Maurice Müller
Responsable éditorial sénior
Maurice Müller est un journaliste et stratège en contenu bénéficiant d'une solide expérience dans les médias imprimés et numériques. Chez Formalize, il traduit des sujets complexes liés à la conformité et à la réglementation en contenus clairs et pratiques à destination des professionnels de la conformité, du risque et de la sécurité à travers l'Europe.
Points clés:
DORA s'applique directement depuis le 17 janvier 2025. En tant que règlement (et non directive), il ne nécessite aucune transposition nationale.
Il repose sur cinq piliers: la gestion des risques TIC, le signalement des incidents, les tests de résilience, la gestion des risques liés aux tiers et le partage d'informations.
DORA s'applique directement aux entités financières et touche indirectement la plupart des prestataires tiers de services TIC à travers les obligations qui pèsent sur ces entités.
L'ensemble des 13 normes techniques d'accompagnement (RTS et ITS) sont désormais finalisées et en vigueur, parachevant le cadre de Niveau 2 du règlement.
L'application est assurée par les autorités nationales compétentes pour les entités financières, et via un cadre de surveillance dédié au niveau européen pour les prestataires désignés comme critiques.
En décembre 2024, un mois avant l'entrée en application de DORA, les autorités européennes de surveillance (AES) ont publié les résultats d'un exercice à blanc volontaire portant sur le registre d'informations. Près de 1 000 entités financières y ont participé. Sur l'ensemble des registres analysés, seuls 6,5 % ont réussi la totalité des 116 contrôles de qualité des données. Réalisé selon une logique de « meilleurs efforts » (best-effort), l'exercice a mené les AES à un optimisme prudent, la moitié des registres restants présentant moins de cinq erreurs. Pour autant, le problème le plus fréquent s'avère évocateur: 86 % des erreurs découlaient de l'absence d'informations obligatoires.
C'est un prisme d'analyse particulièrement utile pour appréhender DORA dans son ensemble. Les règles sont désormais bien comprises. Ce qui détermine le déroulement d'un cycle de contrôle, c'est la capacité d'une organisation à maintenir des données, des processus et des preuves à la hauteur de ces exigences, cycle après cycle.
Qu’est-ce que le règlement DORA?
Le règlement DORA (formellement le Règlement UE 2022/2554) constitue le cadre de l'Union européenne en matière de résilience opérationnelle numérique pour le secteur financier. L'UE l'a instauré afin d'harmoniser ce qui était auparavant un patchwork de règles nationales sur les risques liés aux technologies de l'information et de la communication (TIC), remplaçant des exigences disparates par un règlement unique et directement applicable dans tous les États membres.
Il ne s'agit pas uniquement de cybersécurité. DORA vise la capacité d'une organisation à résister aux perturbations TIC, à y répondre et à s'en rétablir, ce qui rassemble la gouvernance, la continuité d'activité et la gestion des risques TIC sous une structure de responsabilité unique, plutôt que de les traiter séparément. Parce que DORA est un règlement et non une directive, il s'applique directement: il n'y a aucune loi nationale à attendre, ni aucune possibilité pour un État membre d'en adoucir les exigences.
À qui s'applique le règlement DORA ?
L'article 2 définit le périmètre de DORA, en couvrant directement un vaste éventail d'entités financières et en atteignant indirectement les prestataires tiers de services TIC à travers les obligations qui pèsent sur ces entités.
Catégorie d'entité | Exemples | Modalités d'application de DORA |
|---|---|---|
Banque et paiements | Établissements de crédit, établissements de paiement, établissements de monnaie électronique, prestataires de services d'information sur les comptes | Directement, en tant qu'entité financière |
Investissement et marchés | Entreprises d'investissement, plateformes de négociation, contreparties centrales, dépositaires centraux de titres, référentiels centraux, prestataires de services de communication de données | Directement, en tant qu'entité financière |
Assurance et retraites | Entreprises d'assurance et de réassurance, intermédiaires d'assurance, institutions de retraite professionnelle | Directement, en tant qu'entité financière |
Gestion d'actifs et de fonds | Gestionnaires de fonds d'investissement alternatifs (AIFM), sociétés de gestion d'OPCVM | Directement, en tant qu'entité financière |
Crypto-actifs | Prestataires de services sur crypto-actifs (PSAN/CASP), émetteurs de jetons se référant à des actifs | Directement, en tant qu'entité financière |
Autres services financiers | Prestataires de services de financement participatif, agences de notation de crédit, administrateurs d'indices de référence d'importance critique, organismes de titrisation | Directement, en tant qu'entité financière |
Prestataires tiers de services TIC | Fournisseurs de services cloud, d'infrastructures et d'éditeurs de logiciels desservant des entités financières | Indirectement, via les exigences contractuelles imposées par les entités financières |
Certaines entités de taille plus réduite ou moins interconnectées, comme les entreprises d'investissement petites et non interconnectées, peuvent appliquer un cadre simplifié de gestion des risques TIC en vertu de l'article 16. Les fondamentaux restent toutefois obligatoires: un cadre documenté, une surveillance active, un plan de continuité d'activité et des actions de sensibilisation.
