DORA : Guide pratique pour le secteur financier

DORA : guide pratique pour le secteur financier en novembre 2026

DORA n'est plus une échéance à préparer pour janvier 2025. Le règlement européen 2022/2554 s'applique depuis le 17 janvier 2025. Les entités financières concernées doivent désormais démontrer que leur gestion des risques TIC, leurs notifications, leurs tests et leur suivi des prestataires fonctionnent réellement.

Ce guide relie périmètre, obligations opérationnelles et preuves.

Déterminer les obligations applicables à votre entité

L'article 2 énumère les entités concernées : établissements de crédit, établissements de paiement, entreprises d'investissement, entreprises d'assurance et plusieurs autres acteurs financiers. Les exclusions et les mécanismes de proportionnalité doivent être examinés ; toutes les structures ne relèvent pas d'un dispositif identique.

Identifiez les personnes morales, activités réglementées et autorités compétentes du groupe. Vérifiez si le cadre complet ou simplifié de gestion des risques TIC s'applique. Une petite équipe informatique ou une infrastructure externalisée ne constitue pas, en soi, une exemption.

Les fournisseurs TIC nécessitent une analyse distincte. Un fournisseur cloud ou un éditeur de logiciels n'est pas automatiquement un prestataire tiers critique désigné. DORA organise une supervision européenne pour les prestataires désignés comme critiques, sans décharger les entités financières de leurs propres responsabilités.

Pour les entités financières concernées, l'article 1, paragraphe 2, qualifie DORA d'acte sectoriel de l'Union au regard de NIS2. Examinez cette articulation avant de créer deux circuits de notification supposés systématiquement cumulatifs.

Travailler avec les RTS et ITS adoptés

Le règlement principal ne suffit pas à construire les procédures. Les normes techniques de réglementation, ou RTS, précisent les exigences. Les normes techniques d'exécution, ou ITS, harmonisent notamment les formats et procédures.

Parmi les références à intégrer à votre veille :

• Le règlement 2024/1774 sur le cadre de gestion des risques TIC, y compris le cadre simplifié.
• Le règlement 2024/1772 sur la classification des incidents et les seuils correspondants.
• Le règlement 2024/2956 sur les modèles du registre d'informations.
• Le règlement 2025/301 sur le contenu et les délais des notifications d'incidents.
• Le règlement 2025/302 sur les formulaires, modèles et procédures de déclaration.

Ces textes sont adoptés : il ne faut plus les présenter comme de simples projets. Utilisez les modèles officiels du registre et les consignes de votre autorité. Cette sélection n'est pas exhaustive ; maintenez un inventaire des normes applicables à vos activités.

1. Donner un propriétaire à chaque risque TIC

L'article 5 place l'organe de direction au cœur du dispositif : il définit, approuve et supervise les arrangements relatifs au cadre de gestion des risques TIC, et répond de leur mise en œuvre.

Reliez les services métier aux applications, infrastructures, informations, équipes et prestataires. Identifiez les fonctions critiques ou importantes et les dépendances nécessaires à leur protection et à leur rétablissement.

Les preuves utiles comprennent les politiques approuvées, arbitrages de risques, revues d'accès, corrections de vulnérabilités et tests de sauvegarde. Chaque contrôle doit avoir un responsable, un résultat attendu et une méthode de vérification. Une dérogation doit être suivie, limitée et réexaminée.

2. Répéter la classification et la notification des incidents

Dire que « DORA impose une déclaration quatre heures après la détection » est trompeur. Selon le RTS 2025/301, la notification initiale intervient le plus tôt possible, dans les quatre heures suivant la classification comme incident majeur et au plus tard 24 heures après la prise de connaissance de l'incident.

Lorsque la classification comme majeur intervient après ces 24 heures, le texte prévoit une notification dans les quatre heures suivant cette classification. Les dispositions particulières et éventuels aménagements doivent être vérifiés pour l'entité concernée.

