Guide de conformité DORA pour les entités financières
Qu'est-ce que DORA ?
Le Règlement sur la résilience opérationnelle numérique (Règlement (UE) 2022/2554) est une réglementation de l'UE qui normalise la manière dont les entités financières gèrent les risques liés aux TIC (technologies de l'information et de la communication). Publié le 27 décembre 2022, DORA s'applique à partir du 17 janvier 2025.
DORA garantit que les banques, les assureurs, les entreprises d'investissement et leurs prestataires technologiques critiques peuvent résister, répondre et se rétablir face aux perturbations liées aux TIC et aux cybermenaces.
DORA s'applique dans tous les États membres de l'UE, créant ainsi un cadre unifié pour la résilience opérationnelle numérique dans le secteur financier.
Qui doit se conformer à DORA ?
Entités financières (Article 2)
DORA s'applique à un large éventail d'institutions financières, notamment :
Établissements de crédit (banques)
Établissements de paiement et de monnaie électronique
Entreprises d'investissement et prestataires de services sur crypto-actifs
Entreprises d'assurance et de réassurance
Fonds de pension
Plates-formes de négociation et contreparties centrales
Agences de notation de crédit
Les micro-entreprises et les petits gestionnaires de fonds d'investissement alternatifs peuvent être exemptés sous certaines conditions. Consultez l'Article 4 pour les règles de proportionnalité.
Prestataires tiers de services TIC
Les prestataires de services TIC critiques (plates-formes cloud, centres de données, services de sécurité gérés) désignés par les autorités de l'UE doivent également se conformer au cadre de surveillance de DORA (Articles 28-30).
Les cinq piliers de DORA
1. Gestion des risques liés aux TIC (Articles 6-16)
Vous devez établir un cadre complet de gestion des risques liés aux TIC couvrant :
Gouvernance : Supervision des risques TIC par le conseil d'administration et la direction
Protection : Politiques de sécurité, contrôles d'accès, chiffrement
Détection : Surveillance continue et veille sur les menaces (threat intelligence)
Réponse et rétablissement : Gestion des incidents et plans de continuité des activités
Apprentissage : Revues post-incident et cycles d'amélioration
Votre cadre doit être documenté, régulièrement revu et proportionné à la taille et au profil de risque de votre organisation.
2. Déclaration des incidents (Articles 17-23)
DORA introduit des délais stricts pour signaler les incidents liés aux TIC aux autorités compétentes :
Notification initiale : Dans les 4 heures suivant la classification comme majeur
Rapport intermédiaire : Sous 72 heures avec analyse des causes profondes
Rapport final : Sous un mois, incluant les mesures de rétablissement
Utilisez des critères de classification standardisés pour déterminer si un incident est qualifié de « majeur » selon DORA. Les normes techniques de réglementation (RTS) précisent les seuils de notification.
3. Tests de résilience opérationnelle numérique (Articles 24-27)
Vous devez effectuer des tests réguliers de vos systèmes TIC et de vos capacités de résilience :
Tests généraux : Évaluations de vulnérabilité, tests d'intrusion, tests basés sur des scénarios
Tests avancés : Tests d'intrusion fondés sur la menace (TLPT) pour les entités identifiées par les autorités
La fréquence et la portée des tests dépendent de votre profil de risque, les TLPT étant requis au moins tous les trois ans pour les entités désignées.
4. Gestion des risques liés aux tiers TIC (Articles 28-30)
DORA impose une surveillance complète des prestataires tiers de TIC, incluant :
Évaluation précontractuelle : Diligence raisonnable sur les capacités et les risques du prestataire
Exigences contractuelles : Niveaux de service, droits d'audit, stratégies de sortie, contrôles de la sous-traitance
Suivi continu : Suivi des performances, vérification de la conformité, gestion du risque de concentration
Stratégies de sortie : Plans de transition des services sans interruption
Évitez une dépendance excessive envers un seul prestataire. DORA met l'accent sur le risque de concentration et exige que vous évaluiez les dépendances au sein de votre chaîne d'approvisionnement TIC.
5. Partage d'informations (Article 45)
Les entités financières peuvent participer à des dispositifs de partage d'informations sur les cybermenaces et les meilleures pratiques. Ces dispositifs doivent protéger la confidentialité et respecter les lois sur la protection des données.
Feuille de route pour la mise en œuvre
Étape 1 : Déterminer votre champ d'application
Confirmez si votre organisation est soumise à DORA. Consultez l'Article 2 pour identifier les types d'entités concernés et contactez votre autorité nationale compétente en cas de doute.
Étape 2 : Réaliser une analyse des écarts (Gap Analysis)
Évaluez vos pratiques actuelles de gestion des risques TIC, de réponse aux incidents, de tests et de surveillance des tiers par rapport aux exigences de DORA. Identifiez les lacunes dans vos politiques, processus, documentation et contrôles.
Étape 3 : Créer ou mettre à jour votre cadre de gestion des risques TIC
Élaborez des politiques et procédures complètes couvrant les cinq piliers. Assurez-vous que la gouvernance au niveau de la direction et du conseil d'administration est en place, et attribuez des rôles et responsabilités clairs.
Étape 4 : Établir des processus de déclaration des incidents
Définissez les critères de classification des incidents, les flux de déclaration et les circuits d'escalade. Intégrez-les à vos systèmes de gestion d'incidents existants et formez les équipes aux délais stricts de DORA.