Parmi les prestataires tiers TIC, un sous-groupe restreint est encadré plus strictement: les prestataires tiers TIC critiques (CTPP). Désignés individuellement par les autorités européennes de surveillance (AES), ils sont soumis à une supervision directe au niveau européen, au lieu du canal indirect appliqué aux autres prestataires.
La directive NIS2 couvre un périmètre d'entités tout aussi vaste à travers plusieurs secteurs critiques. Cependant, pour les entités financières, DORA prime en tant que réglementation sectorielle spécifique pour la gestion des risques TIC et le signalement des incidents. Le cas des prestataires TIC est différent : ils peuvent relever de NIS2 à titre individuel tout en fournissant des services aux entités financières dans le cadre de DORA.
Quels sont les 5 piliers du règlement DORA?
Cinq piliers structurent l'ensemble des exigences de DORA. Ils sont étroitement liés : une faiblesse dans l'un d'eux finit généralement par révéler une faille dans un autre.
Gestion des risques TIC
Les entités financières doivent formaliser un cadre documenté permettant d'identifier les risques TIC, de s'en protéger, de les détecter, d'y répondre et de rétablir leurs activités. Ce cadre doit être pleinement opérationnel, et non simplement documentaire. L'organe de direction en porte la responsabilité ultime. Le dispositif doit également encadrer l'identification et le suivi des risques liés aux tiers TIC.
Gestion et signalement des incidents liés aux TIC
Les incidents majeurs liés aux TIC doivent être classés selon des critères harmonisés et signalés à l'autorité compétente en trois étapes :
Notification initiale: requise dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir pris connaissance.
Rapport intermédiaire: transmis sous 72 heures après la notification initiale.
Rapport final: transmis dans le mois suivant le dernier rapport intermédiaire.
Tests de résilience opérationnelle numérique
Les entités financières doivent tester l'efficacité réelle de leurs systèmes TIC et de leurs contrôles de résilience. Pour la plupart, cela implique un programme de tests régulier. Les entités désignées par leur autorité compétente doivent également réaliser des tests de pénétration fondés sur les menaces (TLPT) au moins tous les trois ans, sur des systèmes de production réels et à partir de scénarios de menace concrets.
Gestion du risque tiers lié aux TIC
Pour de nombreuses organisations, il s'agit du pilier le plus exigeant. Les entités financières doivent réviser leurs contrats pour y intégrer les clauses imposées par DORA (droits d'audit, localisation des données, stratégies de sortie) et évaluer en continu le risque de concentration chez leurs fournisseurs.
Au centre du dispositif se trouve le registre d'informations (Register of Information). En vertu de l'article 28, paragraphe 3, les entités financières doivent tenir à jour un registre de l'ensemble des arrangements contractuels conclus avec des prestataires tiers de services TIC, selon le format normalisé défini par les normes techniques d'exécution (ITS), et le tenir à la disposition de leur autorité compétente. La collecte par les autorités de contrôle a lieu une fois par an, sur la base d'une date de référence fixée au 31 décembre et selon un calendrier de soumission national s'étalant sur le premier trimestre. Pour en savoir plus sur le contenu du registre et la manière de le maintenir à jour, consultez notre page dédiée au Registre d'informations.
Partage d'informations et de renseignements
DORA permet également aux entités financières de échanger des informations et des renseignements sur les cybermenaces au sein de communautés de confiance. La participation se fait sur une base volontaire et vise à aider le secteur à faire face à des menaces qui restent rarement isolées à une seule organisation.
