6 min de lecture<\/p>\n
Depuis le 17 janvier 2025, DORA est un droit applicable. Le r\u00e8glement europ\u00e9en sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique oblige plus de 22 000 entreprises financi\u00e8res dans l’UE \u00e0 mettre en place une gestion uniforme des risques ICT. Quinze mois apr\u00e8s son entr\u00e9e en vigueur, le constat est clair : seule la moiti\u00e9 des \u00e9tablissements concern\u00e9s avait atteint la conformit\u00e9 compl\u00e8te \u00e0 la date limite. Le deuxi\u00e8me Register of Information est exigible en mars 2026 – et 46 pour cent des \u00e9tablissements d\u00e9signent pr\u00e9cis\u00e9ment cette obligation comme leur plus grand d\u00e9fi.<\/strong><\/p>\n Les entreprises financi\u00e8res sont habitu\u00e9es \u00e0 la r\u00e9gulation. MaRisk, BAIT, directives de l’EBA – la liste des cadres r\u00e9glementaires pour la s\u00e9curit\u00e9 IT et la gestion des risques op\u00e9rationnels est longue. DORA constitue n\u00e9anmoins un changement de paradigme, et ce pour trois raisons.<\/p>\n Premi\u00e8rement : Applicabilit\u00e9 directe.<\/strong> DORA est un r\u00e8glement europ\u00e9en, pas une directive. Il s’applique directement et sans transposition nationale dans tous les \u00c9tats membres de l’UE. Il n’y a pas de marge d’interpr\u00e9tation, pas d’att\u00e9nuations nationales et plus de d\u00e9lais de transition. Ce qui \u00e9tait applicable le 17 janvier 2025 l’est encore aujourd’hui. Les autorit\u00e9s de surveillance nationales comme la BaFin en Allemagne ou la FMA en Autriche appliquent DORA directement, sans qu’une loi de transposition nationale soit n\u00e9cessaire. Pour les \u00e9tablissements qui travaillaient jusqu’ici principalement avec des cadres r\u00e9glementaires nationaux, cela signifie un renforcement des exigences assorti d’une surveillance plus \u00e9troite.<\/p>\n Deuxi\u00e8mement : Couverture de l’ensemble de la cha\u00eene d’approvisionnement ICT.<\/strong> DORA ne se limite pas \u00e0 l’\u00e9tablissement financier lui-m\u00eame. Le r\u00e8glement couvre explicitement tous les prestataires ICT tiers – fournisseurs cloud, plateformes SaaS, op\u00e9rateurs de centres de donn\u00e9es, fournisseurs de services manag\u00e9s. Les entreprises financi\u00e8res doivent \u00e9valuer, documenter et piloter les risques de l’ensemble de leur cha\u00eene d’approvisionnement ICT. Les contrats avec les prestataires tiers doivent comporter des clauses obligatoires en mati\u00e8re de s\u00e9curit\u00e9, de r\u00e9silience et de capacit\u00e9 de sortie.<\/p>\n Troisi\u00e8mement : Le Register of Information.<\/strong> DORA exige de chaque \u00e9tablissement financier un registre complet de tous les contrats de services ICT conclus avec des prestataires tiers. Ce registre doit pouvoir \u00eatre pr\u00e9sent\u00e9 aux autorit\u00e9s de surveillance sur demande. La deuxi\u00e8me soumission est exigible en mars 2026. Ce qui ressemble \u00e0 une obligation documentaire est en pratique un inventaire qui pousse de nombreuses organisations aux limites de leurs processus – parce qu’elles doivent pour la premi\u00e8re fois recenser de mani\u00e8re exhaustive quels services ICT externes elles utilisent r\u00e9ellement. La difficult\u00e9 est d’autant plus grande que le format et la granularit\u00e9 de la livraison des donn\u00e9es sont pr\u00e9cis\u00e9ment d\u00e9finis par des normes techniques de r\u00e9glementation (RTS). Une simple liste Excel ne suffit pas.<\/p>\n L’enqu\u00eate Deloitte Wave 3 sur la mise en \u0153uvre de DORA dresse un tableau sobre. Seuls 50 pour cent des \u00e9tablissements financiers comptaient sur une conformit\u00e9 compl\u00e8te \u00e0 la date d’application de janvier 2025. 