Conformité DORA : le hub opérationnel pour auditeurs, compliance et RSSI

Hub

Conformité DORA : le hub opérationnel pour auditeurs, compliance et RSSI

Le secteur de la conformité cyber est en constante évolution. Les règles de conformité DORA sont depuis janvier 2025 une obligation pour les entreprises du secteur financier. Nous vous aidons à y voir plus clair.

1. Qu’est-ce que DORA ?

Depuis janvier 2025, DORA (Digital Operational Resilience Act) encadre la cybersécurité des banques, assurances et infrastructures de marché en Europe. Son but : garantir leur fonctionnement même en cas de cyberattaque. En tant qu'opérationnel, il est facile de s'y perdre, on vous aide à faire le point.

La réglementation DORA (Digital Operational Resilience Act) est une loi européenne appliquée depuis janvier 2025 pour protéger le secteur financier contre les risques cyber. Elle impose aux banques, assurances et infrastructures de marché (bourses, etc.) des exigences strictes en matière de gestion des risques liés aux TIC (technologies de l’information et de la communication), tests de résistance et reporting des incidents… Son but est d’assurer la continuité des services en cas de panne ou d’attaque, en encadrant aussi les relations avec les prestataires externes.
Click on the Edit Content button to edit/add the content.

2. Les exigences de conformité DORA par fonction

DORA ne s’applique pas de la même manière à tous. Audit, RSSI, DSI, conformité ou juridique : chaque métier a des responsabilités précises, des tests à mener ou des registres à tenir. Voici ce que la réglementation attend des acteurs et secteurs clés.

Click on the Edit Content button to edit/add the content.
Click on the Edit Content button to edit/add the content.
  • Documentation des processus : Maintenir une documentation à jour des systèmes, des architectures et des procédures de reprise d’activité (PRA).
  • Collaboration avec les prestataires : S’assurer que les contrats avec les fournisseurs TIC incluent des clauses de conformité à DORA (ex : obligations de reporting, niveaux de service).
  • Maintenance des systèmes : Garantir la disponibilité et l’intégrité des systèmes critiques, avec des mises à jour régulières.
  • Interopérabilité : Veiller à ce que les systèmes soient compatibles avec les exigences de reporting imposées par DORA.

­Calendrier réglementaire (en vigueur depuis le 17 janvier 2025)

3. Délais, sanction et points de contrôle

 Dates importantes

  • 16 janvier 2023 : Entrée en vigueur du règlement DORA (publication au Journal officiel de l’UE).

  • 17 janvier 2025 : Application obligatoire dans tous les États membres de l’UE. Les institutions financières et leurs prestataires TIC critiques doivent être conformes dès cette date.

  • 23 juillet 2025 : Entrée en vigueur du Règlement délégué (UE) 2025/532, qui précise les exigences techniques liées à la sous-traitance et aux relations avec les prestataires tier.

Identification, évaluation et atténuation continue des risques liés aux technologies de l’information et de la communication.

Click on the Edit Content button to edit/add the content.

Détection, réponse et reporting sous 72 heures pour les incidents majeurs, avec notification immédiate aux autorités compétentes.

Entités financières (banques, assurances, infrastructures de marché, etc.)

  • Sanctions financières : Jusqu’à 2 % du chiffre d’affaires annuel.
  • Mesures administratives : Injonctions, suspension temporaire de l’utilisation de services fournis par un prestataire tiers critique, ou retrait d’agrément dans les cas extrêmes.
  • Responsabilité des dirigeants : Risque de sanctions personnelles (responsabilité administrative ou pénale) en cas de manquement grave.

 

Prestataires tiers de services TIC critiques (cloud, logiciels, data centers, etc.)

  • Sanctions pécuniaires : Amendes pouvant atteindre 1 % du chiffre d’affaires annuel total.
  • Contrôles renforcés : Les autorités (ex : ACPR, AMF, ANSSI) peuvent effectuer des contrôles sur pièces ou sur place et imposer des mesures correctives. 

 

PME et autres entreprises indirectement concernées

  • Sanctions jusqu’à 10 millions d’euros pour les PME non conformes, surtout si elles sont prestataires de services TIC pour le secteur financier.
  • Effet de cascade : Si une PME sous-traite à un prestataire critique, elle peut être tenue responsable en cascade et soumise aux mêmes sanctions que les grands acteurs.