Calendrier du règlement DORA: les dates clés à connaître
Date | Étape clé |
|---|---|
27 décembre 2022 | Publication de DORA au Journal officiel de l'Union européenne |
16 janvier 2023 | Entrée en vigueur de DORA, marquant le début d'une période de préparation de deux ans |
2023–2024 | Élaboration et consultation par les AES des 13 normes techniques de réglementation et d'exécution (RTS et ITS), livrées en deux vagues |
17 janvier 2025 | Entrée en application pleine et entière de DORA dans l'ensemble des États membres de l'UE |
Février–Juillet 2025 | Entrée en vigueur du second lot de RTS et ITS, couvrant le signalement des incidents, l'harmonisation de la surveillance, la sous-traitance et les tests TLPT |
18 novembre 2025 | Désignation par les AES des 19 premiers prestataires tiers TIC critiques (CTPP) en vertu de l'article 31, paragraphe 9 |
4 décembre 2025 | Remise au ministre/à la Commission du rapport conjoint des AES déconseillant, à ce stade, l'inclusion des commissaires aux comptes dans le périmètre de DORA |
17 janvier 2026 | Échéance pour le réexamen par la Commission européenne de l'opportunité d'inclure les commissaires aux comptes dans le champ d'application de DORA (article 58, paragraphe 3) |
Règlement DORA: Sanctions et conséquences de la non-conformité
La mise en œuvre est assurée par les autorités nationales compétentes, qui supervisent directement les entités financières et peuvent appliquer les sanctions administratives et les mesures correctives prévues par la législation de chaque État membre. Contrairement au Règlement général sur la protection des données (RGPD), DORA ne fixe pas de plafond d'amende à l'échelle de l'UE pour les entités financières: l'article 50 délègue le montant de ces sanctions au droit national. La répression ne se limite d'ailleurs pas aux seules amendes financières: les mesures de surveillance, l'injonction de remise en conformité et un contrôle renforcé font partie intégrante de l'arsenal des régulateurs. Pour de nombreuses organisations, le coût réputationnel et opérationnel d'une surveillance renforcée et prolongée peut rapidement dépasser le montant de l'amende elle-même.
Les prestataires tiers de services TIC critiques relèvent d'un mécanisme distinct. Ils sont supervisés directement au niveau européen, et non par une autorité nationale. Si un prestataire ne coopère pas avec son surveillant principal (Lead Overseer), par exemple en ne répondant pas aux demandes d'information, en entravant des enquêtes ou des inspections, ou en omettant d'informer sur les actions correctives mises en œuvre, le surveillant principal peut imposer des astreintes financières en vertu de l'article 35. Calculées par jour de retard jusqu'à mise en conformité (dans la limite de six mois), ces astreintes peuvent atteindre jusqu'à 1 % du chiffre d'affaires quotidien moyen mondial du prestataire au cours de l'exercice précédent. Pour en fixer le montant, le surveillant principal prend en compte la gravité et la durée du manquement, son caractère intentionnel ou négligent, ainsi que le degré de coopération du prestataire.
Les recommandations issues de la surveillance fonctionnent selon une logique différente. Si un prestataire ne se conforme pas aux recommandations émises, le surveillant principal peut rendre ce refus public. En dernier recours, les autorités compétentes peuvent sommer les entités financières de suspendre ou de résilier leurs contrats avec ce prestataire.
Règlement DORA: actualités et dernières mises à jour
Dernière mise à jour : septembre 2026
L'ensemble des 13 RTS et ITS sont désormais en vigueur
Le second lot, couvrant le signalement des incidents, l'harmonisation de la surveillance, la sous-traitance et les tests de pénétration fondés sur les menaces (TLPT), a finalisé son processus d'adoption tout au long de l'année 2025. Ce qui a changé: le cadre de Niveau 2 de DORA — les normes techniques détaillées sous le règlement lui-même — est désormais complet et non plus partiellement à l'état de projet. Qui cela concerne: toute entité financière qui traite encore une partie de DORA comme une orientation en attente plutôt que comme une exigence finalisée. Ce qu'il faut faire: confirmer que votre programme de conformité reflète le texte final adopté pour chaque norme, et non un projet de consultation antérieur.
Les premières désignations CTPP sont actives, et 2026 lance le premier cycle de surveillance
Les autorités européennes de surveillance ont désigné 19 prestataires tiers TIC critiques en novembre 2025, principalement d'importants fournisseurs de cloud, d'infrastructures et de services de données. Ce qui a changé: ces 19 prestataires sont désormais sous la surveillance directe du niveau européen, les premières activités de surveillance et recommandations étant attendues courant 2026. Qui cela concerne: les entités financières qui s'appuient sur l'un des prestataires désignés. La surveillance du prestataire au niveau européen ne réduit pas leur propre responsabilité dans la gestion de cette relation. Ce qu'il faut faire: vérifier votre registre d'informations par rapport à la liste publiée des CTPP, et intégrer les prestataires désignés dans votre propre évaluation du risque de concentration.
Auditeurs et DORA: les AES déconseillent d'étendre le périmètre
En vertu de l'article 58, paragraphe 3, la Commission européenne avait jusqu'au 17 janvier 2026 pour examiner si les contrôleurs légaux des comptes et les cabinets d'audit devaient être intégrés dans le champ d'application de DORA. Ce qui a changé: dans leur rapport conjoint de décembre 2025, les autorités européennes de surveillance ont conclu que l'intégration des auditeurs dans DORA n'est pas justifiée à ce stade. La conclusion propre de la Commission est ce qui compte en dernier ressort, et à l'heure où nous écrivons ces lignes, les auditeurs restent en dehors du champ d'application de DORA. Qui cela concerne: les auditeurs et les réseaux d'audit fournissant des services aux entités financières. Ce qu'il faut faire: traiter cela comme une question de périmètre à surveiller, et non comme un sujet nécessitant une action pour le moment.