38 pour cent suppl\u00e9mentaires ont indiqu\u00e9 2026 comme objectif. Les 12 pour cent restants n’avaient au moment de l’enqu\u00eate aucun calendrier concret.<\/p>\n Cela ne signifie pas que la moiti\u00e9 des \u00e9tablissements \u00e9tait inactive. Beaucoup ont satisfait \u00e0 des exigences individuelles – mis en place des frameworks de gestion des risques ICT, d\u00e9fini des processus de reporting d’incidents, effectu\u00e9 les premiers ajustements contractuels avec des prestataires tiers. Mais la conformit\u00e9 compl\u00e8te exige que les cinq piliers soient en place simultan\u00e9ment : gestion des risques ICT, gestion des incidents, tests de r\u00e9silience, gestion des risques li\u00e9s aux tiers et Register of Information. C’est le dispositif complet qui pose probl\u00e8me. Mettre en \u0153uvre les piliers isol\u00e9ment ne suffit pas – DORA exige un framework int\u00e9gr\u00e9 dans lequel tous les \u00e9l\u00e9ments s’articulent entre eux et sont document\u00e9s de mani\u00e8re v\u00e9rifiable par les autorit\u00e9s de surveillance.<\/p>\n Les co\u00fbts ne constituent pas le principal goulet d’\u00e9tranglement. 96 pour cent des \u00e9tablissements ont chiffr\u00e9 leurs co\u00fbts de conformit\u00e9, la plupart se situant entre 2 et 5 millions d’euros. Pour les grands \u00e9tablissements, ce sont des montants g\u00e9rables. Ce qui manque, ce ne sont pas les moyens, mais la capacit\u00e9 organisationnelle de faire avancer tous les chantiers en parall\u00e8le.<\/p>\n Tous secteurs confondus, un sch\u00e9ma se dessine : les grands \u00e9tablissements syst\u00e9miques disposent de plus de ressources, mais font face \u00e0 plus de complexit\u00e9. Ils sont en outre soumis au Threat-Led Penetration Testing et directement surveill\u00e9s par les autorit\u00e9s de surveillance europ\u00e9ennes. Les petits \u00e9tablissements subissent moins de pression r\u00e9glementaire, mais disposent aussi de moins de personnel sp\u00e9cialis\u00e9. La cat\u00e9gorie interm\u00e9diaire – banques r\u00e9gionales, assureurs sp\u00e9cialis\u00e9s, gestionnaires d’actifs – tombe le plus souvent dans le d\u00e9ficit de conformit\u00e9 : trop grande pour les exemptions, trop petite pour des \u00e9quipes DORA d\u00e9di\u00e9es.<\/p>\n La question qui se pose pour chaque direction g\u00e9n\u00e9rale n’est pas de savoir si la conformit\u00e9 DORA doit \u00eatre atteinte – cela ne fait l’objet d’aucune discussion. La question est de savoir si l’organisation parvient \u00e0 utiliser la conformit\u00e9 comme un avantage strat\u00e9gique plut\u00f4t que comme un simple fardeau r\u00e9glementaire. Les \u00e9tablissements qui ont rendu leur cha\u00eene d’approvisionnement ICT transparente et pilotable peuvent r\u00e9agir plus rapidement aux perturbations, changer de prestataire plus efficacement et d\u00e9montrer une plus grande r\u00e9silience aupr\u00e8s de leurs clients et partenaires.<\/p>\n Le Register of Information.<\/strong> 46 pour cent des \u00e9tablissements financiers citent le ROI comme le plus grand d\u00e9fi individuel dans la mise en \u0153uvre de DORA. La raison : beaucoup d’organisations ne savent pas int\u00e9gralement quels services ICT elles utilisent. Le shadow IT et la fragmentation des circuits d’approvisionnement font que les contrats se trouvent dans diff\u00e9rents d\u00e9partements, parfois sans enregistrement centralis\u00e9. Le ROI exige un niveau de granularit\u00e9 dans la documentation que les processus op\u00e9rationnels de nombreux \u00e9tablissements ne permettent tout simplement pas.