Étape 5 : Planifier votre programme de tests
Planifiez des tests de résilience réguliers (scans de vulnérabilité, tests d'intrusion, exercices de scénarios). Si vous êtes désigné pour les TLPT, engagez des testeurs qualifiés et coordonnez-vous avec les autorités.
Étape 6 : Réviser les accords avec les tiers
Inventoriez tous les prestataires tiers de TIC. Révisez les contrats pour vous assurer qu'ils incluent les clauses conformes à DORA (droits d'audit, dispositions de sortie, transparence de la sous-traitance). Évaluez le risque de concentration et élaborez des stratégies d'atténuation.
Étape 7 : Tout documenter
DORA exige une documentation exhaustive : registres de risques, journaux d'incidents, rapports de tests, contrats et procès-verbaux du conseil d'administration. Tenez des registres prêts pour l'audit afin de démontrer votre conformité.
Étape 8 : Former vos équipes
Assurez-vous que les équipes IT, sécurité, risques, conformité et direction comprennent les exigences de DORA et leurs responsabilités. Organisez régulièrement des formations et des simulations.
Commencez tôt. Le champ d'application de DORA est vaste et la mise en place d'un cadre conforme prend du temps, particulièrement pour la renégociation de contrats tiers et les programmes de tests avancés.
DORA et les autres cadres réglementaires
DORA complète et recoupe d'autres réglementations et normes :
Directive NIS2 : DORA traite de la résilience TIC pour les entités financières, tandis que NIS2 couvre les infrastructures critiques de divers secteurs. Les entités financières relevant des deux doivent coordonner leur mise en conformité.
ISO 27001 : Le pilier gestion des risques de DORA s'aligne sur les contrôles de l'ISO 27001. Un SMSI certifié ISO 27001 peut soutenir la conformité DORA mais ne couvrira pas toutes les exigences (ex: délais de déclaration des incidents).
RGPD : La déclaration des incidents et la surveillance des tiers selon DORA doivent respecter les règles du RGPD sur la protection des données et la notification de violation.
Mappez les exigences de DORA à vos cadres existants pour éviter les doublons et capitaliser sur le travail déjà accompli.
Défis courants
Délais de déclaration des incidents très courts
La fenêtre de notification initiale de 4 heures est agressive. Automatisez la détection et la classification dans la mesure du possible, et établissez des capacités de réponse aux incidents 24h/24 et 7j/7.
Renégociation des contrats tiers
Beaucoup de contrats anciens ne contiennent pas les clauses requises par DORA. Commencez les renégociations tôt et donnez la priorité aux prestataires critiques.
Coordination des TLPT
Les tests avancés nécessitent une coordination avec les régulateurs et des testeurs qualifiés. Planifiez longtemps à l'avance si vous êtes désigné pour les TLPT.
Gestion du risque de concentration
Identifier et atténuer la dépendance excessive à l'égard de prestataires ou technologies spécifiques nécessite une visibilité approfondie de la chaîne d'approvisionnement. Effectuez une cartographie complète des dépendances.
Sanctions en cas de non-conformité
Les autorités nationales compétentes appliquent DORA avec des sanctions pour les infractions, incluant :
Des amendes allant jusqu'à 2 % du chiffre d'affaires annuel mondial
Des avertissements publics et des dommages réputationnels
La suspension d'activités ou le retrait de l'agrément dans les cas graves
Les sanctions sont proportionnées à la gravité et à la durée de la non-conformité.
Les Normes Techniques de Réglementation (RTS) finales des autorités de l'UE fourniront des seuils et critères détaillés. Surveillez les mises à jour de l'Autorité bancaire européenne (EBA), de l'ESMA et de l'EIOPA.
Accélérez la conformité DORA avec ISMS Copilot
ISMS Copilot est un assistant IA spécialement conçu pour les cadres de conformité comme DORA. Il vous aide à :
Réaliser des analyses d'écarts : Téléchargez vos politiques ou évaluations de risques existantes et demandez à Copilot d'identifier les écarts par rapport aux cinq piliers de DORA.
Générer des politiques conformes : Utilisez des invites pré-construites pour créer des politiques de gestion des risques TIC, des procédures de classification des incidents et des cadres de gestion des risques tiers alignés sur les Articles 6, 17 et 28 de DORA.
Mapper avec d'autres cadres : Demandez comment les exigences de DORA se rapportent à l'ISO 27001, NIS2 ou au NIST CSF pour simplifier la conformité multi-cadres.
Préparer les audits : Générez des listes de contrôle, des listes de preuves et des correspondances de contrôles pour les inspections réglementaires.
Exemples de requêtes pour ISMS Copilot :
« DORA s'applique-t-il à mon établissement de paiement ? »
« Génère une politique de gestion des risques TIC pour l'Article 6 de DORA. »
« Quels sont les délais de déclaration des incidents selon l'Article 19 de DORA ? »
« Crée un modèle d'évaluation des risques tiers pour l'Article 30 de DORA. »
ISMS Copilot s'appuie sur une expérience de conseil concrète et sur les textes réglementaires officiels pour fournir des conseils précis et prêts pour l'audit, sans les hallucinations courantes dans les outils d'IA généralistes.
Explorez la bibliothèque de prompts de conformité DORA pour des modèles prêts à l'emploi, ou découvrez comment ISMS Copilot accompagne les gestionnaires de risques avec DORA et NIS2.
Commencez votre essai gratuit d'ISMS Copilot dès aujourd'hui pour accélérer votre parcours de conformité DORA et réduire le temps passé à la rédaction de politiques et à la préparation d'audit.