Comment mettre en œuvre la conformité DORA dans la pratique
Comprendre le règlement et le faire fonctionner au quotidien sont deux défis distincts. Voici la séquence que la plupart des organisations doivent réellement parcourir :
Confirmer le périmètre d'application de DORA: déterminer la catégorie d'entité applicable et vérifier si le régime simplifié est accessible.
Identifier les fonctions critiques ou importantes: les autres exigences de DORA s'articulent autour de cette liste ; bien la définir dès le départ évite des retravaux ultérieurs.
Cartographier les actifs TIC et les dépendances: relier les systèmes, les fournisseurs et les fonctions métiers avant d'essayer d'évaluer les risques face à chacun d'eux.
Évaluer le cadre de gestion des risques TIC: comparer ce qui est documenté aux exigences des articles 5 à 16.
Mettre en place les processus de gestion des incidents: intégrer la classification et le signalement dans un processus opérationnel, et non dans un document qu'on ne consulte qu'en cas de panne.
Construire et maintenir le registre d'informations: le traiter comme une donnée opérationnelle vivante, et non comme un simple exercice d'export annuel.
Établir le programme de tests de résilience: définir le périmètre, planifier et apporter la preuve des tests de manière récurrente, y compris les tests TLPT lorsqu'ils s'appliquent.
Piloter et maintenir la conformité: revoir l'ensemble des éléments ci-dessus au rythme de l'évolution des fournisseurs, des systèmes et des attentes des autorités de contrôle.
Les étapes 3 et 6 ont tendance à être les plus longues, principalement parce qu'elles reposent sur des données dispersées entre les achats, l'IT et les équipes métiers. Formalize rassemble au même endroit le cadre de risques TIC, les workflows d'incidents, la planification des tests, le registre des tiers et les contrôles sous-jacents, aux côtés de vos travaux ISO 27001 et NIS2, plutôt que de les éparpiller dans des tableurs et des outils distincts. Le registre d'informations reste ainsi à jour au fil de l'évolution des contrats et des fournisseurs, au lieu d'être reconstruit de zéro à chaque cycle de déclaration.
Comment Formalize accompagne votre conformité DORA
Formalize est conçu pour la partie récurrente de DORA : maintenir les données et les preuves à jour entre deux cycles, au lieu de devoir tout reconstruire à chaque fois.
Un registre d'informations qui reste à jour: les fournisseurs, les contrats, les services TIC et les fonctions métiers restent interconnectés ; les erreurs sont signalées dès la saisie, et le registre s'exporte au format officiel. En savoir plus sur la page dédiée au Registre d'informations.
Un validateur de registre d'informations gratuit (RoI Validator): il exécute 294 points de contrôle sur l'ensemble des 15 rapports du format officiel, sans inscription nécessaire, que vous utilisiez Formalize ou non.
Risques, incidents et tests centralisés: chaque élément est associé à des responsables désignés, des échéances claires et des pièces justificatives rattachées au fil de l'eau.
DORA aux côtés d'ISO 27001, NIS2 et du RGPD: le tout réuni au sein du même système plutôt que dans des outils séparés.
Plus de 8 000 organisations à travers l'Europe utilisent déjà les solutions Formalize.
Découvrez un registre d'informations toujours à jour
Importez votre propre liste de fournisseurs, y compris vos fichiers Excel. Nous préférons vous montrer comment elle se connecte à l'ensemble de vos démarches DORA plutôt que de vous en parler.
Où pouvez-vous télécharger le PDF du règlement DORA?
Pour accéder au texte même du règlement, EUR-Lex constitue la source officielle faisant foi. Si les synthèses secondaires s'avèrent utiles pour s'orienter, le texte publié au Journal officiel est le seul à avoir une valeur juridique.
Le règlement seul ne couvre toutefois pas l'intégralité du sujet. Les 13 RTS et ITS mentionnés ci-dessus précisent les détails opérationnels que DORA lui-même ne détaille pas, tandis que les orientations des autorités européennes de surveillance continuent de clarifier la manière dont les régulateurs s'attendent à voir ces exigences appliquées dans la pratique. Une mise en œuvre s'appuyant uniquement sur le texte du règlement, sans intégrer les normes techniques d'accompagnement, risque de passer à côté des détails précis que les autorités de contrôle examineront en premier.