Prêt pour DORA et la sécurisation de vos accès tiers ?
Gérez les risques liés à vos prestataires TIC et assurez votre résilience opérationnelle avec la plateforme Reemo.
Pourquoi DORA est-elle devenue le sujet prioritaire des directions financières et de leurs partenaires IT ? Parce qu’à l’heure de la banque en ligne et du Cloud, la stabilité financière de l’Europe ne dépend plus seulement de la solvabilité des banques, mais de la solidité de leurs systèmes informatiques.
- Qu’est-ce que DORA (Digital Operational Resilience Act) ?
- Qui est concerné ? Entités financières et prestataires tiers
- Les 5 piliers d’obligations de DORA
- Reporting des incidents TIC majeurs
- Sanctions et responsabilité des dirigeants
- Comment se préparer concrètement ?
- Focus France : ACPR, Banque de France et ANSSI
1. Qu’est-ce que DORA (Digital Operational Resilience Act) ?
Le règlement (UE) 2022/2554, mieux connu sous son acronyme DORA, est le nouveau cadre européen dédié à la résilience opérationnelle numérique du secteur financier. Applicable depuis janvier 2025, il impose des standards stricts pour s’assurer que les banques, assureurs et autres acteurs financiers puissent résister à toutes les perturbations liées aux technologies de l’information (TIC), qu’il s’agisse de cyberattaques, de pannes informatiques ou de défaillances de fournisseurs.
Contrairement à NIS 2 (qui est une directive nécessitant une loi de transposition nationale), DORA est un règlement européen. Cela signifie qu’il est directement applicable dans tous les États membres sans exception ni adaptation locale. L’objectif est simple : éviter que la finance européenne ne soit un puzzle de règles différentes d’un pays à l’autre.
2. Qui est concerné ? Entités financières et prestataires tiers
DORA ratisse très large. Il ne vise pas uniquement les « géants » du secteur, mais l’ensemble de l’écosystème. Cela inclut :
- Les établissements financiers : Banques, établissements de paiement, compagnies d’assurance, entreprises d’investissement, gestionnaires de crypto-actifs.
- Les prestataires tiers TIC : C’est la grande nouveauté. Les fournisseurs de Cloud (AWS, Azure, Google Cloud), les plateformes SaaS, les éditeurs de logiciels bancaires et les data centers sont désormais directement sous la loupe des régulateurs financiers.
☁️ La FinTech et son fournisseur Cloud
Une banque en ligne (FinTech) délègue la gestion de ses bases de données à un prestataire Cloud. Sous DORA, la banque est responsable de vérifier la résilience du prestataire, et le prestataire doit accepter des audits financiers stricts. Si le Cloud tombe, la banque doit prouver qu’elle a un plan de reprise immédiat.
3. Les 5 piliers d’obligations de DORA
DORA structure la résilience numérique autour de cinq domaines d’action obligatoires pour les organisations :
Responsabilité du management
Le management (Board/Comex) doit activement définir la stratégie de résilience et en assumer la responsabilité finale. La cyber n’est plus seulement un sujet de DSI.
Identification et protection
Mise en place de frameworks pour identifier les vulnérabilités, évaluer les impacts métier et traiter les risques TIC de manière continue.
Stress-tests cyber
Obligation de tester régulièrement les systèmes (tests de pénétration, simulations de pannes) pour vérifier la capacité de reprise d’activité.
Maîtrise de la Supply Chain
Surveillance étroite des contrats avec les fournisseurs IT critiques. Chaque contrat doit inclure des clauses précises sur la sécurité et le droit d’audit.
« DORA marque la fin de l’insouciance vis-à-vis des prestataires externes. Pour le régulateur, une faille chez votre fournisseur Cloud est une faille dans votre banque. »
4. Reporting des incidents TIC majeurs
En cas d’incident « majeur » affectant les services TIC (cyberattaque réussie, interruption prolongée de service), les entités financières doivent notifier les autorités compétentes (en France, l’ACPR).
- Rapport initial : Déclaration immédiate de l’incident majeur.
- Rapports intermédiaires : Mise à jour régulière sur l’évolution de la situation et les mesures prises.
- Rapport final : Analyse détaillée des causes profondes et des pertes subies (financières ou de données).
L’objectif est de permettre aux autorités de surveiller d’éventuels effets de contagion : si plusieurs banques subissent la même panne au même moment, le risque devient systémique.
5. Sanctions et responsabilité des dirigeants
Comme pour le RGPD ou NIS 2, DORA est doté d’un arsenal répressif pour garantir son application. Les sanctions ne sont pas seulement financières, elles touchent aussi à la réputation de l’institution.
- Amendes administratives : Elles peuvent atteindre plusieurs millions d’euros ou un pourcentage significatif du chiffre d’affaires annuel mondial.
- Responsabilité managériale : Les dirigeants peuvent être tenus personnellement responsables si la négligence en matière de résilience numérique est prouvée.
- Ordres de cessation : Le régulateur peut exiger l’arrêt de certaines activités tant que les failles de sécurité ne sont pas corrigées.
- Risque de confiance : Une annonce publique de non-conformité DORA peut entraîner une fuite massive de clients vers des concurrents jugés plus sûrs.
6. Comment se préparer concrètement ?
La mise en conformité DORA est un marathon stratégique. Voici les étapes clés pour lancer votre démarche :
Ce qu’il faut arrêter (Risques DORA)
- Considérer la sécurité IT comme un coût technique.
- Accorder des accès « aveugles » à vos prestataires SaaS.
- Avoir des contrats fournisseurs sans garanties cyber.
- Négliger la documentation des processus critiques.
Ce qu’il faut lancer (Conformité DORA)
- Cartographier les processus métiers et leurs dépendances TIC.
- Auditer vos accès distants (passage au Zero Trust).
- Former le Board aux enjeux de résilience numérique.
- Mettre à jour les plans de continuité d’activité (PCA).
7. Focus France : ACPR, Banque de France et ANSSI
En France, l’application de DORA repose sur une coordination entre plusieurs acteurs majeurs :
- L’ACPR (Autorité de Contrôle Prudentiel et de Résolution) : C’est le gendarme principal pour les banques et assurances. C’est à elle que vous notifiez les incidents et c’est elle qui mène les contrôles.
- La Banque de France : Elle veille à la stabilité globale du système de paiement.
- L’ANSSI : Bien que DORA soit le règlement spécifique à la finance, l’ANSSI coordonne l’articulation avec NIS 2. Pour les banques déjà classées OIV (Opérateur d’Importance Vitale), DORA prévaut généralement sur les aspects TIC, mais une communication fluide avec l’ANSSI reste indispensable.
La gestion des risques liés aux tiers est l’un des piliers les plus complexes de DORA. Reemo sécurise ce périmètre en fournissant un accès distant Zero Trust :
- Contrôle total : Vous décidez exactement à quelle application votre prestataire a accès (moindre privilège).
- Auditabilité : Enregistrement vidéo et logs de toutes les sessions externes pour prouver votre conformité au régulateur.
- Isolation : Les prestataires accèdent à vos systèmes sans être sur votre réseau, éliminant les risques de propagation de malwares.
Conclusion : DORA, un enjeu de confiance business
NIS 2 et DORA marquent un tournant : la cybersécurité n’est plus une option technique, c’est le socle de la confiance client. En adoptant une démarche proactive (audit TIC, sécurisation des accès tiers, tests de résilience), vous transformez une contrainte réglementaire en un avantage concurrentiel majeur pour votre institution financière.
Laisser un commentaire