DORA 2025 : Guide Complet pour les Entités Financières

Chapitre 1 : DORA en résumé

Contexte et genèse du règlement

Le règlement DORA (Digital Operational Resilience Act) répond à une prise de conscience européenne : le secteur financier est devenu totalement dépendant du numérique, mais sa résilience face aux incidents cyber reste insuffisante.

Les événements déclencheurs :

• Augmentation de 300% des cyberattaques sur le secteur financier (2019-2023)
• Incidents majeurs : Travelex (2020), CNA Financial (2021)
• Concentration des risques sur quelques prestataires cloud
• Fragmentation réglementaire entre États membres

Le calendrier DORA

Date	Événement
Décembre 2022	Publication au Journal Officiel UE
Janvier 2023	Entrée en vigueur (période de transition)
Janvier 2024	Standards techniques (RTS/ITS) finalisés
17 janvier 2025	Entrée en application
Avril 2025	Premier reporting aux autorités
2025-2027	Désignation des prestataires TIC critiques

Les sanctions prévues

DORA introduit un régime de sanctions administratives significatif :

Pour les entités financières :

• Jusqu'à 10 millions d'euros ou 5% du chiffre d'affaires annuel
• Sanctions personnelles pour les dirigeants
• Publication des sanctions (name and shaming)
• Retrait d'agrément dans les cas les plus graves

Pour les prestataires TIC critiques :

• Astreintes journalières jusqu'à 1% du CA mondial
• Interdiction temporaire de fournir des services
• Audits imposés par les autorités

Avec Domyno : Le tableau de bord de conformité DORA permet de suivre en temps réel votre niveau de préparation et d'identifier les risques de non-conformité.

---

Chapitre 2 : Qui est concerné

Les entités financières visées (Article 2)

DORA s'applique à un spectre large d'acteurs du secteur financier :

Secteur bancaire :

• Établissements de crédit
• Établissements de paiement
• Établissements de monnaie électronique

Secteur des marchés :

• Entreprises d'investissement
• Sociétés de gestion (OPCVM, FIA)
• Dépositaires centraux de titres
• Contreparties centrales

Secteur de l'assurance :

• Entreprises d'assurance et de réassurance
• Intermédiaires d'assurance

Nouveaux acteurs :

• Prestataires de services sur crypto-actifs
• Émetteurs de jetons
• Plateformes de financement participatif

Le principe de proportionnalité

DORA reconnaît que toutes les entités ne présentent pas le même profil de risque. Le règlement prévoit une approche proportionnée :

Critères de proportionnalité :

• Taille et complexité de l'entité
• Nature, étendue et complexité des services
• Profil de risque numérique
• Importance systémique

Application pratique :

Type d'entité	Exigences
Grandes banques systémiques	Application complète, TLPT obligatoires
Banques moyennes	Application standard
Petits établissements	Régime simplifié (seuil < 50 salariés, < 10M€ bilan)
Micro-entités	Exemptions partielles

Les prestataires TIC tiers

Nouveauté majeure : DORA crée un cadre de surveillance directe des prestataires TIC jugés "critiques" :

Critères de criticité :

• Importance systémique pour le secteur financier
• Degré de substituabilité
• Nombre d'entités financières clientes
• Interconnexions avec d'autres infrastructures critiques

Prestataires potentiellement concernés :

• Hyperscalers cloud (AWS, Azure, GCP)
• Éditeurs de core banking systems
• Fournisseurs d'infrastructure de paiement
• Prestataires de données de marché

---

Chapitre 3 : Les 5 piliers de DORA

Pilier 1 : Gouvernance et organisation (Articles 5-6)

Exigences clés :

L'organe de direction (conseil d'administration, directoire) assume la responsabilité ultime de la gestion des risques TIC.

Obligations concrètes :

• Définir et approuver la stratégie de résilience numérique
• Allouer les ressources (budget, compétences)
• Approuver et réviser les politiques
• Superviser les arrangements avec les prestataires TIC
• Assurer la formation continue des dirigeants

Livrables attendus :

• Politique de sécurité TIC approuvée par le CA
• Organigramme avec responsabilités clairement attribuées
• Procès-verbaux attestant de la supervision
• Plan de formation des dirigeants

Avec Domyno : Le module Gouvernance structure les politiques et génère automatiquement les rapports pour les organes de direction.

