7 min de lecture<\/p>\n
3.600 entreprises financi\u00e8res en Allemagne sont soumises \u00e0 une nouvelle r\u00e9glementation sans p\u00e9riode de transition. Le Digital Operational Resilience Act (DORA) est entr\u00e9 en vigueur le 17 janvier 2025 et exige des banques, assureurs et gestionnaires d’actifs un niveau de r\u00e9silience num\u00e9rique que beaucoup doivent encore d\u00e9velopper. Selon Advisori, 44 % des entreprises financi\u00e8res allemandes rencontrent des difficult\u00e9s importantes de mise en \u0153uvre. Les co\u00fbts d’impl\u00e9mentation pour les grands \u00e9tablissements s’\u00e9l\u00e8vent \u00e0 25 \u00e0 150 millions d’euros selon McKinsey. La BaFin a annonc\u00e9 qu’elle entamerait des contr\u00f4les syst\u00e9matiques en 2026. Pour le secteur financier allemand, DORA devient un test d\u00e9cisif : celui qui remplit les exigences d\u00e9montre sa maturit\u00e9 num\u00e9rique. Celui qui \u00e9choue risque non seulement des amendes, mais aussi la confiance du march\u00e9.<\/strong><\/p>\n DORA repose sur cinq piliers qui forment ensemble un cadre complet de r\u00e9silience op\u00e9rationnelle num\u00e9rique. Il ne suffit pas de mettre en \u0153uvre des mesures isol\u00e9es. La BaFin<\/a> attend un syst\u00e8me int\u00e9gr\u00e9.<\/p>\n Pilier 1 : Gestion des risques TIC.<\/strong> Un cadre complet couvrant l’identification des actifs, l’analyse des risques, les mesures de protection, la d\u00e9tection des menaces, la r\u00e9ponse aux incidents et la reprise apr\u00e8s sinistre. Aucune entreprise financi\u00e8re ne peut plus fonctionner sans gestion document\u00e9e des risques TIC. Cela semble \u00e9vident, mais en pratique, ce n’est pas le cas : de nombreux gestionnaires d’actifs et prestataires de services de paiement plus petits ont jusqu’ici travaill\u00e9 avec des processus informels.<\/p>\n Pilier 2 : Gestion et d\u00e9claration des incidents.<\/strong> Obligation de d\u00e9clarer les incidents TIC graves. Les d\u00e9lais s’inspirent de NIS2<\/a> mais sont sp\u00e9cifiques \u00e0 DORA : alerte pr\u00e9coce, notification d’incident et rapport final. Toute entreprise sans processus de d\u00e9claration fonctionnel enfreint la loi d\u00e8s le premier incident.<\/p>\n Pilier 3 : Tests de r\u00e9silience op\u00e9rationnelle num\u00e9rique.<\/strong> Tests de charge r\u00e9guliers et exercices bas\u00e9s sur des sc\u00e9narios. Pour les \u00e9tablissements syst\u00e9miques s’ajoutent les Threat-Led Penetration Testing (TLPT) : des attaques simul\u00e9es par des \u00e9quipes rouges externes reproduisant des sc\u00e9narios de menaces r\u00e9els. C’est un saut quantique par rapport aux tests de p\u00e9n\u00e9tration annuels pr\u00e9c\u00e9dents.<\/p>\n Pilier 4 : Gestion des risques li\u00e9s aux tiers.<\/strong> Tous les contrats avec fournisseurs TIC externes doivent contenir des clauses conformes \u00e0 DORA : SLA, droits d’audit, droits de r\u00e9siliation, strat\u00e9gies de sortie et obligations de notification d’incident. Pour une banque ayant des centaines de contrats informatiques, cela signifie une v\u00e9rification compl\u00e8te et une ren\u00e9gociation de son portefeuille contractuel.<\/p>\n Pilier 5 : Partage d’informations sur les cybermenaces.