DORA : la résilience numérique du secteur financier

Ce qui s'applique depuis 2025

DORA est un règlement : publié au Journal officiel de l'Union le 27 décembre 2022, il s'applique tel quel dans chaque État depuis le 17 janvier 2025, sans loi de transposition. Il harmonise la façon dont le secteur financier gère le risque lié aux technologies de l'information et de la communication (TIC), et fait entrer ses prestataires TIC dans le champ.

Deux textes de la Commission en précisent l'application et se lisent avec lui : le règlement délégué (UE) 2024/1774 sur les outils, méthodes et politiques de gestion du risque lié aux TIC, cadre simplifié compris, et le règlement délégué (UE) 2025/301 sur le contenu et les délais des notifications d'incidents majeurs.

Qui est concerné

L'article 2 dresse la liste de vingt types d'entités financières, puis y ajoute leurs prestataires tiers de services TIC. Quelques acteurs en sont exclus, par exemple les intermédiaires d'assurance qui sont des micro, petites ou moyennes entreprises, ou les institutions de retraite professionnelle de quinze affiliés au plus.

Les règles s'appliquent selon la taille, le profil de risque et la complexité des activités. Un cadre simplifié (article 16) remplace les articles 5 à 15 pour certaines petites entités, notamment les petites entreprises d'investissement non interconnectées, les établissements de paiement et de monnaie électronique exemptés et les petites institutions de retraite professionnelle.

Ce qu'il faut tenir

Les chapitres II à VI portent les exigences. Les suivants organisent les autorités, les sanctions et l'entrée en application.

Gestion du risque lié aux TICChapitre II, articles 5 à 16

Un cadre de gestion du risque lié aux TIC, défini, approuvé et supervisé par l'organe de direction, qui en est responsable. Il est documenté et réexaminé au moins une fois par an (périodiquement pour les microentreprises), et après un incident majeur.

Incidents liés aux TICChapitre III, articles 17 à 23

Un processus de gestion des incidents, leur classification selon des critères communs, et la notification des incidents majeurs en trois rapports.

Tests de résilienceChapitre IV, articles 24 à 27

Un programme de tests mené par des parties indépendantes. Hors microentreprises, les systèmes qui soutiennent des fonctions critiques ou importantes sont testés au moins une fois par an ; les entités désignées passent un test de pénétration fondé sur la menace (TLPT) au moins tous les trois ans, en production.

Prestataires tiers de services TICChapitre V, articles 28 à 44

L'entité reste pleinement responsable de ses obligations quand elle externalise. Elle tient une stratégie de risque des prestataires et un registre d'informations de tous ses contrats de services TIC, avec des clauses minimales (article 30) ; les prestataires désignés critiques relèvent d'une supervision européenne (articles 31 et suivants).

Partage d'informationsChapitre VI, article 45

L'échange volontaire de renseignements sur les cybermenaces entre entités financières.

Notifier un incident majeur

Un incident lié aux TIC classé majeur se notifie à l'autorité compétente en trois rapports, dans les délais du règlement délégué (UE) 2025/301.

1. 4 hNotification initialeQuatre heures après la classification comme majeur, et au plus tard 24 heures après en avoir eu connaissance.
2. 72 hRapport intermédiaireAu plus tard 72 heures après la notification initiale, puis actualisé, notamment quand les activités normales ont repris.
3. 1 moisRapport finalAu plus tard un mois après le dernier rapport intermédiaire.

Un délai qui tombe un week-end ou un jour férié peut aller jusqu'à midi le jour ouvrable suivant. L'assouplissement ne vaut pas, pour la notification initiale et le rapport intermédiaire, aux établissements de crédit, aux contreparties centrales, aux plates-formes de négociation ni aux entités essentielles ou importantes au sens de NIS 2.

Par où commencer

Pour un RSSI qui reprend le sujet, voici l'ordre que nous recommandons.

1. Le registre d'informations.L'article 28 l'exige pour tous les contrats de services TIC, au niveau de l'entité et aux niveaux sous-consolidé et consolidé. Sans lui, ni la stratégie de risque des prestataires ni la revue des contrats ne tiennent.
2. La classification des incidents.Le délai de quatre heures court à partir de la classification comme majeur. Pour un établissement de crédit ou une entité essentielle ou importante au sens de NIS 2, le week-end n'accorde aucun répit sur les deux premiers rapports : il faut pouvoir classer à toute heure.
3. Les contrats des fonctions critiques ou importantes.L'article 30 leur impose des clauses en plus de celles exigées pour tout contrat TIC : reprenez ceux-là d'abord.
4. Le programme de tests.Au moins une fois par an pour les systèmes qui soutiennent ces fonctions, hors microentreprises ; le TLPT ne concerne que les entités désignées, au moins tous les trois ans.

DORA et NIS 2

Pour les entités financières, DORA est l'acte sectoriel de NIS 2 : ses règles sur la gestion du risque lié aux TIC, les incidents, les tests, le partage d'informations et les prestataires tiers s'appliquent à la place de celles de NIS 2. Le lien avec les autorités NIS 2 demeure, pour l'échange d'informations.