DORA : un levier de transformation pour renforcer la résilience opérationnelle numérique des entreprises financières

L'essentiel de votre hack'tu cybersécurité

• Objectif et champ d'application de DORA : le règlement européen DORA, entré en vigueur en janvier 2023, vise à renforcer la résilience numérique du secteur financier européen en harmonisant la gestion des risques liés aux TIC et aux cybermenaces pour garantir la continuité des services essentiels ; 

• Les entités concernées par DORA : la réglementation concerne plus de 20 000 entités financières et leurs prestataires de services TIC, y compris banques, assureurs, fintechs, fournisseurs de cloud, et autorités de régulation, avec un cadre unifié pour toute l’Union européenne ; 

• Les exigences clés de DORA : DORA impose la gestion proactive des risques, la détection et la notification des incidents, des tests réguliers de résilience, la supervision des fournisseurs tiers, et le partage sécurisé d’informations, avec une gouvernance renforcée pour assurer la conformité et la sécurité du secteur.

Qu'est-ce que la règlementation DORA ?

Le règlement européen DORA (Digital Operational Resilience Act, règlement UE 2022/2554) est entré en vigueur le 16 janvier 2023 et en application depuis le 17 janvier 2025. Il concerne les entités financières et leurs prestataires de services liés aux technologies de l’information et de la communication (TIC). Son objectif principal : renforcer la résilience numérique du secteur financier européen en harmonisant les exigences en matière de gestion des risques liés aux TIC et aux cybermenaces. Au-delà des obligations réglementaires, DORA représente une opportunité pour les entreprises de renforcer concrètement leur cybersécurité, la protection des données et leur conformité face aux défis du numérique.

DORA : une réglementation pour renforcer la résilience du secteur financier européen

Le règlement Digital Operational Resilience Act (DORA) a pour ambition d’impliquer un pilotage continu et proactif afin de garantir la continuité opérationnelle des entités financières et de leurs prestataires informatiques face à l’évolution des risques et cyberattaques et incidents majeurs. Il vise à préserver la stabilité et la disponibilité des services essentiels tels que les opérations bancaires, les systèmes de paiement, les services d’assurance et les infrastructures de marché, quelles que soient les circonstances.

Cette réglementation répond à une nécessité urgente : le secteur financier dépend massivement de solutions technologiques complexes telles que le cloud computing, les applications mobiles, les plateformes de transactions numériques et les systèmes automatisés à grande échelle. Une disruption technique ou cybernétique dans cette chaîne peut provoquer un effet domino catastrophique, affectant des millions d’utilisateurs, entraînant des pertes financières majeures et menaçant la stabilité économique européenne.

DORA évite également la fragmentation réglementaire en imposant un cadre unifié et homogène, facilitant ainsi la supervision coordonnée et la gestion proactive des risques numériques à travers l’ensemble de l’Union européenne.

DORA : quelles entités sont concernées ?

DORA impacte un large éventail d'acteurs du secteur financier et technologique, tant traditionnels qu’émergents :

• Entités financières « traditionnelles » : banques, assureurs, réassureurs, sociétés de gestion d’actifs, prestataires de services de paiement ; 
   
• Nouveaux acteurs financiers : fintechs ⁽¹⁾, néo-banques, plateformes de trading électronique, fournisseurs et émetteurs de cryptoactifs ⁽²⁾ ;
   
• Fournisseurs de services numériques (TIC) : hébergeurs, opérateurs cloud, éditeurs logiciels, sociétés spécialisées en cybersécurité, fournisseurs d’infrastructures critiques, même situés hors UE lorsqu'ils offrent leurs services aux entreprises européennes ;
   
• Autorités de régulation et superviseurs : ces instances sont tenues d’intégrer et d’appliquer les nouvelles exigences de DORA dans leurs activités quotidiennes et leur processus de supervision.

Au total, plus d’une vingtaine de milliers d’entités financières et leurs prestataires au sein de l’union européenne doivent assurer leur conformité à cette nouvelle réglementation.

DORA : le mot du cyber expert

DORA est une véritable opportunité stratégique : en intégrant conformité réglementaire, cybersécurité et gestion proactive des risques, les entreprises peuvent renforcer leur résilience opérationnelle dès la conception. C’est un levier puissant pour transformer les contraintes réglementaires en avantage compétitif durable. Aïcha Mir Directrice Conseil & Audit Île-de-France Orange Cyberdefense

Quelles sont les exigences concrètes de DORA ?

