{"id":21979,"date":"2026-07-06T09:00:00","date_gmt":"2026-07-06T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/07\/06\/quest-ce-que-dora-definition-obligations-delais\/"},"modified":"2026-11-03T14:46:42","modified_gmt":"2026-11-03T14:46:42","slug":"quest-ce-que-dora-definition-obligations-delais","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2026\/07\/06\/quest-ce-que-dora-definition-obligations-delais\/","title":{"rendered":"Qu\u2019est-ce que DORA ? D\u00e9finition et obligations"},"content":{"rendered":"<p><strong>Le r\u00e8glement sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique, appel\u00e9 DORA, s\u2019applique depuis le 17 janvier 2025. Ce r\u00e8glement europ\u00e9en oblige les entit\u00e9s financi\u00e8res concern\u00e9es \u00e0 g\u00e9rer leurs risques num\u00e9riques et \u00e0 d\u00e9clarer les incidents majeurs li\u00e9s aux TIC. Il pr\u00e9voit \u00e9galement des exigences en mati\u00e8re de tests et de gestion des prestataires de services TIC. Les obligations pr\u00e9cises d\u00e9pendent aussi du type et de la taille de l\u2019entit\u00e9.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">L&rsquo;essentiel en bref<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">DORA s\u2019applique depuis le 17 janvier 2025.<\/strong> Le r\u00e8glement europ\u00e9en est directement applicable.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Son champ d\u2019application est large.<\/strong> Il couvre notamment les banques, les assureurs et d\u2019autres entit\u00e9s financi\u00e8res r\u00e9glement\u00e9es. Les exceptions doivent \u00eatre examin\u00e9es au cas par cas.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">Les obligations d\u00e9passent le cadre des contrats.<\/strong> Elles concernent aussi la gestion des risques, la d\u00e9claration des incidents et les tests de r\u00e9silience.<\/li>\n<\/ul>\n<\/div>\n<h2>Ce que DORA encadre et qui est concern\u00e9<\/h2>\n<p>DORA est le <a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2022\/2554\/oj\" target=\"_blank\" rel=\"noopener\">r\u00e8glement (UE) 2022\/2554<\/a> sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique du secteur financier. Il \u00e9tablit des exigences relatives \u00e0 la gestion des risques li\u00e9s aux technologies de l\u2019information et de la communication, ou TIC. En tant que r\u00e8glement, il s\u2019applique directement dans les \u00c9tats membres de l\u2019UE.<\/p>\n<p>Sont notamment concern\u00e9s les \u00e9tablissements de cr\u00e9dit, les entreprises d\u2019assurance et de r\u00e9assurance, les entreprises d\u2019investissement, les \u00e9tablissements de paiement, les \u00e9tablissements de monnaie \u00e9lectronique, certains prestataires de services sur crypto-actifs et les gestionnaires de fonds. Le r\u00e8glement pr\u00e9voit des exceptions et des exigences simplifi\u00e9es pour certaines entit\u00e9s. Les entreprises devraient donc v\u00e9rifier leur statut au regard de l\u2019article 2 et des dispositions particuli\u00e8res applicables.<\/p>\n<h2>Quelles sont les obligations pr\u00e9vues par DORA ?<\/h2>\n<p>L\u2019organe de direction assume la responsabilit\u00e9 de la gestion du risque li\u00e9 aux TIC. Cela comprend une strat\u00e9gie de r\u00e9silience op\u00e9rationnelle num\u00e9rique ainsi que des proc\u00e9dures document\u00e9es pour prot\u00e9ger les syst\u00e8mes et les r\u00e9tablir apr\u00e8s une perturbation. Les exigences doivent \u00eatre appliqu\u00e9es de mani\u00e8re proportionn\u00e9e en tenant compte notamment de la taille, du profil de risque et de la complexit\u00e9 de l\u2019entit\u00e9.