Points cl\u00e9s<\/p>\n
- \n
- Le d\u00e9lai est arriv\u00e9 :<\/strong> Le registre des prestataires tiers ICT devait \u00eatre d\u00e9clar\u00e9 \u00e0 la BaFin (Bundesanstalt f\u00fcr Finanzdienstleistungsaufsicht – Autorit\u00e9 f\u00e9d\u00e9rale de supervision financi\u00e8re allemande) avant le 30 mars 2026 et doit \u00eatre maintenu \u00e0 jour en continu. Ceux qui le consid\u00e8rent comme un exercice ponctuel \u00e9choueront lors du prochain audit.<\/li>\n
- Les tests deviennent s\u00e9rieux :<\/strong> Pour les \u00e9tablissements d\u2019importance syst\u00e9mique, des tests d\u2019intrusion bas\u00e9s sur les menaces, couvrant l\u2019ensemble de la cha\u00eene d\u2019approvisionnement ICT, sont d\u00e9sormais obligatoires. La BaFin pr\u00e9cisera les exigences au cours de l\u2019ann\u00e9e.<\/li>\n
- Le cloud est concern\u00e9 :<\/strong> 19 prestataires de services informatiques sont consid\u00e9r\u00e9s comme des fournisseurs tiers critiques sous supervision directe de l\u2019UE, parmi lesquels les grands hyperscalers. Cela modifie les responsabilit\u00e9s et le rapport de force dans les n\u00e9gociations.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/span>Quand le compte \u00e0 rebours des d\u00e9lais de d\u00e9claration commence vraiment<\/a> \/<\/span> Loi-cadre KRITIS : quand la r\u00e9silience devient une obligation pour le RSSI<\/a><\/p>\n
DORA s\u2019applique, mais la mise en \u0153uvre tra\u00eene<\/h2>\n
Qu\u2019est-ce que DORA ?<\/strong> DORA (Digital Operational Resilience Act) est un r\u00e8glement europ\u00e9en visant \u00e0 renforcer la r\u00e9silience op\u00e9rationnelle num\u00e9rique du secteur financier. Entr\u00e9 en vigueur le 17 janvier 2025, il s\u2019applique directement et impose aux banques, aux assureurs ainsi qu\u2019\u00e0 leurs prestataires informatiques une gestion des risques tra\u00e7able, une notification des incidents dans les d\u00e9lais et des tests r\u00e9guliers de r\u00e9silience.<\/p>\n
Ce r\u00e8glement est donc depuis longtemps une obligation l\u00e9gale. Pourtant, fin 2025, sa mise en \u0153uvre restait incompl\u00e8te dans de nombreux \u00e9tablissements : selon des enqu\u00eates sectorielles, seule la moiti\u00e9 environ des institutions financi\u00e8res europ\u00e9ennes avaient satisfait \u00e0 toutes les exigences, tandis qu\u2019une part importante avait report\u00e9 l\u2019objectif de conformit\u00e9 \u00e0 2026. Pour les \u00e9quipes de s\u00e9curit\u00e9, cela signifie une chose : la preuve de conformit\u00e9 doit d\u00e9sormais \u00eatre apport\u00e9e en continu, dans le cadre des op\u00e9rations courantes.<\/p>\n
La gestion des risques doit \u00eatre tra\u00e7able<\/h2>\n
Le premier pilier repose sur une gestion document\u00e9e des risques ICT. DORA exige des preuves tangibles plut\u00f4t qu\u2019un concept th\u00e9orique : un inventaire des actifs bien tenu, des responsabilit\u00e9s clairement d\u00e9finies et des contr\u00f4les op\u00e9rationnels en cas de crise. Sans un inventaire pr\u00e9cis de ses syst\u00e8mes critiques, impossible d\u2019\u00e9valuer les risques ou de r\u00e9ussir un audit.<\/p>\n
Dans la pratique, l\u2019erreur la plus fr\u00e9quente consiste \u00e0 concevoir le cadre comme un simple document, d\u00e9connect\u00e9 des op\u00e9rations. Un registre des risques qui prend la poussi\u00e8re apr\u00e8s l\u2019audit ne sert \u00e0 rien. Les autorit\u00e9s de surveillance recherchent des processus vivants. Ceux-ci se manifestent \u00e0 travers les logs, les tickets et des plans de continuit\u00e9 test\u00e9s.<\/p>\n
\nenviron 50 %<\/div>\ndes institutions financi\u00e8res europ\u00e9ennes avaient pleinement mis en \u0153uvre les exigences DORA fin 2025.<\/div>\nSource : Enqu\u00eates sectorielles sur la conformit\u00e9 DORA 2025.<\/div>\n<\/div>\nSignaler les incidents avant l’expiration du d\u00e9lai<\/h2>\n
Le deuxi\u00e8me pilier est le signalement des incidents. DORA impose de classifier les incidents ICT graves et de les notifier dans les d\u00e9lais aux autorit\u00e9s de surveillance. Cela semble simple, mais \u00e9choue souvent en raison du manque de pr\u00e9paration. Si, en cas d’urgence, il faut d’abord d\u00e9terminer qui signale, \u00e0 qui et dans quel d\u00e9lai, les heures critiques sont d\u00e9j\u00e0 perdues.<\/p>\n
C’est l\u00e0 que la routine \u00e9prouv\u00e9e fait la diff\u00e9rence. Un processus de signalement doit \u00eatre test\u00e9 comme une sauvegarde : simul\u00e9 une fois par trimestre, avec des r\u00f4les clairs et des voies d’escalade d\u00e9finies. Les d\u00e9lais de notification varient selon les r\u00e9glementations, d’o\u00f9 l’importance de bien d\u00e9finir le point de d\u00e9part du compte \u00e0 rebours.<\/p>\n
<\/p>\n
Des tests qui impactent toute la cha\u00eene d’approvisionnement<\/h2>\n
Le troisi\u00e8me pilier est le test d’intrusion guid\u00e9 par les menaces, ou TLPT (Threat-Led Penetration Testing). Au-del\u00e0 du pentest classique, DORA impose aux \u00e9tablissements concern\u00e9s des simulations d’attaques r\u00e9alistes, inspir\u00e9es des m\u00e9thodes des v\u00e9ritables cybercriminels et incluant la cha\u00eene d’approvisionnement ICT. La fr\u00e9quence et le p\u00e9rim\u00e8tre des tests d\u00e9pendent de la taille et de la criticit\u00e9 syst\u00e9mique de l’institution. La BaFin (l’autorit\u00e9 f\u00e9d\u00e9rale de supervision financi\u00e8re allemande) devrait pr\u00e9ciser prochainement les exigences d\u00e9taill\u00e9es.<\/p>\n
Ces piliers se traduisent par des missions concr\u00e8tes pour les \u00e9quipes de s\u00e9curit\u00e9.<\/p>\n
\n - Les tests deviennent s\u00e9rieux :<\/strong> Pour les \u00e9tablissements d\u2019importance syst\u00e9mique, des tests d\u2019intrusion bas\u00e9s sur les menaces, couvrant l\u2019ensemble de la cha\u00eene d\u2019approvisionnement ICT, sont d\u00e9sormais obligatoires. La BaFin pr\u00e9cisera les exigences au cours de l\u2019ann\u00e9e.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/wenn-hci-auch-das-backup-absichern-muss-hero-250x141.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/maschinen-identitaeten-offboarding-owasp-nhi-cover-hero-250x143.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/protective-dns-malware-phishing-abwehr-resolver-cover-hero-1-250x143.jpg\")
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-kritis-cloud-migration-c5-nis2-dachgeset-70478771.jpg\")