DORA : tout comprendre sur la nouvelle réglementation européenne en cybersécurité
Depuis janvier 2023, la réglementation européenne DORA impose aux entités du secteur financier des exigences strictes en matière de résilience opérationnelle numérique. L’objectif : garantir une cybersécurité renforcée, une continuité des activités et une gestion efficace des risques liés aux technologies de l’information et de la communication (TIC).
Dans cet article, découvrez tout ce qu’il faut savoir sur DORA : à qui s’applique-t-elle, que contient-elle, quelles sont les obligations, et comment vous préparer efficacement..
DORA?
Qu’est-ce que DORA ?
DORA, ou Digital Operational Resilience Act, est un règlement de l’Union européenne adopté en décembre 2022 et entré en vigueur en janvier 2023. Son objectif est de renforcer la résilience opérationnelle numérique des entités financières face aux cybermenaces et aux incidents informatiques.
Ce texte fait partie du paquet finance numérique et s’applique à l’ensemble du secteur financier, y compris les fournisseurs tiers de services informatiques critiques (cloud, données, etc.).
DORA?
Pourquoi DORA a-t-elle été mise en place ?
Avec la digitalisation croissante du secteur financier, les cyberattaques, pannes systèmes et incidents informatiques peuvent avoir des impacts systémiques à grande échelle. DORA répond à plusieurs enjeux :
- Renforcer la stabilité financière au sein de l’UE
- Harmoniser les règles de cybersécurité pour le secteur financier
- Mieux gérer les risques liés aux prestataires de services TIC
- Garantir la continuité des services financiers essentiels
Qui est concerné par DORA ?
DORA s’applique à une large gamme d’acteurs financiers :
- Banques, assurances, sociétés d’investissement
- Gestionnaires d’actifs, fonds d’investissement
- Prestataires de services de paiement et d’émission de monnaie électronique
- Intermédiaires financiers (conseillers, courtiers)
- Fournisseurs tiers de services TIC (cloud, data, sécurité, etc.)
Quelles sont les obligations imposées par DORA ?
Voici les 5 piliers fondamentaux de DORA :
1. Gestion des risques liés aux TIC
Les entités doivent établir un cadre robuste de gestion des risques informatiques, incluant des politiques, procédures et outils de détection, prévention et réponse aux incidents.
2. Signalement des incidents majeurs
Obligation de signaler tout incident grave de cybersécurité ou de perturbation technique à l’autorité compétente sous 24 heures.
3. Tests de résilience opérationnelle
Des tests réguliers (y compris des tests de pénétration) doivent être réalisés pour évaluer la robustesse des systèmes d’information.
4. Surveillance des fournisseurs TIC
Les entités doivent mettre en place une gestion rigoureuse des sous-traitants informatiques, avec des contrats conformes et un suivi des risques tiers.
5. Partage d’information
Promotion de la collaboration entre acteurs du secteur pour échanger des informations sur les menaces cyber, attaques et bonnes pratiques.
Quel est le calendrier de mise en œuvre de DORA ?
- Janvier 2023 : Entrée en vigueur
- 17 janvier 2025 : Date limite de conformité pour les entités concernées
Les entreprises doivent donc dès maintenant lancer leurs démarches de conformité, évaluer leur exposition aux risques et ajuster leur gouvernance IT.
Comment se préparer à DORA ?
Voici les étapes clés d’une démarche de mise en conformité :
- Réaliser un audit de maturité cyber et IT
- Mettre en place ou renforcer un cadre de gouvernance TIC
- Cartographier les fournisseurs et prestataires critiques
- Mettre à jour les processus de gestion de crise et de continuité
- Former les équipes à la gestion des incidents
- Planifier les tests de résilience (scénarios de crise, red team, etc.)
DORA et les autres réglementations : comment s’articule-t-elle avec NIS2, RGPD et Bâle III ?
DORA ne remplace pas les réglementations existantes, elle vient les compléter.