Pilier 2 : Gestion des risques TIC (Articles 6-16)

Le cadre de gestion des risques comprend :

Identification des risques (Articles 8-9)

• Inventaire des actifs TIC (matériels, logiciels, données)
• Cartographie des dépendances et interconnexions
• Identification des fonctions critiques et importantes
• Évaluation des vulnérabilités

Protection et prévention (Articles 9-11)

• Politiques de sécurité de l'information
• Gestion des identités et des accès
• Chiffrement et protection des données
• Gestion des changements et des correctifs

Détection (Article 10)

• Surveillance continue des systèmes
• Détection des anomalies et comportements suspects
• Corrélation des événements de sécurité

Réponse et récupération (Articles 11-12)

• Plans de continuité d'activité TIC
• Plans de réponse et de récupération
• Objectifs de temps de reprise (RTO/RPO)
• Tests réguliers des plans

Apprentissage et évolution (Article 13)

• Analyse post-incident
• Veille sur les menaces
• Amélioration continue du cadre

Avec Domyno : L'analyse de risques intégrée génère automatiquement la matrice des risques TIC et les plans de traitement associés.

Pilier 3 : Gestion des incidents TIC (Articles 17-23)

Classification des incidents :

DORA établit une classification harmonisée des incidents selon leur impact :

Critère	Mineur	Majeur	Critique
Clients affectés	< 10%	10-50%	> 50%
Durée	< 2h	2-24h	> 24h
Impact financier	< 100K€	100K-1M€	> 1M€
Données compromises	Non	Partiellement	Massivement

Obligations de notification :

• Notification initiale : dans les 4 heures (incidents majeurs)
• Rapport intermédiaire : dans les 72 heures
• Rapport final : dans le mois suivant la résolution

Contenu des notifications :

• Description de l'incident
• Cause racine (si identifiée)
• Impact sur les clients et les opérations
• Mesures de remédiation prises
• Actions correctives planifiées

Pilier 4 : Tests de résilience (Articles 24-27)

Les deux niveaux de tests :

Tests de base (obligatoires pour tous)

• Tests de vulnérabilité
• Analyses de code source
• Tests de performance
• Tests de pénétration basés sur des scénarios

Fréquence minimum : annuelle

Tests avancés - TLPT (Threat-Led Penetration Testing)

• Obligatoires pour les entités systémiques
• Basés sur le framework TIBER-EU
• Réalisés par des testeurs externes qualifiés
• Sous supervision de l'autorité compétente

Fréquence minimum : tous les 3 ans

Avec Domyno : Le calendrier de tests intégré planifie et documente tous les exercices de résilience, avec génération automatique des rapports conformes.

Pilier 5 : Gestion des tiers TIC (Articles 28-44)

Le registre des prestataires (Article 28) :

Toute entité financière doit maintenir un registre complet de ses arrangements avec les prestataires TIC.

Informations obligatoires :

• Identification du prestataire (LEI si disponible)
• Nature des services fournis
• Fonctions supportées (critiques ou importantes)
• Localisation du traitement des données
• Date de début et de fin du contrat
• Possibilités de résiliation

Évaluation continue :

• Évaluation des risques avant contractualisation
• Suivi du niveau de service
• Audits réguliers (droit d'audit contractuel)
• Plans de sortie testés

---

Chapitre 4 : Le registre des prestataires TIC (Article 28)

Structure du registre

Le registre doit être structuré, documenté et maintenu à jour en permanence.

Section 1 : Identification du prestataire

Champ	Description
Nom légal	Raison sociale complète
LEI	Legal Entity Identifier (si applicable)
Pays d'établissement	Siège social
Pays de traitement	Localisation effective des données
Type de prestataire	Intragroupe / Externe

Section 2 : Description de l'arrangement

Champ	Description
Référence contrat	Numéro unique
Date de signature	JJ/MM/AAAA
Durée	Déterminée / Indéterminée
Valeur annuelle	Montant estimé
Périmètre	Description des services

Section 3 : Criticité et risques

Champ	Description
Fonction supportée	Critique / Importante / Autre
Substituabilité	Élevée / Moyenne / Faible
Concentration	Degré de dépendance
Dernier audit	Date et résultat

Processus de mise à jour

Événements déclencheurs :

• Nouveau contrat signé
• Modification substantielle d'un arrangement
• Incident significatif chez le prestataire
• Changement de criticité d'une fonction
• Fin de contrat ou résiliation

Fréquence de revue :

• Mise à jour continue (événementielle)
• Revue complète annuelle minimum
• Reporting aux autorités selon calendrier défini

Avec Domyno : Le module Fournisseurs maintient automatiquement un registre conforme Article 28, avec alertes sur les échéances et les révisions nécessaires.

---

Chapitre 5 : Tests de résilience

Le cadre TIBER-EU

Threat Intelligence-Based Ethical Red Teaming (TIBER) est le framework européen pour les tests de pénétration avancés dans le secteur financier.