<\/strong> \u00c9change d’informations sur les menaces entre entreprises financi\u00e8res. Volontaire mais recommand\u00e9. La DCSO<\/a> (port\u00e9e par Allianz, BASF, Bayer, VW) est pionni\u00e8re \u00e0 cet \u00e9gard, mais le secteur financier a besoin de ses propres formats.<\/p>\n Sources : R\u00e8glement DORA UE 2022\/2554, BaFin<\/p>\n Jens Obermoeller, chef du groupe Surveillance IT \u00e0 la BaFin, a clairement indiqu\u00e9 la direction. Dans un entretien technique, il a formul\u00e9 en substance : La concentration sur quelques fournisseurs d’un c\u00f4t\u00e9 et une cha\u00eene de valeur fragment\u00e9e de l’autre compliquent le contr\u00f4le des processus critiques. Un incident chez un prestataire informatique syst\u00e9mique peut d\u00e9clencher un effet domino affectant l’ensemble du march\u00e9 financier.<\/p>\n La BaFin a propos\u00e9 en f\u00e9vrier 2026 des ateliers pour la deuxi\u00e8me s\u00e9rie de d\u00e9clarations au registre d’information. La date limite de d\u00e9claration s’\u00e9tend du 9 au 30 mars 2026. Pour 2026 et 2027, la BaFin a annonc\u00e9 des contr\u00f4les et des v\u00e9rifications syst\u00e9matiques, en mettant l’accent sur la qualit\u00e9 et l’exhaustivit\u00e9 des registres d’information. C’est la transition de la phase de mise en \u0153uvre \u00e0 la phase d’application.<\/p>\n Particuli\u00e8rement important pour le march\u00e9 : La BAIT (Exigences prudentielles en mati\u00e8re d’IT), depuis 2017 le cadre r\u00e9glementaire central pour les banques allemandes, sera totalement abrog\u00e9e au 31 d\u00e9cembre 2026. DORA remplace la BAIT non seulement en substance mais aussi formellement. Pour les \u00e9tablissements qui se sont jusqu’ici appuy\u00e9s sur la BAIT, le cadre r\u00e9glementaire de r\u00e9f\u00e9rence change compl\u00e8tement. La conformit\u00e9 BAIT n’assure pas la conformit\u00e9 DORA, car DORA va nettement plus loin dans plusieurs domaines.<\/p>\n L’analyse de McKinsey<\/a> sur les co\u00fbts d’impl\u00e9mentation de DORA est accablante. Seuls les co\u00fbts de strat\u00e9gie, de planification et d’orchestration s’\u00e9l\u00e8vent \u00e0 5 \u00e0 15 millions d’euros selon les consultants. Les co\u00fbts totaux d’impl\u00e9mentation pour les grands \u00e9tablissements atteignent 25 \u00e0 150 millions d’euros, soit 5 \u00e0 10 fois le budget initial du programme. 70 % des r\u00e9pondants s’attendent \u00e0 des co\u00fbts d’exploitation durablement plus \u00e9lev\u00e9s pour la technologie et le contr\u00f4le.<\/p>\n 40 % des \u00e9tablissements financiers et fournisseurs TIC consacrent plus de sept postes \u00e0 temps plein \u00e0 leurs programmes de conformit\u00e9 DORA. Un tiers seulement \u00e9tait confiant dans le fait de remplir toutes les exigences d’ici la date butoir de janvier 2025. 50 % s’attendaient \u00e0 une conformit\u00e9 compl\u00e8te d’ici fin 2025, 38 % seulement en 2026.<\/p>\n Pour les entreprises financi\u00e8res de taille moyenne (banques r\u00e9gionales, assureurs sp\u00e9cialis\u00e9s, prestataires de paiement), Advisori estime le d\u00e9lai n\u00e9cessaire \u00e0 6 \u00e0 12 mois pour une conformit\u00e9 substantielle et \u00e0 12 \u00e0 18 mois pour une conformit\u00e9 totale. Selon l’analyse, 44 % des entreprises financi\u00e8res allemandes rencontrent des difficult\u00e9s importantes de mise en \u0153uvre. Le niveau moyen d’application atteint environ deux tiers des exigences.