<\/p>\n Gestion des prestataires ICT tiers.<\/strong> DORA ne demande pas seulement un inventaire, mais une \u00e9valuation active des risques de tous les prestataires tiers ainsi que la garantie de standards de r\u00e9silience contractuellement ancr\u00e9s. Pour un \u00e9tablissement financier moyen comptant 50 \u00e0 200 prestataires ICT, c’est un projet qui mobilise simultan\u00e9ment les achats, le service juridique, l’IT et la gestion des risques. 39 pour cent des \u00e9tablissements ont affect\u00e9 5 \u00e0 7 \u00e9quivalents temps plein exclusivement \u00e0 la conformit\u00e9 DORA. Huit pour cent n’ont pas encore estim\u00e9 leurs besoins en personnel.<\/p>\n Tests de r\u00e9silience.<\/strong> DORA prescrit des tests r\u00e9guliers de la r\u00e9silience op\u00e9rationnelle num\u00e9rique, y compris le Threat-Led Penetration Testing (TLPT) pour les \u00e9tablissements syst\u00e9miques. Ces tests requi\u00e8rent un savoir-faire sp\u00e9cialis\u00e9 rarement disponible en interne. La capacit\u00e9 de testeurs externes qualifi\u00e9s est limit\u00e9e, les d\u00e9lais de pr\u00e9paration sont longs. De nombreux \u00e9tablissements se trouvent dans la situation de conna\u00eetre l’obligation de test sans disposer, ni en interne ni en externe, des ressources pour la mettre en \u0153uvre dans les d\u00e9lais.<\/p>\n DORA durcit la responsabilit\u00e9 \u00e0 tous les niveaux. Le r\u00e9gime de sanctions est progressif et touche aussi bien l’institution que les personnes responsables.<\/p>\n Les \u00e9tablissements financiers peuvent se voir infliger des amendes allant jusqu’\u00e0 2 pour cent de leur chiffre d’affaires annuel mondial. Pour une banque de taille moyenne r\u00e9alisant 2 milliards d’euros de chiffre d’affaires, cela correspond \u00e0 une sanction potentielle de 40 millions d’euros. S’y ajoute la responsabilit\u00e9 personnelle : le Senior Management peut \u00eatre sanctionn\u00e9 personnellement \u00e0 hauteur de 1 million d’euros en cas de manquements av\u00e9r\u00e9s en mati\u00e8re de conformit\u00e9.<\/p>\n Point particuli\u00e8rement pertinent pour la strat\u00e9gie IT : les prestataires ICT tiers critiques peuvent \u00e9galement \u00eatre sanctionn\u00e9s directement. Les Lead Overseers peuvent imposer des amendes de 1 pour cent du chiffre d’affaires mondial quotidien moyen – par jour d’infraction. Cela cr\u00e9e une nouvelle dynamique dans les n\u00e9gociations avec les fournisseurs cloud et les op\u00e9rateurs de plateformes : la conformit\u00e9 DORA n’est plus seulement l’affaire de l’\u00e9tablissement financier, mais de l’ensemble de la cha\u00eene d’approvisionnement.<\/p>\n Les autorit\u00e9s de surveillance disposent sous DORA de pouvoirs \u00e9tendus : acc\u00e8s aux documents et aux donn\u00e9es, inspections sur site et injonction de mesures correctives. Les \u00c9tats membres peuvent en outre pr\u00e9voir des sanctions p\u00e9nales. L’application n’est plus seulement th\u00e9orique – elle a commenc\u00e9. Les premiers contr\u00f4les sont en cours, les autorit\u00e9s de surveillance renforcent activement leurs capacit\u00e9s et les r\u00e9gimes de sanctions des \u00c9tats membres se concr\u00e9tisent progressivement.<\/p>\n Les \u00e9tablissements qui comblent syst\u00e9matiquement leur d\u00e9ficit de conformit\u00e9 suivent une approche en trois phases.<\/p>\n Phase 1 : Prioriser le Register of Information.