1 min de lecture<\/p>\n
DORA est pleinement applicable depuis le 17 janvier 2025. Apr\u00e8s les premiers mois, il appara\u00eet que les exigences techniques en mati\u00e8re de gestion des risques ICT, de tests et de contr\u00f4le des tiers sont complexes – mais le plus grand goulot d’\u00e9tranglement est souvent non pas la technique, mais la gouvernance et les contrats avec les tiers.<\/strong><\/p>\n 1. Gestion des risques ICT :<\/strong> Cadre complet avec politique de gestion des risques, inventaire des actifs, mesures de protection et surveillance. Non seulement document\u00e9, mais v\u00e9cu et r\u00e9guli\u00e8rement test\u00e9.<\/p>\n 2. D\u00e9claration des incidents ICT :<\/strong> Les incidents significatifs doivent \u00eatre signal\u00e9s \u00e0 l’autorit\u00e9 comp\u00e9tente dans un d\u00e9lai de 4 heures (alerte initiale), 24 heures (rapport interm\u00e9diaire) et 1 mois (rapport final). Des crit\u00e8res de classification clairs pour \u00ab significatif \u00bb sont obligatoires.<\/p>\n 3. Tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique :<\/strong> Programmes de tests ICT annuels, pour les institutions importantes, tests de p\u00e9n\u00e9tration bas\u00e9s sur les menaces (TLPT) tous les 3 ans avec des testeurs externes certifi\u00e9s.<\/p>\n 4. Gestion des tiers ICT :<\/strong> Registre de tous les prestataires ICT critiques, classification des risques, clauses contractuelles (droits d’audit, plans de sortie, sous-traitance), analyse des risques de concentration.<\/p>\n 5. Partage d’informations :<\/strong> \u00c9change volontaire d’informations sur les menaces cyber au sein du secteur financier – institutionnalis\u00e9 par DORA.<\/p>\n Adaptations des contrats avec les tiers :<\/strong> Des milliers de contrats existants avec des prestataires ICT doivent inclure des clauses DORA. De nombreux fournisseurs s’opposent aux droits d’audit ou n’acceptent pas de r\u00e9glementation de sous-traitance conforme \u00e0 DORA. Cela prend du temps et mobilise des ressources juridiques et d’achat consid\u00e9rables.<\/p>\n \u00c9valuation de la criticit\u00e9 :<\/strong> Quels prestataires ICT sont \u00ab critiques \u00bb ? Les crit\u00e8res DORA sont clairs, mais leur application en pratique l’est moins. De nombreux \u00e9tablissements ont identifi\u00e9 plus de 50 prestataires critiques – mettre en place une surveillance conforme \u00e0 DORA pour chacun d\u00e9passe les capacit\u00e9s.<\/p>\n Pr\u00e9paration au TLPT :<\/strong> Les tests de p\u00e9n\u00e9tration bas\u00e9s sur les menaces sont plus complexes que les pentests classiques. Ils n\u00e9cessitent une intelligence sur les menaces concernant le profil de menace sp\u00e9cifique de l’institution, un testeur externe certifi\u00e9 (cadre TIBER-EU) et des mois de pr\u00e9paration.<\/p>\n Les entreprises d\u00e9j\u00e0 conformes \u00e0 NIS2 ont un avantage consid\u00e9rable : le cadre de gestion des risques ICT, les processus de r\u00e9ponse aux incidents et la surveillance des tiers sont d\u00e9j\u00e0 en place. DORA exige plus de granularit\u00e9 et des exigences de tests plus sp\u00e9cifiques, mais les bases sont solides.<\/p>\n Ce qui fonctionne bien : les cha\u00eenes de signalement des incidents sont plus claires qu’avec NIS2 seul – les banques ont des ann\u00e9es d’exp\u00e9rience avec les obligations de signalement aupr\u00e8s de la BaFin et de l’EBA. Le d\u00e9lai de signalement initial de 4 heures est exigeant, mais techniquement r\u00e9alisable avec des SIEM bien configur\u00e9s et des processus d’appel en cas de besoin.