le même mécanisme, ailleurs.
Le délai de notification d'un incident informatique majeur au superviseur financier
Aux États-Unis, la règle commune de l'OCC, de la Réserve fédérale et de la FDIC (12 CFR parties 53, 225 et 304, applicable depuis le 1er mai 2022) impose à un établissement bancaire de prévenir son régulateur fédéral principal dès que possible et au plus tard 36 heures après avoir déterminé qu'un « notification incident » s'est produit. Le prestataire technique, de son côté, doit alerter chaque banque cliente dès qu'il constate un incident qui cause, ou risque raisonnablement de causer, une interruption ou une dégradation significative du service pendant quatre heures ou plus.
Federal Register, 86 FR 66424, 23 novembre 2021, https://www.govinfo.gov/content/pkg/FR-2021-11-23/pdf/2021-25510.pdf
En Australie, le standard prudentiel CPS 234 de l'APRA exige une notification dès que possible et en tout état de cause dans les 72 heures suivant la prise de connaissance d'un incident de sécurité de l'information ayant, ou pouvant avoir, un impact matériel sur l'entité ou sur les intérêts de ses clients (§ 35). Une faiblesse matérielle de contrôle que l'entité ne pense pas pouvoir corriger rapidement doit être signalée sous 10 jours ouvrés (§ 36).
APRA, Prudential Standard CPS 234 Information Security, juillet 2019, §§ 35-36, https://www.apra.gov.au/sites/default/files/cps_234_july_2019_for_public_release.pdf
Au Canada, l'avis du Bureau du surintendant des institutions financières sur le signalement des incidents liés à la technologie et à la cybersécurité impose aux institutions financières fédérales de déclarer l'incident à la Division du risque lié à la technologie et à leur chargé de surveillance dans les 24 heures, ou plus tôt si possible. Le seuil de déclenchement inclut tout incident classé par l'institution en gravité élevée ou critique.
BSIF, avis « Signalement des incidents liés à la technologie et à la cybersécurité », https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/technology-cyber-security-incident-reporting
La supervision des prestataires informatiques dont dépend le secteur financier
Au Royaume-Uni, le Financial Services and Markets Act 2000 permet au Trésor (HM Treasury) de désigner un fournisseur comme critical third party. Une fois désigné, il est supervisé directement et conjointement par la Banque d'Angleterre, la PRA et la FCA, qui peuvent lui imposer des règles, exiger des informations et engager des poursuites. Les régulateurs britanniques et les autorités européennes de surveillance ont signé un protocole d'accord pour coordonner cette supervision de part et d'autre.
Bank of England, Critical Third Parties (CTPs), https://www.bankofengland.co.uk/financial-stability/operational-resilience-of-the-financial-sector/critical-third-parties
En Australie, le standard CPS 230, en vigueur depuis le 1er juillet 2025, impose de tenir un registre des material service providers et de le transmettre à l'APRA chaque année. Les services technologiques cœur, la gestion des risques et l'audit interne y sont classés matériels par défaut pour toutes les entités régulées. Toute convention nouvelle ou modifiée portant sur une opération critique doit être notifiée à l'APRA sous 20 jours ouvrés, et tout projet d'externalisation à l'étranger avant sa conclusion.
APRA, Prudential Standard CPS 230 Operational Risk Management, §§ 49-51 et 59, https://www.apra.gov.au/system/files/2023-07/Prudential%20Standard%20CPS%20230%20Operational%20Risk%20Management%20-%20clean.pdf
Aux États-Unis, il n'existe pas de statut de prestataire informatique critique supervisé au niveau du secteur. L'OCC, la Réserve fédérale et la FDIC ont publié le 6 juin 2023 une guidance interagences unique sur la gestion du risque lié aux tiers, qui remplace les orientations propres à chaque agence et énonce des principes à décliner par chaque banque en proportion de sa taille, de sa complexité et de son profil de risque.
Federal Reserve Board, communiqué « Agencies issue final guidance on third-party risk management », 6 juin 2023, https://www.federalreserve.gov/newsevents/pressreleases/bcreg20230606a.htm
La tolérance d'interruption fixée pour un service critique
Au Royaume-Uni, la supervisory statement SS1/21 de la PRA, publiée le 29 mars 2021, demande à chaque banque, société de crédit immobilier et entreprise d'investissement désignée d'identifier ses important business services et de fixer pour chacun une impact tolerance, c'est-à-dire le niveau maximal d'interruption acceptable, puis de démontrer qu'elle est capable de s'y tenir.
Bank of England / PRA, SS1/21 Operational resilience: Impact tolerances for important business services, https://www.bankofengland.co.uk/prudential-regulation/publication/2021/march/operational-resilience-impact-tolerances-for-important-business-services-ss
En Australie, CPS 230 exige de définir des tolerance levels pour chaque opération critique, puis de prévenir l'APRA dès que possible et au plus tard 24 heures après une interruption qui sort de cette tolérance. La notification doit préciser la nature de la perturbation, les actions engagées, l'impact probable sur l'activité et le délai de retour à la normale (§ 42).
APRA, Prudential Standard CPS 230 Operational Risk Management, § 42, https://www.apra.gov.au/system/files/2023-07/Prudential%20Standard%20CPS%20230%20Operational%20Risk%20Management%20-%20clean.pdf
Au Canada, la ligne directrice E-21 du BSIF, publiée le 22 août 2024, demande de cartographier les opérations critiques de bout en bout, dépendances internes et externes comprises, et de fixer une tolérance à l'interruption, définie comme la perturbation maximale que l'institution peut absorber en situation de crise, un seuil distinct, et généralement plus large, que l'appétit pour le risque opérationnel.
BSIF, ligne directrice E-21 sur la gestion du risque opérationnel et la résilience opérationnelle, 22 août 2024, https://www.osfi-bsif.gc.ca/en/guidance/guidance-library/operational-risk-management-resilience-guideline