Le rapport intermédiaire est généralement attendu dans les 72 heures suivant la notification initiale. Le rapport final intervient dans le mois suivant le rapport intermédiaire ou sa dernière actualisation. La déclaration est donc un processus suivi, pas un message unique.

Horodatez séparément la prise de connaissance et la classification. Préparez les modèles, les suppléants et les sources d'information. Un exercice doit vérifier la capacité à décider avec des données incomplètes, sans attendre la conclusion de l'investigation.

3. Tester la résilience et corriger les faiblesses

DORA prévoit un programme de tests fondé sur les risques. Testez des situations réalistes : indisponibilité d'un service, compromission d'un accès ou interruption d'un prestataire.

Consignez le scénario, le périmètre, les résultats, les actions et le nouveau test. Un compte rendu d'exercice n'efface pas les faiblesses découvertes.

Les tests avancés fondés sur la menace, ou TLPT, ne concernent pas indistinctement toutes les entités. L'article 26 les prévoit pour celles identifiées selon les critères applicables, généralement au moins tous les trois ans, sous réserve des ajustements permis à l'autorité. Un test d'intrusion ordinaire ne doit pas être présenté comme équivalent.

4. Faire du registre d'informations un dispositif vivant

L'article 28, paragraphe 3, impose de tenir et mettre à jour un registre des accords contractuels portant sur des services TIC fournis par des tiers. Le périmètre ne se limite pas aux prestations soutenant des fonctions critiques ou importantes, même si celles-ci doivent être distinguées.

Le registre doit permettre de relier :

• L'entité financière bénéficiaire du service.
• L'accord contractuel et le service TIC concerné.
• Le prestataire et les informations pertinentes sur la sous-traitance.
• La fonction soutenue et son évaluation de criticité.
• Les identifiants et autres données exigés par les modèles.

Définissez des identifiants stables, rapprochez les contrats des données achats et vérifiez les cohérences entre tableaux. Un fichier fournisseurs rempli de doublons ne constitue pas un registre fiable.

Organisez les niveaux entité et groupe pertinents. Distinguez la tenue à jour, les informations communiquées au moins annuellement et les demandes de transmission du registre complet. Vérifiez le calendrier auprès de l'autorité compétente plutôt que d'inventer une date annuelle européenne unique.

L'article 30 encadre aussi les contrats, avec des exigences supplémentaires pour les fonctions critiques ou importantes. Examinez les services, l'accès aux données, leur récupération, l'assistance en cas d'incident, les droits d'audit et la sortie. Un avenant signé doit correspondre à des droits réellement utilisables.

5. Encadrer le partage d'informations

L'article 45 permet des dispositifs de partage sous conditions. Il n'impose pas une adhésion universelle à une communauté d'échange. Définissez les informations utiles, les validations et les protections de confidentialité nécessaires.

Une séquence d'amélioration concrète

1. Confirmer le périmètre : entités, autorités, exclusions et cadre applicable.
2. Cartographier les dépendances : fonctions, actifs, contrats et prestataires.
3. Fiabiliser le registre : responsables, complétude, identifiants et cohérences.
4. Tester les notifications : classification, délais, modèles et suppléance.
5. Exercer la reprise : restauration et coopération des fournisseurs.
6. Clôturer les écarts : actions attribuées, nouveaux tests et revue de direction.

N'importez pas les pourcentages de sanctions NIS2 dans DORA. Les pouvoirs de supervision et les dispositifs nationaux pertinents doivent être examinés séparément.

Centraliser le suivi sans déléguer la responsabilité

Domyno associe un SaaS de cyber-gouvernance et un expert humain dédié : les agents préparent le travail, l'humain le valide. Les modules Tiers & fournisseurs et Contrôles & conformité soutiennent l'organisation des évaluations, des preuves et des plans d'action.

L'analyse juridique, les transmissions réglementaires et les décisions de direction restent à encadrer humainement. Pour examiner vos priorités opérationnelles, demandez une démonstration.