<\/p>\n Date d’application de DORA :<\/strong> 17 janvier 2025<\/p>\n \u00c9tablissements concern\u00e9s :<\/strong> Plus de 22 000 entreprises financi\u00e8res dans l’UE<\/p>\n D\u00e9lai de signalement initial :<\/strong> 4 heures pour les incidents ICT significatifs<\/p>\n Obligation de TLPT :<\/strong> Tous les 3 ans pour les institutions syst\u00e9miques (cadre TIBER-EU)<\/p>\n Amendes :<\/strong> Jusqu’\u00e0 1 % du chiffre d’affaires quotidien mondial<\/p>\n Fait :<\/strong> Gr\u00e2ce \u00e0 DORA, plus de 22 000 \u00e9tablissements financiers et leurs prestataires ICT critiques dans l’UE sont tenus de r\u00e9aliser des tests de r\u00e9silience num\u00e9rique – une nouveaut\u00e9 r\u00e9glementaire.<\/p>\n Fait :<\/strong> La BaFin rapporte que 38 % des \u00e9tablissements contr\u00f4l\u00e9s pr\u00e9sentaient des lacunes dans les cadres de gestion des risques ICT lors du premier contr\u00f4le de pr\u00e9paration \u00e0 DORA.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n \u00c0 toutes les entreprises financi\u00e8res r\u00e9glement\u00e9es par l’UE : banques, assurances, entreprises d’investissement, prestataires de services de paiement, prestataires de services d’actifs crypto et prestataires ICT tiers critiques du secteur financier.<\/p>\n<\/details>\n NIS2 est un cadre horizontal pour de nombreux secteurs. DORA est sp\u00e9cifique au secteur financier et va plus loin dans plusieurs domaines : exigences de tests plus sp\u00e9cifiques, gestion des tiers plus stricte, surveillance directe des prestataires ICT tiers critiques par les ESAs.<\/p>\n<\/details>\n Les fournisseurs dont la d\u00e9faillance pourrait avoir un effet syst\u00e9mique sur le secteur financier. Les prestataires ICT tiers critiques sont directement surveill\u00e9s par les ESAs (EBA, EIOPA, ESMA) – avec leurs propres droits d’inspection et pouvoir de sanction.<\/p>\n<\/details>\n Clauses de sortie, droits d’audit (y compris pour les sous-prestataires), accords de niveau de service pour la continuit\u00e9 des activit\u00e9s, droits d’acc\u00e8s aux donn\u00e9es en cas de faillite, clauses de sous-traitance et divulgation des risques de concentration.<\/p>\n<\/details>\n TIBER-EU (Threat Intelligence-based Ethical Red Teaming) est le cadre europ\u00e9en pour les tests de p\u00e9n\u00e9tration bas\u00e9s sur les menaces. DORA rend obligatoire le TLPT selon les directives TIBER-EU pour les institutions importantes – transformant ainsi TIBER-EU d’un cadre volontaire en exigence r\u00e9glementaire.<\/p>\n<\/details>\n \u2192 DORA : plus de s\u00e9curit\u00e9 informatique et juridique dans le secteur financier<\/p>\n \u2192 Check-list NIS2 2026<\/a><\/p>\n FinTech & R\u00e9glementation : mybusinessfuture.com<\/a><\/p>\n S\u00e9curit\u00e9 pour le secteur financier : digital-chiefs.de<\/a><\/p>\n Plus du r\u00e9seau MBF Media<\/p>\nL’essentiel<\/h2>\n
\n
Les 5 piliers de DORA en vue d’ensemble<\/h2>\n
Premi\u00e8res exp\u00e9riences pratiques : ce qui est plus difficile que pr\u00e9vu<\/h2>\n
Ce qui fonctionne bien – et ce que les entreprises conformes \u00e0 NIS2 peuvent faire<\/h2>\n
Key Facts en un coup d’\u0153il<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
\u00c0 qui s’applique DORA ?<\/strong><\/summary>\n
Quelle est la diff\u00e9rence entre DORA et NIS2 ?<\/strong><\/summary>\n
Qu’est-ce qu’un prestataire ICT tiers critique selon DORA ?<\/strong><\/summary>\n
Quelles sont les clauses contractuelles DORA les plus importantes ?<\/strong><\/summary>\n
Comment DORA est-il li\u00e9 \u00e0 TIBER-EU ?<\/strong><\/summary>\n
Autres articles sur le sujet<\/h2>\n
Lectures compl\u00e9mentaires dans le r\u00e9seau<\/h2>\n
Articles connexes<\/h2>\n
\n