<\/p>\n Les sanctions en cas de manquement sont s\u00e9v\u00e8res : jusqu’\u00e0 10 % du chiffre d’affaires annuel ou 10 millions d’euros pour les infractions graves. Des amendes pouvant atteindre un million d’euros menacent les dirigeants individuels. Cela fait de la conformit\u00e9 DORA une question de responsabilit\u00e9 personnelle au niveau de la direction.<\/p>\n Le 18 novembre 2025, les autorit\u00e9s de surveillance europ\u00e9ennes (EBA, ESMA, EIOPA) ont publi\u00e9 pour la premi\u00e8re fois une liste de 19 fournisseurs externes TIC critiques (CTPP). Pour la premi\u00e8re fois dans l’histoire de la surveillance financi\u00e8re, les fournisseurs de cloud et les prestataires informatiques sont plac\u00e9s sous surveillance directe de l’UE.<\/p>\n La liste<\/a> comprend notamment : Amazon Web Services, Microsoft, Google Cloud, IBM, Oracle, Accenture, Capgemini et NTT DATA. Deux entreprises allemandes figurent sur la liste : Deutsche Telekom AG<\/strong> et SAP SE<\/strong>. Les crit\u00e8res de d\u00e9signation : impact syst\u00e9mique en cas de d\u00e9faillance, importance des \u00e9tablissements financiers d\u00e9pendants, risque de concentration et substituabilit\u00e9.<\/p>\n Pour le secteur financier allemand, cela a deux cons\u00e9quences : Premi\u00e8rement, Deutsche Telekom et SAP, en tant que prestataires pour les banques et assureurs, seront directement contr\u00f4l\u00e9s par les ESAs. Cela renforce les exigences en mati\u00e8re de gouvernance, de normes de s\u00e9curit\u00e9 et de d\u00e9claration d’incidents. Deuxi\u00e8mement, les \u00e9tablissements financiers allemands utilisant ces fournisseurs doivent prouver leur propre surveillance des tiers. La surveillance de l’UE sur les CTPP ne remplace pas l’obligation des \u00e9tablissements de v\u00e9rifier eux-m\u00eames.<\/p>\n AWS a confirm\u00e9 la d\u00e9signation sur son blog s\u00e9curit\u00e9<\/a> et s’est engag\u00e9 \u00e0 coop\u00e9rer avec les autorit\u00e9s de surveillance. Les domaines contr\u00f4l\u00e9s : d\u00e9claration d’incidents, sous-traitance, s\u00e9curit\u00e9 TIC et gouvernance.<\/p>\n La question la plus fr\u00e9quente en pratique : Les entreprises financi\u00e8res doivent-elles respecter \u00e0 la fois DORA et NIS2<\/a> ? La r\u00e9ponse est plus claire que souvent pr\u00e9sent\u00e9e.<\/p>\n DORA est un r\u00e8glement europ\u00e9en (directement applicable), NIS2 est une directive (doit \u00eatre transpos\u00e9e au niveau national). Le principe de lex specialis s’applique : DORA prime sur NIS2 en mati\u00e8re de risques TIC dans le secteur financier. Les banques et \u00e9tablissements de cr\u00e9dit rel\u00e8vent de DORA et non de NIS2. Les infrastructures de march\u00e9 financier (places de n\u00e9goce, contreparties centrales) \u00e9galement.<\/p>\n Les diff\u00e9rences en d\u00e9tail : NIS2 recommande des \u00e9valuations de vuln\u00e9rabilit\u00e9s, DORA impose des Threat-Led Penetration Testing (beaucoup plus exigeants). Pour les fournisseurs externes, DORA instaure une surveillance directe des CTPP, NIS2 exige uniquement une gestion des risques sans surveillance directe. Et tandis que NIS2 r\u00e9gule 18 secteurs transversaux, DORA se concentre exclusivement sur le secteur financier avec des exigences plus sp\u00e9cifiques et plus strictes.