- NIS2 : couvre la cybersécurité à l’échelle sectorielle
- RGPD : protection des données personnelles
- Bâle III / Solvabilité II : cadre prudentiel
→ DORA agit comme une couche spécifique sur la résilience IT et la gestion du risque cyber .
Pourquoi anticiper dès maintenant ?
Le non-respect de DORA pourra entraîner des sanctions financières, une perte de confiance des clients, voire des restrictions d’activité. Anticiper, c’est :
- Réduire le risque de cyberattaque
- Renforcer votre conformité réglementaire
- Améliorer votre performance opérationnelle
- Préserver la continuité de vos services financiers
Besoin d’accompagnement pour vous mettre en conformité avec DORA ?
Notre équipe d’experts PROBE IT vous accompagne dans l’audit, la stratégie, la mise en conformité et la gestion des risques liés à DORA.
Contactez-nous pour un diagnostic gratuit de votre maturité cyber.
f.a.q.
DORA et cybersécurité : les réponses à vos questions
Vous vous interrogez sur le règlement DORA et ses implications ?
Découvrez ci-dessous les réponses aux questions les plus fréquentes sur la conformité, les obligations, les acteurs concernés et les échéances clés.
Cette FAQ vous aide à mieux comprendre les enjeux de DORA pour votre entreprise et à anticiper sereinement sa mise en œuvre.
Le règlement DORA (Digital Operational Resilience Act) est une législation européenne adoptée en 2022 visant à renforcer la résilience opérationnelle numérique des entités financières. Il impose des obligations précises en matière de cybersécurité , de gestion des risques liés aux TIC, de reporting d’incidents et de tests de résilience.
DORA s’applique à plus de 22 catégories d’acteurs financiers, notamment :
- Les banques, compagnies d’assurance, sociétés d’investissement
- Les prestataires de services de paiement, fintechs, et émetteurs de monnaie électronique
- Les gestionnaires d’actifs et fonds d’investissement
- Les prestataires de services TIC critiques (cloud, hébergement, sécurité, etc.)
💡 Même les prestataires informatiques travaillant avec ces entités sont désormais concernés.
DORA impose aux organisations :
- De mettre en place une gouvernance des risques TIC
- De signaler les incidents majeurs à l’autorité compétente
- De réaliser régulièrement des tests de résilience (incluant des tests d’intrusion)
- De gérer rigoureusement les fournisseurs TIC critiques
- De favoriser le partage d’informations liées à la cybersécurité
- DORA est entré en vigueur en janvier 2023, mais les entités concernées ont jusqu’au 17 janvier 2025 pour se mettre en conformité. Ce délai permet aux organisations d’adapter leur stratégie IT et cybersécurité.
Les sanctions peuvent inclure :
- Des amendes financières significatives, fixées par les autorités nationales
- Des restrictions d’activité ou retraits d’agrément
- Une atteinte à la réputation de l’entreprise et une perte de confiance des clients et partenaires
Non. DORA complète les autres réglementations :
- Il se concentre spécifiquement sur la résilience opérationnelle numérique dans le secteur financier
- Il est complémentaire de NIS2 (cybersécurité sectorielle) et du RGPD (protection des données personnelles)
Voici les étapes clés :
- Réaliser un diagnostic de maturité cyber
- Mettre à jour les procédures de gestion des risques TIC
- Cartographier les prestataires critiques
- Établir un plan de gestion des incidents
- Organiser des tests de résilience
- Sensibiliser les collaborateurs
- Oui, DORA ne fait pas de distinction de taille. Si une PME, une startup ou une fintech opère dans le secteur financier ou fournit des services critiques à des entités financières, elle est soumise à DORA.
- Les cabinets spécialisés en cybersécurité comme PROBE IT peuvent vous accompagner. Ils proposent des audits DORA, des plans de mise en conformité, des tests de résilience et des formations pour vos équipes.