<\/p>\n<p>Les entit\u00e9s financi\u00e8res doivent enregistrer et classifier les incidents li\u00e9s aux TIC. Les incidents majeurs doivent \u00eatre d\u00e9clar\u00e9s \u00e0 l\u2019autorit\u00e9 comp\u00e9tente. DORA exige \u00e9galement un programme de tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique. Certaines entit\u00e9s doivent en outre effectuer des tests de p\u00e9n\u00e9tration fond\u00e9s sur la menace.<\/p>\n<p>Le risque li\u00e9 aux prestataires tiers de services TIC constitue un autre volet. Les entit\u00e9s financi\u00e8res doivent tenir un registre d\u2019informations sur leurs accords contractuels et respecter les clauses contractuelles prescrites. Pour les services qui soutiennent des fonctions critiques ou importantes, elles doivent notamment d\u00e9terminer si une sous-traitance est autoris\u00e9e et \u00e0 quelles conditions. L\u2019\u00e9change d\u2019informations sur les cybermenaces entre entit\u00e9s financi\u00e8res est volontaire, dans les conditions pr\u00e9vues par le r\u00e8glement.<\/p>\n<p>Le 18 novembre 2025, les autorit\u00e9s europ\u00e9ennes de surveillance ont publi\u00e9 une <a href=\"https:\/\/www.eba.europa.eu\/publications-and-media\/press-releases\/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital\" target=\"_blank\" rel=\"noopener\">premi\u00e8re liste de prestataires tiers critiques de services TIC<\/a>. Ces prestataires sont soumis \u00e0 un cadre europ\u00e9en de supervision. Les entit\u00e9s financi\u00e8res restent responsables de leurs propres risques li\u00e9s aux prestataires.<\/p>\n<h2>Quels d\u00e9lais s\u2019appliquent aux incidents et aux tests ?<\/h2>\n<p>Lorsqu\u2019un incident li\u00e9 aux TIC est classifi\u00e9 comme majeur, la notification initiale doit \u00eatre effectu\u00e9e d\u00e8s que possible. Le d\u00e9lai est de quatre heures au maximum apr\u00e8s la classification comme incident majeur et, simultan\u00e9ment, de 24 heures au maximum \u00e0 compter du moment o\u00f9 l\u2019entit\u00e9 financi\u00e8re a pris connaissance de l\u2019incident. Le rapport interm\u00e9diaire doit suivre au plus tard 72 heures apr\u00e8s la notification initiale. Le rapport final doit \u00eatre transmis au plus tard un mois apr\u00e8s le rapport interm\u00e9diaire ou, le cas \u00e9ch\u00e9ant, apr\u00e8s le dernier rapport interm\u00e9diaire actualis\u00e9. Les modalit\u00e9s figurent dans le <a href=\"https:\/\/eur-lex.europa.eu\/eli\/reg_del\/2025\/301\/oj\" target=\"_blank\" rel=\"noopener\">r\u00e8glement d\u00e9l\u00e9gu\u00e9 (UE) 2025\/301<\/a>.<\/p>\n<p>Les tests de p\u00e9n\u00e9tration fond\u00e9s sur la menace, ou TLPT, sont pr\u00e9vus pour les entit\u00e9s financi\u00e8res d\u00e9sign\u00e9es selon les crit\u00e8res l\u00e9gaux. Pour ces entit\u00e9s, DORA impose en principe un test au moins tous les trois ans. L\u2019autorit\u00e9 comp\u00e9tente peut adapter cette fr\u00e9quence sous certaines conditions.<\/p>\n<h2>Comment DORA et NIS2 s\u2019articulent<\/h2>\n<p>NIS2 est une directive europ\u00e9enne sur la cybers\u00e9curit\u00e9 qui couvre plusieurs secteurs. Pour les entit\u00e9s financi\u00e8res concern\u00e9es, DORA est un acte juridique sectoriel de l\u2019Union au sens de l\u2019article 4 de la directive NIS2. Les r\u00e8gles sp\u00e9cifiques de DORA s\u2019appliquent donc aux exigences pertinentes relatives \u00e0 la gestion des risques de cybers\u00e9curit\u00e9 et \u00e0 la notification des incidents importants. On ne peut pas en d\u00e9duire que toutes les autres obligations susceptibles de d\u00e9couler de NIS2 cessent de s\u2019appliquer. Les entreprises devraient examiner leur situation concr\u00e8te en fonction de leurs activit\u00e9s et des dispositions nationales.