Le règlement (UE) DORA : obligations de résilience numérique pour les entités financières et prestataires TIC critiques.
Nous vous aidons à construire la feuille de route (gouvernance, reporting incidents, prestataires), à dimensionner votre couverture assurance cyber/RC/PJ et à préparer les contrôles ACPR/AMF.
Être accompagnéEntré en application le 17 janvier 2025, le règlement (UE) 2022/2554 instaure un socle unique pour toutes les entités financières opérant dans l’Union. Il impose une gouvernance cyber documentée, des tests réguliers et une capacité à résister, répondre et se remettre d’un incident majeur.
DORA s’articule avec NIS2, le RGPD et les exigences nationales (ACPR, AMF, BCE). Il concerne aussi les prestataires TIC critiques qui fournissent des services essentiels (cloud, infogérance, data centers, logiciels métiers) aux institutions financières.
Le conseil ou la direction générale doit approuver la stratégie ICT, suivre les indicateurs de risque et démontrer que les ressources (humaines, financières, techniques) sont suffisantes.
Cartographie détaillée du SI, politique de sécurité, tests réguliers, gestion des changements, inventaire des dépendances et plan de continuité/pandémie.
Capacité à détecter, classifier et notifier les incidents majeurs selon un formalisme commun, avec reporting initial, intermédiaire et final.
Contrats renforcés (SLA, droits d’audit, clauses de sortie) et supervision continue des fournisseurs critiques. Possibilité de désignation par les ESAs.
Participation à des centres d’échanges de menaces (ISAC/ISAO), simulations de crise et alignement avec les autorités nationales et européennes.
Le calendrier DORA combine des obligations immédiates (janvier 2025) et des échéances progressives liées aux normes techniques et aux tests de résilience avancés.
Politique approuvée par la direction, identification des actifs critiques, classification des données, gestion des vulnérabilités et suivi des indicateurs de risque.
Processus documenté de détection, triage, escalade et communication. Les incidents majeurs doivent être rapportés dans un format standardisé.
Programme pluriannuel de tests : scans de vulnérabilité, tests de pénétration, exercices “table-top” et, pour les structures critiques, tests de type TLPT menés par des équipes red team accréditées.
Participation active aux centres sectoriels (CERT, ISAC) et mécanismes de coopération prévus par les autorités. Les accords de partage doivent respecter la confidentialité et le RGPD.
Due diligence initiale, clauses contractuelles renforcées, suivi des indicateurs de performance et plan de sortie. Les fournisseurs critiques peuvent être inscrits dans un registre européen.
Les RTS précisent les seuils et délais de notification. Les organisations doivent être capables de rassembler en quelques heures toutes les informations exigées.
L’assurance cyber finance la cellule de crise, la collecte d’éléments de preuve, la défense juridique et les coûts de communication, mais ne dispense pas de disposer d’une procédure de reporting éprouvée.
Un contrat ne suffit plus : les entités financières doivent démontrer qu’elles auditent, supervisent et peuvent sortir d’un prestataire défaillant. Les fournisseurs essentiels seront peut-être supervisés directement par les ESAs.
Une assurance cyber ou responsabilité des dirigeants peut couvrir les frais juridiques et de continuité liés à la défaillance d’un fournisseur, mais les obligations de contrôle et de documentation restent à votre charge.
Une approche combinée est recommandée : police cyber pour les coûts techniques, RC professionnelle pour les dommages aux tiers et protection juridique pour la défense des dirigeants.
Un accompagnement structuré vous permet de rassurer vos autorités de tutelle, vos clients et vos partenaires financiers.
Cartographie des exigences DORA vs situation actuelle, identification des écarts critiques.
Priorisation des actions (processus, contrats fournisseurs, SOC, tests) avec budgets associés.
Dossier complet pour obtenir garanties cyber, RC pro et protection juridique adaptées au périmètre DORA.
Organisation d’exercices, mise à jour des procédures et préparation des rapports attendus par les autorités.
Questions fréquemment posées par les équipes dirigeantes, conformité et risk managers.
Le classement repose sur des seuils combinant la durée de l’indisponibilité, le nombre de clients touchés, la gravité financière et l’impact transfrontalier. Un incident peut être reclassé majeur a posteriori si les dégâts dépassent les seuils initiaux.
Oui, dès lors qu’ils fournissent des services TIC essentiels à une entité régulée européenne. Les contrats doivent prévoir clauses de coopération, audit et réversibilité conformes à DORA.
Selon la maturité initiale, comptez 4 à 9 mois pour formaliser la gouvernance, renégocier les contrats fournisseurs et tester vos plans. D’où l’intérêt de lancer le chantier dès maintenant.
Diagnostic flash, feuille de route de remédiation, mise en concurrence des assureurs et accompagnement pendant les contrôles. Nous intervenons auprès des directions générales, risk/compliance et IT.
Demander un rendez-vous