Qu'est-ce que DORA ?
DORA, le Digital Operational Resilience Act, est un règlement européen sur la résilience opérationnelle numérique dans le secteur financier. Comme il s'agit d'un règlement, il s'applique directement dans tous les États membres de l'UE. DORA est entré en vigueur le 16 janvier 2023 et s'applique depuis le 17 janvier 2025.
Son objectif est que les entités financières maîtrisent le risque TIC de manière technique, organisationnelle et dirigeante. DORA impose d'identifier les risques TIC, de notifier les incidents, de tester la résilience, de gérer les prestataires TIC et de pouvoir partager des informations sur les menaces. Les autorités européennes complètent le texte par des standards techniques.
Qui est soumis à DORA ?
DORA concerne une vingtaine de catégories d'entités financières. Cela inclut les établissements de crédit, de paiement et de monnaie électronique, les entreprises d'investissement, les plateformes de négociation, les prestataires de services sur crypto-actifs, les assureurs, réassureurs, intermédiaires d'assurance, sociétés de gestion, gestionnaires de fonds alternatifs, agences de notation, prestataires de financement participatif et contreparties centrales.
Toutes les organisations n'ont pas exactement les mêmes obligations. DORA applique le principe de proportionnalité : les mesures doivent correspondre à la taille, au risque, aux activités et à la complexité. Pourtant, même une petite fintech doit pouvoir montrer une structure claire. Si elle externalise des services TIC critiques, elle doit savoir quels fournisseurs sont importants, quelles clauses contractuelles existent et comment une sortie ou une interruption serait gérée.
Quels sont les cinq piliers de DORA ?
| Pilier | Ce qui est demandé | Articles |
|---|---|---|
| Gestion du risque TIC | Un cadre documenté, approuvé par l'organe de direction | 5–16 |
| Notification des incidents | Classer les incidents TIC et notifier les incidents majeurs | 17–23 |
| Tests de résilience | Programme de tests ; TLPT au moins tous les trois ans pour les entités désignées | 24–27 |
| Risque lié aux tiers TIC | Clauses contractuelles, stratégies de sortie et registre d'information | 28–44 |
| Partage d'informations | Partage volontaire d'informations sur les cybermenaces | 45 |
Quels délais DORA prévoit-il pour les incidents ?
Pour un incident TIC majeur, les standards techniques prévoient une notification initiale dans les quatre heures après la classification comme majeur et au plus tard dans les 24 heures après la prise de connaissance. Un rapport intermédiaire suit dans les 72 heures après la notification initiale, puis un rapport final au plus tard un mois après le dernier rapport intermédiaire.
Ces délais rendent la préparation indispensable. Pendant un incident, il reste peu de temps pour rechercher les responsables, systèmes, fournisseurs, preuves et canaux de communication. ComplyPilot aide à structurer la base à l'avance : incidents, fournisseurs, contrôles, tâches et politiques sont reliés au référentiel DORA.
Comment ComplyPilot soutient-il DORA ?
ComplyPilot contient un référentiel DORA organisé par pilier et un tableau de bord de préparation DORA. Les exigences sont reliées aux mêmes contrôles, risques, politiques et preuves que ceux utilisés pour ISO 27001 et NIS2. Une politique de risque TIC, un journal de test de sauvegarde ou une procédure de contrôle d'accès n'a donc pas besoin d'être maintenu séparément pour chaque référentiel.
Le module fournisseurs soutient le risque lié aux tiers TIC. Vous pouvez enregistrer les prestataires avec criticité, fréquence de revue et responsable. Des tâches avec échéances suivent la remédiation. Les exports donnent à l'auditeur, au régulateur ou à la direction une vue structurée de ce qui est prêt et des preuves encore manquantes.
Quelle différence entre DORA, NIS2 et ISO 27001 ?
| Sujet | DORA | NIS2 | ISO 27001 |
|---|---|---|---|
| Type | Règlement européen | Directive européenne transposée nationalement | Norme internationale |
| Public | Entités financières et chaîne TIC | Entités essentielles et importantes | Toute organisation |
| Focus | Résilience TIC | Mesures de cybersécurité | SMSI et gestion des risques |
| Preuve | Supervision et démonstration interne | Supervision et notification | Audit de certification |
Questions fréquentes
Depuis quand DORA s'applique-t-il ?
DORA s'applique depuis le 17 janvier 2025.
DORA remplace-t-il NIS2 pour les entités financières ?
Pour la gestion du risque TIC et la notification d'incidents, DORA est la règle spécifique et prime sur les règles NIS2 équivalentes.
Toutes les entités financières doivent-elles faire du TLPT ?
Non. Les tests fondés sur la menace concernent au moins tous les trois ans les entités désignées. Les autres entités doivent tout de même mener des tests de résilience appropriés.
ISO 27001 aide-t-il pour DORA ?
Oui. ISO 27001 soutient une grande partie de la gestion du risque TIC, mais DORA ajoute des exigences spécifiques sur les incidents, les tests et les tiers TIC.