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est ferm\u00e9e. Appuyez dessus pour afficher la&nbsp;r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Depuis quand DORA s\u2019applique-t-il ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Le r\u00e8glement est applicable depuis le 17 janvier 2025. Il s\u2019applique directement dans les \u00c9tats membres de l\u2019UE.<\/p>\n<\/details>\n<details>\n<summary><strong>Chaque entit\u00e9 financi\u00e8re doit-elle effectuer un TLPT ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non. L\u2019obligation concerne les entit\u00e9s d\u00e9sign\u00e9es selon les crit\u00e8res du r\u00e8glement. Pour celles-ci, l\u2019intervalle entre les tests est en principe de trois ans au maximum.<\/p>\n<\/details>\n<details>\n<summary><strong>DORA remplace-t-il toutes les obligations de NIS2 ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Pour les entit\u00e9s financi\u00e8res concern\u00e9es, les r\u00e8gles sectorielles de DORA priment en ce qui concerne les exigences pertinentes relatives \u00e0 la gestion des risques et \u00e0 la d\u00e9claration des incidents. L\u2019applicabilit\u00e9 des autres dispositions doit \u00eatre examin\u00e9e au cas par cas.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=fr--><\/p>\n<h3 style=\"margin:48px 0 18px;font-size:1.05em;font-weight:800;color:#e6e3da;line-height:1.2;\">S\u00e9lection de la r\u00e9daction<\/h3>\n<p><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/06\/29\/dora-en-fonction-ce-que-la-surveillance-veut-voir\/\" style=\"display:flex;align-items:center;gap:14px;padding:12px 14px;margin:0 0 10px;background:#23261f;border:1px solid rgba(105,216,237,0.18);border-radius:12px;box-shadow:0 6px 18px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;box-sizing:border-box;width:100%;\"><span style=\"flex:0 0 116px;aspect-ratio:16\/9;overflow:hidden;border-radius:8px;background:#111210;border:1px solid rgba(230,227,218,0.08);display:block;\"><img decoding=\"async\" src=\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/dora-finanzinstitute-resilienz-nachweis-tlpt-cover-hero-250x141.jpg\" alt=\"\" loading=\"lazy\" width=\"116\" height=\"65\" style=\"width:100%;height:100%;object-fit:cover;display:block;\"><\/span><span style=\"display:block;min-width:0;\"><span style=\"display:block;font-size:0.68em;font-weight:700;letter-spacing:0.1em;text-transform:uppercase;color:#69d8ed;margin-bottom:5px;\">\u00c0 lire<\/span><span style=\"display:block;font-size:1.0em;font-weight:650;line-height:1.35;color:#e6e3da;overflow-wrap:anywhere;\">DORA en fonction : ce que la surveillance veut voir<\/span><\/span><\/a><a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/06\/25\/a-partir-de-quand-lhorloge-du-delai-de-declaration-commence-t-elle-vraiment-a\/\" style=\"display:flex;align-items:center;gap:14px;padding:12px 14px;margin:0 0 10px;background:#23261f;border:1px solid rgba(105,216,237,0.18);border-radius:12px;box-shadow:0 6px 18px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;box-sizing:border-box;width:100%;\"><span style=\"flex:0 0 116px;aspect-ratio:16\/9;overflow:hidden;border-radius:8px;background:#111210;border:1px solid rgba(230,227,218,0.08);display:block;\"><img decoding=\"async\" src=\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/nis2-dora-dsgvo-meldefristen-vergleich-startpunkt-incident-cover-hero-1-250x143.jpg\" alt=\"\" loading=\"lazy\" width=\"116\" height=\"65\" style=\"width:100%;height:100%;object-fit:cover;display:block;\"><\/span><span style=\"display:block;min-width:0;\"><span style=\"display:block;font-size:0.68em;font-weight:700;letter-spacing:0.1em;text-transform:uppercase;color:#69d8ed;margin-bottom:5px;\">\u00c0 lire<\/span><span style=\"display:block;font-size:1.0em;font-weight:650;line-height:1.35;color:#e6e3da;overflow-wrap:anywhere;\">\u00c0 partir de quand l\u2019horloge du d\u00e9lai de d\u00e9claration commence-t-elle vraiment \u00e0 ticter ?