Kerson Wallaw
400-3 Place Ville Marie, Montréal QC H3B 2E3
Ph: (514) 312-1555
Réserver une consultation gratuite
Pick a time · Demander un rappel

DORA, la résilience par la réglementation.

Le règlement sur la résilience opérationnelle numérique (DORA) est le règlement européen qui oblige les banques, les assureurs, les établissements de paiement et les autres entités financières à démontrer qu’ils peuvent résister aux incidents informatiques, y réagir et s’en remettre. Il s’applique depuis le 2025-01-17 et s’étend à leurs fournisseurs technologiques par la voie des contrats.

Parler à un expertArticles connexes

DORA en bref.

Type
Règlement européen, directement applicable dans chaque État membre
Référence
Règlement (UE) 2022/2554, accompagné de la directive (UE) 2022/2556
En application depuis
2025-01-17
Qui est visé
Une vingtaine de types d’entités financières européennes et, indirectement, leurs fournisseurs informatiques
Supervision
Autorités nationales (en France, l’ACPR et l’AMF) et autorités européennes de surveillance (ABE, AEAPP, AEMF)
Prestataires critiques
Les prestataires désignés sont supervisés directement par les autorités européennes de surveillance

Quoi, pourquoi et pour qui.

Ce que c’est

Un cadre unique de résilience numérique pour le secteur financier européen, articulé autour de cinq piliers : la gestion du risque informatique, la classification et la notification des incidents, les tests de résilience opérationnelle numérique, la gestion du risque lié aux prestataires tiers et le partage volontaire d’informations sur les menaces.

Pourquoi il existe

Les services financiers dépendent désormais d’un petit nombre de fournisseurs technologiques. Une seule panne ou une seule cyberattaque peut se propager d’une institution et d’un pays à l’autre. DORA remplace des règles nationales dispersées par une norme commune et donne aux superviseurs une vue d’ensemble de la chaîne d’approvisionnement technologique.

À qui il s’applique

Banques, assureurs et réassureurs, entreprises d’investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, gestionnaires de fonds, intermédiaires d’assurance (sauf micro et petites entreprises) et autres entités financières. Les fournisseurs technologiques ne sont pas réglementés directement, mais leurs clients financiers doivent leur imposer les exigences de DORA par contrat : sécurité, notification des incidents, tests, droits d’audit et plans de sortie.

Autorité et sanctions

Chaque État membre désigne ses autorités compétentes et fixe les sanctions applicables aux entités financières ; en France, l’ACPR et l’AMF. Les autorités européennes de surveillance supervisent directement les prestataires informatiques critiques désignés et peuvent leur imposer des astreintes allant jusqu’à 1 % de leur chiffre d’affaires quotidien mondial moyen.

Comment on en est arrivé là.

  1. 2020-09-24

    La Commission européenne propose DORA dans le cadre de son paquet sur la finance numérique.

  2. 2022-12-27

    Le règlement (UE) 2022/2554 est publié au Journal officiel.

  3. 2023-01-16

    Entrée en vigueur, avec une période de mise en œuvre de deux ans.

  4. 2024

    Adoption des normes techniques sur le risque informatique, la notification des incidents, les contrats avec les prestataires et le registre d’informations.

  5. 2025-01-17

    DORA s’applique aux entités financières de toute l’Union.

  6. 2025

    Premiers registres d’informations sur les prestataires informatiques transmis aux superviseurs.

  7. 2025-11-18

    Les autorités européennes de surveillance publient la première liste de 19 prestataires tiers informatiques critiques.

Ce que cela change.

Systèmes et outils

  • Cartographie des services, des systèmes et des sous-traitants derrière ce que vous fournissez
  • Journalisation, surveillance et détection assez rapides pour permettre une notification rapide
  • Sauvegardes, reprise d’activité et tests de résilience

Processus

  • Notification des incidents à vos clients dans les délais convenus : ils doivent eux-mêmes déclarer les incidents majeurs en quelques heures
  • Tests d’intrusion et de résilience, y compris ceux menés par vos clients
  • Gestion des sous-traitants et préavis en cas de changement
  • Plans de sortie et restitution des données

Gouvernance

  • Clauses contractuelles alignées sur l’article 30 de DORA
  • Politiques de sécurité approuvées par la direction
  • Droits d’audit et d’accès pour vos clients et leurs superviseurs
  • Preuves prêtes pour les questionnaires fournisseurs ; une certification ISO 27001 aide

En cas de non-conformité

  • Échec aux évaluations fournisseurs et perte de clients du secteur financier
  • Droit de résiliation pour votre client si les exigences ne sont pas respectées
  • Retards au renouvellement le temps de renégocier les clauses
  • Pour les entités financières : mesures de supervision et sanctions fixées par chaque État membre

Changements à venir.

Changements annoncés et à venir

  • PropositionL’omnibus numérique de la Commission (2025-11-19) propose un point d’entrée européen unique, géré par l’ENISA, pour les notifications d’incidents au titre de DORA, de NIS 2 et du RGPD. Les obligations et les délais ne changeraient pas. Pas encore adopté.
  • Chaque annéeLes autorités européennes de surveillance mettent à jour la liste des prestataires tiers informatiques critiques.
  • En continuTests d’intrusion fondés sur la menace (TLPT) au moins tous les trois ans pour les entités financières les plus importantes, dans le cadre de programmes nationaux comme TIBER-FR.

Statut vérifié le 2026-11-04. Les dates peuvent changer ; confirmez auprès des sources officielles ci-dessous.