DORA s’articule autour de cinq piliers essentiels, formant un cadre clair et opérationnel pour renforcer la résilience numérique :

• Gestion des risques liés aux TIC : identifier, cartographier et surveiller continuellement les fonctions et les actifs critiques ou importantes, réaliser des évaluations périodiques des risques, établir, tester et actualiser régulièrement des plans de continuité d’activité et de reprise après incident ; 
   
• Gestion et notification des incidents majeurs : détecter rapidement et efficacement les incidents, les documenter avec précision, classifier leur gravité selon les critères détaillés dans le règlement et les signaler aux autorités compétentes dans les délais imposés par la réglementation en assurant une communication claire et transparente ; 
   
• Tests réguliers de résilience opérationnelle numérique : réaliser périodiquement des tests techniques approfondis, notamment des simulations réalistes telles que les tests d’intrusion basés sur les menaces (« Threat-Led Penetration Testing » ou TLPT) ⁽⁵⁾ et les exercices de crise pour renforcer concrètement la robustesse réelle face aux cyberattaques ou incidents majeurs ; 
• Supervision renforcée des fournisseurs tiers TIC : assurer un suivi rigoureux des risques liés à la dépendance vis-à-vis des prestataires tiers, établir des contrats intégrant des clauses sur la sécurité, la performance et les niveaux de service, réaliser une due diligence ⁽⁶⁾ poussée, surveiller continuellement les performances, effectuer des audits réguliers et anticiper la résiliation ou la substitution d’un prestataire sans compromettre la continuité opérationnelle ;
   
• Echange sécurisé d’informations sur les menaces : encourager et organiser le partage confidentiel d'informations pertinentes, d’alertes précoces et de bonnes pratiques entre les acteurs financiers, dans une optique d’amélioration continue et collective du niveau global de sécurité du secteur.

La gouvernance renforcée constitue la dimension centrale autour de laquelle s’articulent ces piliers : la direction générale ou le conseil d’administration portent la responsabilité finale de la conformité. Ils doivent mobiliser les acteurs CISO, IT, Risques, conformité…, désigner des responsables spécifiques clairement identifiés, suivre de manière rigoureuse les indicateurs de risque, maintenir une documentation détaillée, et assurer une transparence totale vis-à-vis des autorités de supervision. 

Des sanctions financières substantielles peuvent être prévues en cas de manquement.

Orange Cyberdefense : expertise et accompagnement vers la conformité DORA

Nos experts pluridisciplinaires d’Orange Cyberdefense accompagnent les entités financières & leurs prestataires tout au long de leur parcours vers une conformité progressive et alignée sur vos priorités opérationnelles et objectifs stratégiques :

• Mise en œuvre structurée d'une gestion robuste des risques liées aux TIC : un cadre de gouvernance et de gestion des risques liés aux TIC robuste, adapté à la taille et aux activités de votre organisation. Cartographie complète, analyses de risques & d’impacts métiers poussées, élaboration et tests des plans de continuité et de reprise adaptés aux scénarios réalistes ; 
   
• Organisation d’une gestion efficace des incidents : procédures avancées de détection rapide, de réponse organisée, de remédiation proactive, de classification et de notification conforme aux exigences DORA ;
   
• Pilotage des prestataires tiers et des risques associés : mise en place d’un registre complet mis à jour régulièrement, revue contractuelle, surveillance des performances et anticipation proactive des changements de fournisseurs ;
   
• Déploiement d’un programme de test résilience opérationnelle : programme rigoureux de tests, incluant des tests de type intrusion ou de « Threat-Led Penetration Testing » (TLPT), identification des vulnérabilités.

Grâce à nos expertises en gestion des risques liés aux TIC, en cybersécurité, gestion de crise et de continuité des activités. Orange Cyberdefense accompagne les organisations vers une Résilience numérique by design. C'est un atout stratégique majeur, assurant non seulement la conformité à DORA, mais garantissant aussi la sécurité durable des parties prenantes et la stabilité des marchés financiers européens.

Sources et notes