Principes clés :

• Basé sur le renseignement sur les menaces réelles
• Simule des attaquants sophistiqués (APT)
• Teste les personnes, processus et technologies
• Réalisé par des équipes externes qualifiées

Les 3 phases du TLPT :

Phase 1 : Préparation

• Définition du périmètre
• Briefing des équipes (need-to-know)
• Sélection des prestataires (Threat Intelligence + Red Team)

Phase 2 : Exécution

• Reconnaissance et renseignement (6-12 semaines)
• Attaque simulée (2-3 mois)
• Tentative de compromission des actifs critiques

Phase 3 : Clôture

• Rapport détaillé des vulnérabilités
• Plan de remédiation
• Attestation pour l'autorité

Programme de tests annuels

Tests obligatoires pour toutes les entités :

Type de test	Fréquence	Périmètre
Scan de vulnérabilités	Trimestriel	Infrastructure complète
Test de pénétration	Annuel	Systèmes critiques
Test de continuité	Annuel	Plans de continuité
Exercice de crise	Annuel	Scénario cyber majeur

Scénarios de test recommandés

Scénario 1 : Ransomware ciblé

• Simulation d'infection par un ransomware
• Test des capacités de détection
• Test de restauration des sauvegardes
• Test de la communication de crise

Scénario 2 : Compromission d'un prestataire

• Simulation d'une attaque via un tiers
• Test des mécanismes d'isolation
• Test du plan de sortie
• Test de la continuité sans le prestataire

Scénario 3 : Indisponibilité cloud

• Simulation d'une panne majeure du cloud provider
• Test du basculement
• Mesure des RTO/RPO réels
• Test des modes dégradés

---

Chapitre 6 : Feuille de route 12 mois

Mois 1-3 : Diagnostic et gouvernance

Mois 1 : État des lieux

• Inventaire des actifs TIC
• Cartographie des prestataires existants
• Évaluation de maturité initiale
• Identification des écarts DORA

Mois 2 : Gouvernance

• Définition des rôles et responsabilités
• Création du comité de pilotage DORA
• Présentation au conseil d'administration
• Allocation du budget

Mois 3 : Politiques fondamentales

• Politique de gestion des risques TIC
• Politique de sécurité de l'information
• Politique de continuité d'activité
• Politique de gestion des tiers

Mois 4-6 : Cadre de gestion des risques

Mois 4 : Identification

• Identification des fonctions critiques
• Analyse des dépendances TIC
• Évaluation des risques inhérents
• Cartographie des scénarios de menaces

Mois 5 : Protection

• Revue des contrôles de sécurité
• Renforcement des mesures prioritaires
• Mise à jour des procédures
• Formation des équipes

Mois 6 : Détection et réponse

• Renforcement des capacités de détection
• Mise à jour du plan de réponse aux incidents
• Définition des seuils de classification
• Test des procédures de notification

Mois 7-9 : Gestion des tiers

Mois 7 : Registre des prestataires

• Constitution du registre Article 28
• Collecte des informations contractuelles
• Classification criticité/substituabilité
• Identification des concentrations de risques

Mois 8 : Évaluation des prestataires

• Définition de la méthodologie d'évaluation
• Évaluation des prestataires critiques
• Plans de traitement des risques tiers
• Négociation des clauses contractuelles

Mois 9 : Plans de sortie

• Identification des scénarios de sortie
• Rédaction des plans de sortie
• Tests de substituabilité
• Documentation des procédures

Mois 10-12 : Tests et amélioration continue

Mois 10 : Programme de tests

• Planification des tests annuels
• Réalisation des scans de vulnérabilités
• Test de pénétration annuel
• Exercice de continuité

Mois 11 : Remédiation

• Traitement des vulnérabilités identifiées
• Mise à jour de la documentation
• Formation complémentaire
• Ajustement des contrôles

Mois 12 : Revue et reporting

• Revue annuelle du cadre de gestion des risques
• Préparation du reporting réglementaire
• Mise à jour du registre des prestataires
• Présentation au conseil d'administration

---

Conclusion : DORA comme opportunité

DORA représente certes une charge réglementaire significative, mais c'est aussi une opportunité de renforcer durablement la résilience de votre organisation.

Les 3 bénéfices stratégiques :

1. Avantage concurrentiel - Les clients et partenaires privilégieront les entités conformes
2. Réduction des risques - Un cadre robuste diminue la probabilité et l'impact des incidents
3. Efficacité opérationnelle - Une approche structurée réduit les coûts à long terme

Passez à l'action avec Domyno

Notre plateforme intègre nativement les exigences DORA :

• Module Gouvernance : politiques et reporting pour le CA
• Module Risques TIC : analyse et suivi conformes DORA
• Module Fournisseurs : registre Article 28 automatisé
• Module Tests : planification et documentation des exercices

Demandez une démonstration DORA personnalisée →