4. DORA par rapport aux autres réglementations

Dans le paysage complexe de la cybersécurité, DORA, NIS2 et ISO 27001 jouent des rôles distincts mais complémentaires. Si DORA et NIS2 sont des textes obligatoires pour le secteur financier et les infrastructures critiques, ISO 27001 reste une norme volontaire largement adoptée. Voici comment ces cadres s’articulent et se différencient.

Click on the Edit Content button to edit/add the content.
  • DORA est une obligation légale européenne, avec des sanctions en cas de non-respect (amendes jusqu’à 2 % du CA pour les entités financières).
  • ISO 27001 est une norme internationale volontaire, qui définit un cadre pour la gestion de la sécurité de l’information (SGSI). Elle est souvent utilisée comme référence pour se conformer à DORA, mais ne suffit pas à elle seule : DORA impose des exigences spécifiques et contraignantes (ex : tests de pénétration annuels, registres d’information pour les prestataires tiers).

5. Les cinq piliers DORA

Pour aider les institutions financières et leurs prestataires à y voir plus clair, DORA s’articule autour de 5 piliers essentiels. Ces fondements couvrent tous les aspects critiques de la résilience numérique, de la gestion des risques aux relations avec les tiers. Voici ce qu’il faut retenir.

Identification, évaluation et atténuation continue des risques liés aux technologies de l’information et de la communication.

Click on the Edit Content button to edit/add the content.

Détection, réponse et reporting sous 72 heures pour les incidents majeurs, avec notification immédiate aux autorités compétentes.

Click on the Edit Content button to edit/add the content.

Obligations contractuelles renforcées (niveaux de service, droits d’audit, plans de sortie) et intégration dans un Registre d’Information (RoI).

Dernières publications

Liens utiles & ressources officielles

Pour aller plus loin et vous appuyer sur des références reconnues, voici une sélection de ressources issues des autorités françaises et européennes :

  • ANSSI – Guide d’hygiène informatique
  • ANSSI – Bonnes pratiques & guides essentiels
  • Cybermalveillance.gouv.fr – Kit de sensibilisation
  • CNIL – Protection des données & sécurité
  • Commission européenne / EU

FAQs

Priorités :

1 Cartographier les entités concernées et les prestataires tiers,

2 Mettre à jour les contrats avec des clauses DORA (droit d’audit, obligations de reporting),

3 Créer un Registre d’Information (RoI) pour les prestataires ICT,

4 Former les équipes aux tests de résilience (TLPT) et aux procédures d’incident.

Oui, si elles sont prestataires de services ICT pour le secteur financier (ex : hébergeurs, éditeurs de logiciels). Les PME peuvent bénéficier d’allègements ciblés (ex : amendements NIS2 de janvier 2026 pour clarifier le périmètre), mais restent soumises aux exigences de sécurité essentielles.

DORA repose sur 5 piliers : 1 Gestion des risques TIC,

2 Tests de résilience (dont tests de pénétration annuels),

3 Gestion des incidents (reporting sous 72h pour les incidents majeurs),

4 Partage d’informations sur les cybermenaces,

5 Encadrement strict des prestataires tiers ICT (contrats, audits, registres).

DORA impose d’intégrer des clauses obligatoires dans les contrats : niveaux de service (SLA), droits d’audit, obligations de notification des incidents, plans de sortie (exit strategy), et garanties de continuité. Les contrats doivent aussi prévoir des mécanismes de responsabilité partagée en cas de faille.

.

Les quatre principaux enjeux de la mise en conformité avec DORA

Découvrir notre solution

Identifier et cartographier l’ensemble des actifs numériques

Enjeux 1
  • L’un des premiers défis auxquels les organisations sont confrontées dans le cadre de DORA consiste à établir une cartographie exhaustive de leur environnement informatique. Cette démarche implique de recenser l’ensemble des actifs matériels, logiciels, applications, infrastructures, flux de données et dépendances techniques présents au sein du système d’information.
  • Au-delà d’un simple inventaire, l’enjeu est de déterminer quels actifs sont essentiels au bon fonctionnement des activités de l’entreprise afin de prioriser leur protection. Une visibilité précise sur ces ressources permet non seulement de mieux évaluer les risques, mais également de garantir une restauration rapide et efficace des services critiques en cas d’incident ou de cyberattaque.