<\/p>\n Pour les entreprises exer\u00e7ant \u00e0 la fois des activit\u00e9s financi\u00e8res et exploitant des infrastructures critiques (par exemple une assurance exploitant ses propres centres de donn\u00e9es), les deux r\u00e9glementations peuvent s’appliquer. Dans ce cas : DORA pour les activit\u00e9s financi\u00e8res, NIS2 pour l’infrastructure.<\/p>\n La critique de DORA est r\u00e9elle et vient du secteur lui-m\u00eame. Des co\u00fbts d’impl\u00e9mentation de 25 \u00e0 150 millions d’euros pour un texte r\u00e9glementaire sans p\u00e9riode de transition constituent un fardeau \u00e9norme, particuli\u00e8rement pour les petits \u00e9tablissements. Les caisses d’\u00e9pargne r\u00e9gionales et les banques coop\u00e9ratives, qui fonctionnaient bien avec la BAIT jusqu’ici, doivent maintenant respecter des normes europ\u00e9ennes con\u00e7ues pour les grandes banques mondiales.<\/p>\n S’ajoute le chevauchement : DORA, NIS2 et le r\u00e8glement sur l’IA cr\u00e9ent ensemble une densit\u00e9 r\u00e9glementaire sans \u00e9quivalent mondial. Pour un prestataire de services financiers prenant des d\u00e9cisions de cr\u00e9dit assist\u00e9es par l’IA, les trois r\u00e9glementations peuvent potentiellement s’appliquer simultan\u00e9ment. Les d\u00e9partements de conformit\u00e9 s’agrandissent, mais pas la cr\u00e9ation de valeur propre.<\/p>\n Et la surveillance des CTPP comporte un paradoxe : Si l’UE supervise directement les grands fournisseurs de cloud, cela pourrait entra\u00eener une consolidation. Les fournisseurs de cloud plus petits, incapables de supporter la charge de surveillance, se retireraient du secteur financier. La d\u00e9pendance aux grands acteurs augmenterait au lieu de diminuer.<\/p>\n Le contre-argument plaide en faveur de DORA : Un seul incident cybern\u00e9tique grave dans une banque allemande peut causer des pertes de plusieurs milliards, \u00e9branler la confiance dans le centre financier et entra\u00eener des cons\u00e9quences r\u00e9glementaires allant bien au-del\u00e0 des amendes DORA.<\/p>\n Le centre financier de Francfort<\/a> concurrence Londres, Paris et Amsterdam. Dans un contexte o\u00f9 les investisseurs internationaux \u00e9valuent la maturit\u00e9 en cybers\u00e9curit\u00e9 comme un crit\u00e8re de qualit\u00e9, la conformit\u00e9 DORA devient un argument de localisation. Un centre financier qui d\u00e9montre sa r\u00e9silience attire plus de capitaux qu’un centre qui se contente d’affirmer sa r\u00e9silience.<\/p>\n Et les \u00e9tablissements allemands ont un avantage de d\u00e9part : L’exp\u00e9rience avec la BAIT depuis 2017 a cr\u00e9\u00e9 un socle de conformit\u00e9 sur lequel DORA peut s’appuyer. Le Bankenverband<\/a> souligne que les \u00e9tablissements financiers allemands sont consid\u00e9r\u00e9s comme \u00ab pionniers dans les domaines de la s\u00e9curit\u00e9 et de la conformit\u00e9 \u00bb. DORA \u00e9l\u00e8ve les exigences au niveau europ\u00e9en, mais l’Allemagne ne part pas de z\u00e9ro.<\/p>\n 1. Construire et d\u00e9clarer le registre d’information.