DORA,
des cinq piliers à la preuve.

Conformité DORA : organiser la résilience autour des services financiers

Un service de paiement peut disposer de sauvegardes sans pouvoir redémarrer si son fournisseur d'identité reste indisponible. Pour préparer un contrôle DORA, il faut donc dépasser la présence de procédures : expliquer les dépendances, les arbitrages et les résultats des exercices qui rendent la continuité crédible.

Le travail commence par les services rendus aux clients, puis remonte vers les applications, les équipes et les prestataires. Cette approche permet de distinguer un dossier documentaire complet d'une capacité de reprise réellement éprouvée, avec des responsables capables de décider pendant une crise.

Déterminer les entités concernées

L'article 2 du règlement (UE) 2022/2554 vise notamment les établissements de crédit, les établissements de paiement, les entreprises d'investissement, les assureurs et certaines catégories de prestataires de services sur crypto-actifs. L'assujettissement dépend du statut réglementaire de l'entité, pas simplement de son activité numérique.

Le périmètre comporte des exclusions et des régimes particuliers. Certaines petites structures sont exclues ; d'autres relèvent du cadre simplifié prévu à l'article 16. La proportionnalité de l'article 4 adapte la mise en œuvre, mais ne constitue pas une dispense générale pour les petites organisations.

Les fournisseurs TIC doivent répondre aux exigences contractuelles de leurs clients financiers. Ceux désignés comme critiques relèvent également d'un dispositif européen de supervision spécifique. Fournir une banque ne suffit pas, à lui seul, à devenir un prestataire critique désigné. Conservez une note motivant votre qualification et faites valider les situations ambiguës.

Transformer les exigences en éléments vérifiables

L'article 5 confie à l'organe de direction la définition, l'approbation et la supervision du cadre de gestion des risques TIC. Un compte rendu utile montre les risques examinés, les décisions prises et les moyens engagés. Une signature sur une politique ne démontre pas, seule, cette supervision.

Les articles 6 à 16 organisent l'identification, la protection, la détection, la réponse, la reprise et l'apprentissage. Pour chaque service important, reliez les objectifs de reprise à son impact métier. Vérifiez ensuite que les sauvegardes, les habilitations et les procédures permettent effectivement d'atteindre ces objectifs.

Les articles 28 à 30 encadrent les risques liés aux prestataires TIC et les contrats. Des dispositions supplémentaires concernent les services soutenant des fonctions critiques ou importantes. Examinez notamment les prestations couvertes, les localisations des données, l'assistance en cas d'incident, les droits d'accès et d'audit applicables, ainsi que la résiliation et la sortie.

Un dossier exploitable réunit :

• Un responsable métier et une justification de la criticité du service.
• Les dépendances techniques et contractuelles réellement utilisées.
• Les résultats des tests, les anomalies et les corrections vérifiées.
• Les arbitrages de direction et les risques résiduels acceptés.
• Les éléments permettant d'évaluer la concentration chez certains fournisseurs.

Le partage d'informations prévu à l'article 45 est possible sous conditions. Ce n'est pas une obligation générale de transmettre des informations sensibles à d'autres entreprises.

Calendrier et délais à intégrer aux procédures

DORA s'applique depuis le 17 janvier 2025. En novembre 2026, le sujet n'est plus de préparer une date d'entrée en application, mais de démontrer un fonctionnement régulier et des améliorations suivies.

L'article 24 impose aux entités autres que les microentreprises des tests appropriés au moins annuels sur les systèmes et applications TIC soutenant des fonctions critiques ou importantes. Les tests avancés fondés sur la menace, ou TLPT, concernent les entités identifiées selon l'article 26. Leur fréquence est généralement d'au moins trois ans, avec adaptation possible par l'autorité compétente.

Pour les incidents majeurs liés aux TIC, l'article 5 du règlement délégué (UE) 2025/301 prévoit notamment :

• Une notification initiale dès que possible, dans les quatre heures suivant la classification comme majeur et normalement au plus tard 24 heures après la prise de connaissance.
• Si cette classification intervient après les 24 heures, une notification dans les quatre heures suivant la classification.
• Un rapport intermédiaire dans les 72 heures suivant la notification initiale.
• Un rapport final dans le mois suivant le rapport intermédiaire ou sa dernière actualisation.

Intégrez également les règles d'actualisation et les exceptions applicables. Une éventuelle violation de données personnelles nécessite une analyse RGPD distincte : les deux régimes ne se confondent pas.

Sanctions et conséquences opérationnelles

L'article 50 prévoit que les États membres établissent des sanctions administratives et des mesures correctrices. Il n'existe pas un plafond unique d'amende DORA applicable à toutes les entités financières européennes. Identifiez le régime national pertinent et votre autorité compétente avant de chiffrer une exposition.

Les demandes du superviseur, les mesures de remédiation et la publicité de certains manquements peuvent mobiliser durablement la direction. Les enjeux immédiats restent aussi opérationnels : paiements interrompus, rapprochements bloqués, indisponibilité des canaux clients ou impossibilité de quitter un fournisseur dans des conditions maîtrisées.

Construire un parcours de mise en conformité

1. Fixer le périmètre juridique. Recensez les entités, leurs agréments, les exclusions éventuelles et les interlocuteurs de supervision. Distinguez les responsabilités locales des politiques du groupe. Conservez la justification de chaque choix.

2. Partir des fonctions métier. Identifiez les fonctions critiques ou importantes avec leurs responsables. Reliez applications, infrastructures, équipes et fournisseurs. Vérifiez la cartographie par un parcours concret du service, plutôt que par un inventaire uniquement déclaratif.

3. Évaluer les écarts réels. Confrontez les exigences à des échantillons de preuves : revue des accès, restauration, traitement d'un incident. Séparez les défauts documentaires des capacités absentes. Attribuez un responsable et une échéance à chaque correction prioritaire.

4. Traiter les dépendances sensibles. Examinez les contrats, la substituabilité et les concentrations. Préparez les négociations nécessaires. Exercez la récupération des données, des configurations et des connaissances indispensables à une sortie ou une reprise.

5. Répéter les décisions de crise. Simulez une panne chez un prestataire. Faites qualifier l'incident et préparer les notifications. Horodatez la prise de connaissance et la classification. Vérifiez que des suppléants peuvent approuver les actions en l'absence des titulaires.

6. Installer une boucle de suivi. Planifiez les tests, les revues et l'actualisation des preuves. Fermez les anomalies après vérification de la correction. Réévaluez les dépendances lors des changements d'architecture ou de contrat, sans attendre l'exercice annuel.

L'appui de Domyno

Domyno associe une plateforme SaaS à un expert humain dédié. Les agents préparent le travail ; l'humain le valide. Cette organisation accompagne la préparation sans transférer la responsabilité réglementaire de l'entité financière.

L'analyse de risques, fondée sur EBIOS RM ou ISO 27005, aide à structurer les évaluations. Le module Tiers & fournisseurs permet d'organiser le travail sur les prestataires. Ces supports ne remplacent ni les négociations contractuelles ni les exercices opérationnels.

Avec Contrôles & conformité, une bibliothèque unique rassemble contrôles, preuves et plans d'action sur plus de 28 référentiels. Les versions documentaires conservent le contexte des décisions. Les preuves communes peuvent être réutilisées tout en gardant les exigences spécifiques identifiables.

Sources officielles

Consultez le règlement DORA et les délais de déclaration des incidents pour valider vos procédures.

Pour examiner votre organisation de la résilience et vos priorités fournisseurs, demandez une démonstration Domyno.