<\/span><\/span><\/a><\/p>\n<h3 style=\"margin:48px 0 18px;font-size:1.05em;font-weight:800;color:#e6e3da;line-height:1.2;\">Plus du r\u00e9seau MBF Media<\/h3>\n<p><a href=\"https:\/\/www.cloudmagazin.com\/fr\/2026\/06\/29\/migration-kritis-vers-le-cloud-ce-qui-garantit-la-securite\/\" style=\"display:flex;align-items:center;gap:14px;padding:12px 14px;margin:0 0 10px;background:#23261f;border:1px solid rgba(105,216,237,0.18);border-radius:12px;box-shadow:0 6px 18px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;box-sizing:border-box;width:100%;\"><span style=\"flex:0 0 116px;aspect-ratio:16\/9;overflow:hidden;border-radius:8px;background:#111210;border:1px solid rgba(230,227,218,0.08);display:block;\"><img decoding=\"async\" src=\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/11\/net-kritis-cloud-migration-c5-nis2-dachgeset-54268377.jpg\" alt=\"\" loading=\"lazy\" width=\"116\" height=\"65\" style=\"width:100%;height:100%;object-fit:cover;display:block;\"><\/span><span style=\"display:block;min-width:0;\"><span style=\"display:block;font-size:0.68em;font-weight:700;letter-spacing:0.1em;text-transform:uppercase;color:#0bb7fd;margin-bottom:5px;\">cloudmagazin<\/span><span style=\"display:block;font-size:1.0em;font-weight:650;line-height:1.35;color:#e6e3da;overflow-wrap:anywhere;\">Migration KRITIS vers le cloud : ce qui garantit la securite<\/span><\/span><\/a><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Source de l\u2019image : g\u00e9n\u00e9r\u00e9e par IA (juillet 2026), certificat C2PA int\u00e9gr\u00e9 \u00e0 l\u2019image<\/p>\n<h3>\u00c0 d\u00e9couvrir dans le r\u00e9seau MBF Media<\/h3>\n<ul>\n<li><a href=\"https:\/\/www.cloudmagazin.com\/fr\/2026\/06\/29\/migration-kritis-vers-le-cloud-ce-qui-garantit-la-securite\/\">Infrastructures critiques dans le cloud : s\u00e9curiser la migration<\/a><\/li>\n<\/ul>\n<p style=\"text-align:right;\"><em>Source de l&rsquo;image : g\u00e9n\u00e9r\u00e9e par IA (Juli 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"DORA s\u2019applique depuis janvier 2025. Le r\u00e8glement encadre les risques TIC, la d\u00e9claration des incidents et les tests de r\u00e9silience dans la finance.","protected":false},"author":50,"featured_media":20758,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"r\u00e8glement dora","_yoast_wpseo_title":"Qu\u2019est-ce que DORA ? D\u00e9finition et obligations","_yoast_wpseo_metadesc":"DORA pour les entit\u00e9s financi\u00e8res : champ d\u2019application, risques TIC, d\u00e9lais de d\u00e9claration, tests de r\u00e9silience et articulation avec NIS2.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[264],"tags":[],"class_list":["post-21979","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheitslexikon-fr"],"evm_reading_time_minutes":6,"wpml_language":"fr","wpml_translation_of":20746,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=21979"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21979\/revisions"}],"predecessor-version":[{"id":26385,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21979\/revisions\/26385"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/20758"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=21979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=21979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=21979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}