<\/strong> La date limite de d\u00e9claration de la BaFin pour la deuxi\u00e8me soumission s’\u00e9tend du 9 au 30 mars 2026. Le registre doit contenir tous les contrats avec fournisseurs TIC externes, incluant les SLA, l’\u00e9valuation de criticit\u00e9 et les strat\u00e9gies de sortie. Celui qui a manqu\u00e9 la premi\u00e8re s\u00e9rie doit rattraper maintenant.<\/p>\n 2. Formaliser le cadre de gestion des risques TIC.<\/strong> Processus document\u00e9s pour l’identification des actifs, l’analyse des risques, les mesures de protection et la r\u00e9ponse aux incidents. Le cadre doit \u00eatre approuv\u00e9 par la direction et r\u00e9guli\u00e8rement r\u00e9vis\u00e9. Les documents BAIT peuvent servir de point de d\u00e9part mais doivent \u00eatre \u00e9tendus pour r\u00e9pondre aux exigences DORA.<\/p>\n 3. V\u00e9rifier les contrats avec les fournisseurs TIC externes.<\/strong> Chaque contrat doit inclure des clauses conformes \u00e0 DORA : droits d’audit, SLA avec des indicateurs de performance mesurables, droits de r\u00e9siliation, strat\u00e9gies de sortie et obligations de notification d’incident. Avec des centaines de contrats, cela repr\u00e9sente un projet de plusieurs mois.<\/p>\n 4. Planifier les tests de p\u00e9n\u00e9tration orient\u00e9s par les menaces.<\/strong> Pour les \u00e9tablissements syst\u00e9miques, le TLPT est obligatoire. Cela n\u00e9cessite des \u00e9quipes rouges externes qualifi\u00e9es capables de simuler des sc\u00e9narios de menaces r\u00e9els. Les tests doivent \u00eatre approuv\u00e9s par la BaFin et les r\u00e9sultats d\u00e9clar\u00e9s. Planifiez t\u00f4t, car les fournisseurs qualifi\u00e9s de TLPT sont en nombre limit\u00e9.<\/p>\n 5. Mettre en place des rapports de niveau direction.<\/strong> DORA fait de la gestion des risques TIC une responsabilit\u00e9 de la direction. Des rapports r\u00e9guliers \u00e0 la direction et au conseil de surveillance sur le profil de risque TIC, les incidents et le statut de conformit\u00e9. Celui qui d\u00e9l\u00e8gue cela au d\u00e9partement informatique sans implication de la direction viole l’esprit, et potentiellement la lettre, du r\u00e8glement.<\/p>\n DORA est la r\u00e9glementation TIC la plus stricte que le secteur financier europ\u00e9en ait jamais connue. 3.600 entreprises en Allemagne doivent supporter des co\u00fbts d’impl\u00e9mentation allant jusqu’\u00e0 150 millions d’euros. 44 % rencontrent des difficult\u00e9s importantes. La BaFin passe en 2026 de la phase d’introduction \u00e0 la phase d’application. Et 19 fournisseurs TIC externes critiques sont pour la premi\u00e8re fois plac\u00e9s sous surveillance directe de l’UE. Pour le secteur financier allemand, c’est \u00e0 la fois un d\u00e9fi et une opportunit\u00e9 : celui qui d\u00e9montre sa conformit\u00e9 DORA prouve sa maturit\u00e9 num\u00e9rique sur un march\u00e9 o\u00f9 la confiance est la monnaie la plus dure.<\/p>\n Oui, mais avec proportionnalit\u00e9. Les petites entreprises financi\u00e8res doivent remplir les obligations principales (gestion des risques TIC, d\u00e9claration d’incidents, surveillance des tiers), mais peuvent utiliser des cadres simplifi\u00e9s. Le test de p\u00e9n\u00e9tration orient\u00e9 par les menaces (TLPT) est obligatoire uniquement pour les \u00e9tablissements syst\u00e9miques. La BaFin a annonc\u00e9 qu’elle tiendrait compte de la taille et de la complexit\u00e9 de l’\u00e9tablissement lors des contr\u00f4les.