DORA

En pratique pour une organisation

DORA (Digital Operational Resilience Act) s’applique, depuis le 17 janvier 2025 (article 64), à la quasi-totalité du secteur financier : établissements de crédit, de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, sociétés de gestion, entreprises d’assurance et de réassurance, entre autres (article 2). Il traite d’un même cadre la gestion du risque lié aux technologies de l’information et de la communication (TIC), la notification des incidents majeurs, les tests de résilience, le partage d’informations sur les cybermenaces et la maîtrise des prestataires tiers de services TIC (article 1er).

La responsabilité repose sur l’organe de direction, qui définit, approuve et supervise le cadre de gestion du risque TIC et répond de sa mise en œuvre (article 5). Les incidents majeurs sont déclarés à l’autorité compétente (article 19) selon les délais du règlement délégué (UE) 2025/301 : une notification initiale dans les quatre heures suivant la classification de l’incident comme majeur et au plus tard 24 heures après en avoir eu connaissance, un rapport intermédiaire dans les 72 heures suivant cette notification, puis un rapport final au plus tard un mois après le rapport intermédiaire. En France, l’AMF indique que les autorités compétentes pour ces déclarations sont l’AMF ou l’ACPR.

Les entités identifiées par les autorités réalisent au moins tous les trois ans un test de pénétration fondé sur la menace (article 26), et les autorités européennes de supervision désignent les prestataires tiers critiques de services TIC, soumis à un cadre de supervision européen (article 31). Une entité qui s’appuie sur un tel prestataire conserve l’entière responsabilité de sa conformité : les exigences du règlement doivent figurer dans ses contrats.

Exemple

Exemple générique : une société de gestion confie l’hébergement de ses outils de gestion à un fournisseur de services en nuage. Elle inscrit cet accord dans son registre d’informations sur les prestataires tiers de services TIC (article 28), y reprend contractuellement les exigences du règlement et veille à la participation du fournisseur si celui-ci entre dans le champ d’un test de pénétration fondé sur la menace (article 26). En cas d’incident majeur chez ce fournisseur qui touche ses services, elle reste responsable de la déclaration à l’AMF ou à l’ACPR, même si elle en confie la rédaction à un tiers (article 19).

À ne pas confondre avec

• NIS 2 : cette directive couvre de nombreux secteurs et passe par la transposition des États membres, alors que DORA est un règlement directement applicable au seul secteur financier ; pour les entités financières qui relèvent des deux, DORA est considéré comme un acte juridique sectoriel au sens de l’article 4 de la directive (article 1er de DORA).
• Le RGPD : la violation de données personnelles se notifie à l’autorité de contrôle dans les 72 heures, alors que l’incident majeur lié aux TIC se déclare à l’autorité financière compétente ; un même événement peut déclencher les deux démarches.