<\/strong> Le ROI est la preuve de conformit\u00e9 la plus visible et le principal obstacle individuel. Qui livre ici signale aux autorit\u00e9s de surveillance sa capacit\u00e9 d’action. L’approche pragmatique : ne pas attendre la perfection totale, mais d\u00e9marrer avec le portefeuille de contrats existant, documenter les lacunes et pr\u00e9senter un plan de compl\u00e9tion tra\u00e7able. Les autorit\u00e9s de surveillance \u00e9valuent la progression, pas seulement le statu quo.<\/p>\n Phase 2 : \u00c9chelonner les contrats avec les prestataires tiers par criticit\u00e9.<\/strong> Les 200 prestataires ICT n’ont pas tous le m\u00eame profil de risque. Les \u00e9tablissements qui priorisent efficacement classifient leurs prestataires par criticit\u00e9 et commencent l’adaptation des contrats par les prestataires Tier-1 – infrastructure cloud, syst\u00e8mes bancaires centraux, syst\u00e8mes de paiement. Les Tier-2 et Tier-3 suivent selon un calendrier d\u00e9fini. Cela r\u00e9duit la charge de travail parall\u00e8le et lib\u00e8re des capacit\u00e9s pour les n\u00e9gociations les plus complexes.<\/p>\n Phase 3 : Ne pas reporter les tests de r\u00e9silience.<\/strong> Le TLPT n\u00e9cessite de l’anticipation, du personnel sp\u00e9cialis\u00e9 et une pr\u00e9paration interne. Les \u00e9tablissements qui ne commencent la planification qu’en 2026 se heurteront \u00e0 des goulets d’\u00e9tranglement en mati\u00e8re de capacit\u00e9 chez les testeurs externes. La solution pragmatique : conclure d\u00e8s maintenant des contrats-cadres avec des prestataires TLPT et \u00e9laborer les premi\u00e8res d\u00e9finitions de p\u00e9rim\u00e8tre, m\u00eame si les tests eux-m\u00eames n’interviennent que plus tard. La pr\u00e9paration repr\u00e9sente la moiti\u00e9 de la conformit\u00e9.<\/p>\n Sur l’ensemble des trois phases, une r\u00e8gle s’impose : la conformit\u00e9 DORA n’est pas un projet avec une date de fin, mais un mod\u00e8le op\u00e9rationnel permanent. Le Register of Information doit \u00eatre mis \u00e0 jour annuellement, les tests de r\u00e9silience doivent \u00eatre r\u00e9alis\u00e9s r\u00e9guli\u00e8rement et la gestion des risques ICT doit \u00eatre adapt\u00e9e en continu aux nouvelles menaces. Les \u00e9tablissements qui planifient DORA comme un projet de conformit\u00e9 ponctuel \u00e9choueront au prochain contr\u00f4le.<\/p>\n Un aspect est fr\u00e9quemment sous-estim\u00e9 dans les discussions sur la mise en \u0153uvre : la dimension culturelle. DORA exige que la gestion des risques ICT soit per\u00e7ue comme une responsabilit\u00e9 de direction. La responsabilit\u00e9 n’incombe pas au seul d\u00e9partement IT, mais \u00e0 l’organe de direction de l’\u00e9tablissement financier. Les membres du conseil d’administration doivent approuver la strat\u00e9gie de risque ICT, la r\u00e9viser r\u00e9guli\u00e8rement et en justifier l’ad\u00e9quation aupr\u00e8s des autorit\u00e9s de surveillance. Cela requiert un niveau de comp\u00e9tence ICT au niveau de la direction qui, dans de nombreux \u00e9tablissements, reste \u00e0 construire.<\/p>\n Le constat honn\u00eate : DORA n’est pas un tigre de papier. La combinaison de la responsabilit\u00e9 personnelle, de la responsabilit\u00e9 des prestataires tiers et de l’applicabilit\u00e9 directe en fait la r\u00e9gulation IT la plus efficace que le secteur financier europ\u00e9en ait jamais connue. Qui traite cela comme un simple projet de conformit\u00e9 du d\u00e9partement IT sous-estime la dimension strat\u00e9gique. DORA transforme la mani\u00e8re dont les \u00e9tablissements financiers pilotent l’ensemble de leur paysage ICT – de l’approvisionnement \u00e0 la r\u00e9ponse aux incidents.