<\/p>\n Les exigences prudentielles en mati\u00e8re d’IT seront totalement abrog\u00e9es le 31 d\u00e9cembre 2026. DORA remplace la BAIT comme r\u00e9f\u00e9rence r\u00e9glementaire. Les \u00e9tablissements qui \u00e9taient conformes \u00e0 la BAIT ont une bonne base mais doivent am\u00e9liorer plusieurs points : le TLPT, la surveillance des tiers et le registre d’information formalis\u00e9 vont au-del\u00e0 de la BAIT.<\/p>\n DORA est consid\u00e9r\u00e9e comme une r\u00e9glementation sp\u00e9cifique (lex specialis) pour le secteur financier et prime sur NIS2 en mati\u00e8re de risques TIC. DORA est plus stricte : tests de p\u00e9n\u00e9tration orient\u00e9s par les menaces au lieu d’\u00e9valuations de vuln\u00e9rabilit\u00e9s simples, surveillance directe des fournisseurs externes critiques au lieu d’une simple gestion des risques, et exigences de d\u00e9claration d’incidents plus sp\u00e9cifiques. Les banques rel\u00e8vent de DORA et non de NIS2.<\/p>\n Les \u00e9tablissements financiers utilisant AWS, Azure, Google Cloud, SAP ou Deutsche Telekom b\u00e9n\u00e9ficient de la surveillance suppl\u00e9mentaire de l’UE sur ces fournisseurs. Mais : la surveillance des CTPP ne remplace pas la diligence propre. Chaque \u00e9tablissement doit continuer \u00e0 v\u00e9rifier et documenter si son fournisseur cloud remplit les exigences DORA.<\/p>\n Selon Advisori : 6 \u00e0 12 mois pour une conformit\u00e9 substantielle, 12 \u00e0 18 mois pour une conformit\u00e9 compl\u00e8te. Les co\u00fbts directs d\u00e9pendent de la situation initiale. Les \u00e9tablissements ayant d\u00e9j\u00e0 une conformit\u00e9 BAIT partent mieux que ceux qui n’en ont pas. McKinsey estime les co\u00fbts totaux pour les grands \u00e9tablissements \u00e0 25 \u00e0 150 millions d’euros. Pour les \u00e9tablissements de taille moyenne (banque r\u00e9gionale, assureur sp\u00e9cialis\u00e9), une fraction de ce montant est r\u00e9aliste : 1 \u00e0 5 millions d’euros selon la complexit\u00e9.<\/p>\n NIS2 en Allemagne : ce que les entreprises doivent mettre en \u0153uvre maintenant<\/a> (SecurityToday)<\/p>\n R\u00e9ponse aux incidents \u00e0 l’allemande : BSI et DCSO<\/a> (SecurityToday)<\/p>\n NIS2 comme avantage pour le lieu d’implantation<\/a> (SecurityToday)<\/p>\nL’essentiel<\/h2>\n
\n
Ce que DORA exige des entreprises financi\u00e8res<\/h2>\n
Ce que pr\u00e9voit la BaFin pour 2026<\/h2>\n
La question des co\u00fbts : 25 \u00e0 150 millions d’euros<\/h2>\n
19 fournisseurs externes critiques sous supervision directe de l’UE<\/h2>\n
DORA vs. NIS2 : Quand s’applique quoi ?<\/h2>\n
La position contraire : Sur-r\u00e9glementation du secteur financier ?<\/h2>\n
Pourquoi DORA reste un avantage pour le lieu d’implantation<\/h2>\n
Cinq \u00e9tapes vers la conformit\u00e9 DORA<\/h2>\n
Conclusion<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
DORA s’applique-t-elle aussi aux petites entreprises financi\u00e8res ?<\/h3>\n
Que devient la BAIT ?<\/h3>\n
En quoi DORA diff\u00e8re-t-elle de NIS2 ?<\/h3>\n
Que signifie la liste CTPP pour les clients du cloud ?<\/h3>\n
Quel est le co\u00fbt de la conformit\u00e9 DORA pour un \u00e9tablissement de taille moyenne ?<\/h3>\n
Lectures compl\u00e9mentaires<\/h2>\n