Renforcer la protection des données grâce à la cryptographie

Enjeux 2
  • La sécurisation des données représente un autre chantier majeur dans la mise en œuvre de DORA. Les organisations doivent définir et déployer des mécanismes de protection adaptés afin de garantir la confidentialité, l’intégrité et la disponibilité des informations sensibles.
  • Cela implique notamment la mise en place de stratégies de chiffrement robustes pour protéger les données aussi bien lorsqu’elles sont stockées dans les systèmes d’information que lorsqu’elles transitent entre différents environnements ou partenaires.

Mettre en place une segmentation efficace des réseaux

Enjeux 3
  • La capacité à limiter la propagation d’une cyberattaque est devenue un élément central de la résilience opérationnelle. Pour répondre à cet objectif, les organisations sont encouragées à renforcer l’architecture de leur réseau grâce à des mécanismes de segmentation adaptés.
  • Cette approche consiste à cloisonner les différents environnements, applications ou catégories d’utilisateurs afin d’éviter qu’une compromission localisée ne puisse affecter l’ensemble du système d’information.

Répondre aux exigences de notification des incidents

Enjeux 4
  • DORA introduit également des obligations strictes en matière de gestion et de déclaration des incidents liés aux technologies de l’information et de la communication (TIC). Les établissements concernés doivent être en mesure de détecter rapidement un événement, d’en évaluer la gravité et de le notifier aux autorités compétentes dans des délais réglementaires précis.
  • Pour atteindre ce niveau de réactivité, il est indispensable de mettre en place des processus formalisés de qualification, de classification, d’escalade et de notification des incidents. Cette exigence nécessite souvent une évolution des procédures existantes, une meilleure coordination entre les équipes techniques, sécurité, conformité et direction.

Rappel

Pourquoi sensibiliser à la cybersécurité est important ?

La cybersécurité ne repose pas uniquement sur des solutions techniques : elle dépend aussi, et surtout, du comportement des collaborateurs. Une majorité des incidents de sécurité trouve son origine dans des erreurs humaines, souvent évitables.

Sensibiliser les équipes permet de réduire ces risques, en développant les bons réflexes face aux menaces courantes comme le phishing, les ransomwares ou la fuite de données.

Au-delà de la prévention, c’est aussi un levier pour protéger les actifs sensibles de l’entreprise et préserver sa réputation en cas d’incident.

Enfin, la sensibilisation répond à un impératif de conformité : de nombreuses réglementations exigent désormais que le personnel soit formé régulièrement aux enjeux de sécurité.

1. Réduire les risques de cyberattaques et d'erreurs humaines

Les failles de sécurité en entreprise sont très souvent liées à des comportements humains involontaires : clic sur un lien piégé, ouverture d’une pièce jointe suspecte, utilisation de mots de passe trop simples ou partagés. Ces erreurs sont évitables grâce à une sensibilisation régulière et adaptée.

Former les salariés permet de leur transmettre les bons réflexes : détecter un e-mail de phishing, éviter les arnaques courantes, adopter une hygiène numérique rigoureuse. En les rendant acteurs de la cybersécurité, on réduit significativement les risques d’intrusion, de compromission ou de paralysie des systèmes d’information.

2. Protéger les données sensibles et la réputation de l’entreprise

Les données confidentielles – qu’elles concernent les clients, les employés ou les partenaires – sont une cible de choix pour les cybercriminels. Une fuite ou un vol d’information peut causer des pertes financières lourdes, mais aussi nuire gravement à l’image de marque de l’entreprise.

Sensibiliser les collaborateurs, c’est leur faire prendre conscience de la valeur de ces données et de leur rôle dans leur protection. Une équipe bien formée agit avec prudence, signale les comportements suspects et applique les bonnes pratiques, ce qui rassure les clients, les fournisseurs et renforce durablement la confiance.

3. Assurer la conformité aux normes et réglementations

La conformité réglementaire est un enjeu stratégique. Le RGPD, la norme ISO 27001 ou encore les directives sectorielles imposent un haut niveau de sécurité, notamment en matière de formation et de sensibilisation du personnel. Ne pas respecter ces obligations expose l’entreprise à des sanctions financières sévères, mais aussi à une perte de crédibilité auprès des partenaires.

Intégrer des sessions de sensibilisation dans la stratégie de cybersécurité permet non seulement de se mettre en conformité, mais aussi de prouver son engagement actif en matière de protection des données.