DORA : un nouveau cadre européen pour renforcer la résilience numérique du secteur financier

DORA : êtes-vous prêt pour le nouveau règlement européen sur la résilience numérique ?

Face à l’intensification des cybermenaces et à la dépendance croissante aux technologies numériques, l’Union européenne a adopté un règlement majeur : DORA (Digital Operational Resilience Act). Ce texte impose à l’ensemble du secteur financier une obligation de résilience numérique, avec une mise en application prévue dès le 17 janvier 2025.

DORA ne se limite pas à la cybersécurité. Il encadre la gestion des risques IT, la continuité d’activité, la surveillance des prestataires technologiques critiques (CTPP) et la gestion des incidents informatiques. Une véritable révolution réglementaire pour les acteurs financiers.

Qui est concerné par DORA ?

Le règlement s’applique à plus de 22 000 entités financières en Europe, notamment :

• Banques, assurances, mutuelles

• Sociétés de gestion, fonds, prestataires de services d’investissement

• FinTech, néobanques, crypto-acteurs

• Prestataires de services de paiement

• Infrastructures de marché (CCP, systèmes de règlement-livraison, etc.)

• Et leurs fournisseurs TIC considérés comme critiques

Autrement dit, même les prestataires IT travaillant avec le secteur financier sont indirectement soumis à DORA.

Que change DORA concrètement ?

DORA regroupe et harmonise des exigences jusqu’ici éparses dans différentes réglementations européennes. Il impose 5 grands piliers de conformité :

1. Gouvernance et gestion des risques TIC

• Mise en place d’un cadre robuste de gestion des risques liés aux technologies de l’information et de la communication.

• Implication de la direction générale dans la supervision.

• Tenue d’un registre des actifs numériques et des dépendances critiques.
  

2. Gestion des incidents informatiques

• Mise en place d’un processus de détection, classification et signalement des incidents majeurs.

• Transmission des rapports aux autorités compétentes (ESMA, EBA, EIOPA…).

• Intégration des incidents cyber, techniques et opérationnels.
  

3. Tests de résilience opérationnelle numérique

• Réalisation de tests réguliers de pénétration, simulations de crise, tests de reprise après sinistre.

• Pour certaines entités, obligation de tests de pénétration menés par des tiers (TLPT – Threat-Led Penetration Testing).
  

4. Gestion des tiers et des prestataires critiques

• Contrôle des fournisseurs de services TIC.

• Clauses contractuelles obligatoires (accès, audit, assistance en cas de crise).

• Enregistrement obligatoire pour les prestataires jugés critiques.
  

5. Partage d’information

• Encouragement à la coopération inter-entreprises sur les cybermenaces.

• Possibilité d’intégrer des centres d’échange d’information (ISAC, CERT…).

Quels sont les enjeux pour les organisations concernées ?

DORA transforme en profondeur les obligations des acteurs financiers en matière de numérique. Parmi les défis identifiés :

• Aligner la gouvernance IT sur les exigences réglementaires
• Cartographier les systèmes d’information et identifier les points de fragilité
• Élaborer un plan de continuité (PRA/PCA) réellement opérationnel
• Encadrer les fournisseurs critiques dans des contrats DORA-compliants
• Industrialiser la gestion des incidents, y compris les signalements aux régulateurs
• Préparer les audits et contrôles qui seront menés par les autorités

La non-conformité pourra entraîner des sanctions administratives et financières, ainsi qu’une atteinte à la réputation des institutions.

Notre accompagnement : transformer l’obligation en opportunité

Chez BPR.SECURITY, nous accompagnons d’ores et déjà plusieurs acteurs financiers – traditionnels comme innovants – dans leur mise en conformité avec DORA.

Notre approche est à la fois réglementaire, opérationnelle et technique :

• Diagnostic DORA : évaluation du niveau de maturité et du plan d’action priorisé

• Mise en conformité progressive : assistance à la rédaction de politiques, procédures, registres et plans de gestion des risques

• Intégration de la cybersécurité dans la gouvernance globale de l’entreprise

• Renforcement de la relation fournisseurs (clauses contractuelles, matrices de criticité, audits)

• Préparation aux tests de résilience (TLPT, exercices de crise, continuité d’activité)

• Formation et sensibilisation des équipes (RSSI, DSI, métiers, juridique)

Nous intervenons de manière pragmatique et adaptée à la taille, au niveau de complexité et au calendrier de chaque structure.