<\/p>\n DORA (Digital Operational Resilience Act) est un r\u00e8glement europ\u00e9en sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique dans le secteur financier. Il s’applique depuis le 17 janvier 2025 directement dans tous les \u00c9tats membres de l’UE et concerne plus de 22 000 entreprises financi\u00e8res ainsi que leurs prestataires ICT tiers.<\/p>\n<\/details>\n Les \u00e9tablissements financiers peuvent \u00eatre sanctionn\u00e9s \u00e0 hauteur de 2 pour cent de leur chiffre d’affaires annuel mondial. Le Senior Management engage sa responsabilit\u00e9 personnelle jusqu’\u00e0 1 million d’euros. Les prestataires ICT critiques peuvent \u00eatre sanctionn\u00e9s \u00e0 hauteur de 1 pour cent de leur chiffre d’affaires mondial quotidien par jour d’infraction.<\/p>\n<\/details>\n Le Register of Information est une documentation compl\u00e8te de tous les contrats de services ICT conclus avec des prestataires tiers. Il doit pouvoir \u00eatre pr\u00e9sent\u00e9 aux autorit\u00e9s de surveillance sur demande. La deuxi\u00e8me soumission annuelle \u00e9tait exigible en mars 2026. 46 pour cent des \u00e9tablissements le d\u00e9signent comme leur plus grand d\u00e9fi de conformit\u00e9.<\/p>\n<\/details>\n Selon Deloitte, les co\u00fbts de conformit\u00e9 se situent pour la plupart des \u00e9tablissements financiers entre 2 et 5 millions d’euros. 96 pour cent ont chiffr\u00e9 leurs co\u00fbts. 39 pour cent ont affect\u00e9 5 \u00e0 7 \u00e9quivalents temps plein exclusivement \u00e0 la conformit\u00e9 DORA.<\/p>\n<\/details>\n Oui. DORA couvre l’ensemble de la cha\u00eene d’approvisionnement ICT. Les \u00e9tablissements financiers doivent \u00e9valuer les risques de tous les prestataires ICT tiers et les s\u00e9curiser contractuellement. Les prestataires ICT critiques peuvent \u00eatre sanctionn\u00e9s directement par les autorit\u00e9s de surveillance.<\/p>\n<\/details>\n Image de titre : Pexels \/ Christian Wasserfallen (px:7327875)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" DORA est en vigueur depuis janvier 2025 – mais 50% des institutions financi\u00e8res ne sont pas conformes.<\/p>\n","protected":false},"author":82,"featured_media":15418,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"conformit\u00e9 DORA finance","_yoast_wpseo_title":"DORA est obligatoire depuis janvier : pourquoi deux tiers des institutions finan","_yoast_wpseo_metadesc":"DORA est en vigueur depuis janvier 2025 mais seulement 50 pour cent des institutions financi\u00e8res sont conformes. Amendes jusqu'\u00e0 2 pour cent.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[705,683],"tags":[],"class_list":["post-15266","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurite","category-new-work-leadership","entry"],"wpml_language":"fr","wpml_translation_of":15261,"yoast_head":"\nL’essentiel en bref<\/h2>\n
\n
Ce qui distingue DORA des r\u00e9gulations IT pr\u00e9c\u00e9dentes<\/h2>\n
Le d\u00e9ficit de conformit\u00e9 : 50 pour cent non pr\u00eats \u00e0 la date limite<\/h2>\n
O\u00f9 la mise en \u0153uvre \u00e9choue : trois goulets d’\u00e9tranglement<\/h2>\n
La question de la responsabilit\u00e9 : personnelle et lourde<\/h2>\n
Ce que font les \u00e9tablissements pragmatiques maintenant<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu’est-ce que DORA et depuis quand le r\u00e8glement s’applique-t-il ?<\/strong><\/summary>\n
Quelles sanctions en cas de non-conformit\u00e9 \u00e0 DORA ?<\/strong><\/summary>\n
Qu’est-ce que le Register of Information sous DORA ?<\/strong><\/summary>\n
Quel est le co\u00fbt de la conformit\u00e9 DORA ?<\/strong><\/summary>\n
DORA concerne-t-il aussi les fournisseurs cloud et les prestataires IT ?<\/strong><\/summary>\n
Lectures recommand\u00e9es<\/h2>\n
\n