Qu’est-ce que DORA ? Définition et obligations

Le règlement sur la résilience opérationnelle numérique, appelé DORA, s’applique depuis le 17 janvier 2025. Ce règlement européen oblige les entités financières concernées à gérer leurs risques numériques et à déclarer les incidents majeurs liés aux TIC. Il prévoit également des exigences en matière de tests et de gestion des prestataires de services TIC. Les obligations précises dépendent aussi du type et de la taille de l’entité.

Ce que DORA encadre et qui est concerné

DORA est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. Il établit des exigences relatives à la gestion des risques liés aux technologies de l’information et de la communication, ou TIC. En tant que règlement, il s’applique directement dans les États membres de l’UE.

Sont notamment concernés les établissements de crédit, les entreprises d’assurance et de réassurance, les entreprises d’investissement, les établissements de paiement, les établissements de monnaie électronique, certains prestataires de services sur crypto-actifs et les gestionnaires de fonds. Le règlement prévoit des exceptions et des exigences simplifiées pour certaines entités. Les entreprises devraient donc vérifier leur statut au regard de l’article 2 et des dispositions particulières applicables.

Quelles sont les obligations prévues par DORA ?

L’organe de direction assume la responsabilité de la gestion du risque lié aux TIC. Cela comprend une stratégie de résilience opérationnelle numérique ainsi que des procédures documentées pour protéger les systèmes et les rétablir après une perturbation. Les exigences doivent être appliquées de manière proportionnée en tenant compte notamment de la taille, du profil de risque et de la complexité de l’entité.

Les entités financières doivent enregistrer et classifier les incidents liés aux TIC. Les incidents majeurs doivent être déclarés à l’autorité compétente. DORA exige également un programme de tests de résilience opérationnelle numérique. Certaines entités doivent en outre effectuer des tests de pénétration fondés sur la menace.

Le risque lié aux prestataires tiers de services TIC constitue un autre volet. Les entités financières doivent tenir un registre d’informations sur leurs accords contractuels et respecter les clauses contractuelles prescrites. Pour les services qui soutiennent des fonctions critiques ou importantes, elles doivent notamment déterminer si une sous-traitance est autorisée et à quelles conditions. L’échange d’informations sur les cybermenaces entre entités financières est volontaire, dans les conditions prévues par le règlement.

Le 18 novembre 2025, les autorités européennes de surveillance ont publié une première liste de prestataires tiers critiques de services TIC. Ces prestataires sont soumis à un cadre européen de supervision. Les entités financières restent responsables de leurs propres risques liés aux prestataires.

Quels délais s’appliquent aux incidents et aux tests ?

Lorsqu’un incident lié aux TIC est classifié comme majeur, la notification initiale doit être effectuée dès que possible. Le délai est de quatre heures au maximum après la classification comme incident majeur et, simultanément, de 24 heures au maximum à compter du moment où l’entité financière a pris connaissance de l’incident. Le rapport intermédiaire doit suivre au plus tard 72 heures après la notification initiale. Le rapport final doit être transmis au plus tard un mois après le rapport intermédiaire ou, le cas échéant, après le dernier rapport intermédiaire actualisé. Les modalités figurent dans le règlement délégué (UE) 2025/301.

Les tests de pénétration fondés sur la menace, ou TLPT, sont prévus pour les entités financières désignées selon les critères légaux. Pour ces entités, DORA impose en principe un test au moins tous les trois ans. L’autorité compétente peut adapter cette fréquence sous certaines conditions.

Comment DORA et NIS2 s’articulent

NIS2 est une directive européenne sur la cybersécurité qui couvre plusieurs secteurs. Pour les entités financières concernées, DORA est un acte juridique sectoriel de l’Union au sens de l’article 4 de la directive NIS2. Les règles spécifiques de DORA s’appliquent donc aux exigences pertinentes relatives à la gestion des risques de cybersécurité et à la notification des incidents importants. On ne peut pas en déduire que toutes les autres obligations susceptibles de découler de NIS2 cessent de s’appliquer. Les entreprises devraient examiner leur situation concrète en fonction de leurs activités et des dispositions nationales.

Questions fréquentes

Chaque question est fermée. Appuyez dessus pour afficher la réponse.

Depuis quand DORA s’applique-t-il ?

Le règlement est applicable depuis le 17 janvier 2025. Il s’applique directement dans les États membres de l’UE.

Chaque entité financière doit-elle effectuer un TLPT ?

Non. L’obligation concerne les entités désignées selon les critères du règlement. Pour celles-ci, l’intervalle entre les tests est en principe de trois ans au maximum.

DORA remplace-t-il toutes les obligations de NIS2 ?

Pour les entités financières concernées, les règles sectorielles de DORA priment en ce qui concerne les exigences pertinentes relatives à la gestion des risques et à la déclaration des incidents. L’applicabilité des autres dispositions doit être examinée au cas par cas.

Sélection de la rédaction

À lireDORA en fonction : ce que la surveillance veut voirÀ lireÀ partir de quand l’horloge du délai de déclaration commence-t-elle vraiment à ticter ?

Plus du réseau MBF Media

cloudmagazinMigration KRITIS vers le cloud : ce qui garantit la securite

Source de l’image : générée par IA (juillet 2026), certificat C2PA intégré à l’image

À découvrir dans le réseau MBF Media

• Infrastructures critiques dans le cloud : sécuriser la migration

Source de l’image : générée par IA (Juli 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.