DORA : la résilience opérationnelle numérique du secteur financier

DORA s'applique à un large éventail d'entités financières supervisées – des établissements de crédit aux assureurs, en passant par les établissements de paiement, les entreprises d'investissement et certains prestataires de services sur crypto-actifs – ainsi qu'aux prestataires tiers de services TIC du secteur financier. Sur le fond, le règlement repose sur cinq piliers : la gestion du risque lié aux TIC (Art. 5–16), la gestion et la notification des incidents liés aux TIC (Art. 17–23), les tests de résilience opérationnelle numérique, y compris les TLPT (Art. 24–27), la gestion du risque lié aux prestataires tiers de services TIC, supervision comprise (Art. 28–44), et les accords de partage d'informations sur les cybermenaces (Art. 45). Les exigences détaillées sont concrétisées à un second niveau par des RTS et des ITS, qui s'appliquent directement en tant que règlements délégués ou d'exécution.

La pièce maîtresse est un cadre documenté de gestion du risque lié aux TIC, dont l'organe de direction porte la responsabilité globale. Il suit un cycle de vie comprenant identification, protection et prévention, détection, réponse et rétablissement, ainsi qu'apprentissage et amélioration continue – y compris procédures de sauvegarde et de restauration, plans de communication et révision régulière. Pour certaines entités plus petites et moins interconnectées, l'Art. 16 prévoit un cadre simplifié de gestion du risque lié aux TIC, assorti d'exigences réduites.

Les entités financières doivent recenser et classifier les incidents liés aux TIC selon un processus défini et notifier les incidents majeurs à l'autorité compétente – en Allemagne, la BaFin fait office de hub national de notification. Les critères de classification sont fixés par le règlement délégué (UE) 2024/1772 ; les délais, contenus et formulaires sont définis par le règlement délégué (UE) 2025/301 et le règlement d'exécution (UE) 2025/302 : notification initiale en règle générale dans les quatre heures suivant la classification comme majeur et au plus tard 24 heures après la prise de connaissance, rapport intermédiaire dans les 72 heures suivant la notification initiale, rapport final dans un délai d'un mois. Les cybermenaces importantes peuvent en outre être notifiées à titre volontaire.

Toutes les entités financières, à l'exception des microentreprises, doivent exploiter un programme de tests de résilience opérationnelle numérique fondé sur les risques, allant des évaluations de vulnérabilités aux tests fondés sur des scénarios. Les entités identifiées à cette fin par les autorités doivent en outre réaliser au moins tous les trois ans des tests de pénétration fondés sur la menace (TLPT) au titre des Art. 26/27 – sur des systèmes de production réels et portant sur plusieurs ou sur l'ensemble des fonctions critiques ou importantes ; l'autorité compétente peut ajuster la fréquence. Les critères, le périmètre, la méthodologie et les exigences applicables aux testeurs internes comme externes sont précisés par le règlement délégué (UE) 2025/1190 (RTS sur les TLPT), applicable depuis le 8 juillet 2025. Le cadre TIBER-EU de l'Eurosystème, que la BCE a entièrement aligné sur DORA et les RTS le 11 février 2025, sert de guide de mise en œuvre.

Le chapitre V impose aux entités financières de piloter les risques découlant des contrats de services TIC sur l'ensemble de leur cycle de vie : stratégie et principes, y compris stratégies de sortie (Art. 28), évaluation du risque de concentration de TIC (Art. 29) et clauses contractuelles minimales portant notamment sur les droits en matière de sécurité, d'audit et de résiliation (Art. 30). L'instrument central est le registre d'informations (Register of Information) prévu à l'Art. 28(3), couvrant tous les accords contractuels conclus avec des prestataires tiers de services TIC ; le règlement d'exécution (UE) 2024/2956 impose à cet effet des modèles standard contraignants. Les registres soumis servent également de base de données aux autorités de surveillance – notamment pour la désignation des prestataires tiers critiques de services TIC.

Avec DORA, les trois autorités européennes de surveillance EBA, EIOPA et ESMA (les ESA) reçoivent pour la première fois un mandat de supervision directe sur les prestataires tiers de services TIC désignés comme critiques pour le secteur financier. Le 18 novembre 2025, les ESA ont désigné les 19 premiers prestataires tiers critiques de services TIC, parmi lesquels de grands fournisseurs de cloud, de centres de données et de réseaux ; l'évaluation de la criticité s'est appuyée sur les registres d'informations des entités financières. Chaque prestataire désigné est rattaché à un superviseur principal (Lead Overseer) issu des ESA, habilité à demander des informations, à mener des enquêtes et à émettre des recommandations. La responsabilité des entités financières à l'égard de leur propre risque lié aux tiers demeure inchangée.