Qu'est-ce que DORA ?
Statut : notion. Page d’explication générale, indépendante du projet. Notre analyse est dans
cible/nis2-dora.md.
En une phrase
DORA (Digital Operational Resilience Act) est un règlement européen (UE 2022/2554) qui impose aux acteurs financiers de résister aux incidents informatiques, de les signaler et de s’en relever. Il s’applique depuis le 17 janvier 2025.
Qui est concerné
Les entités financières de l’Union européenne : banques, établissements de paiement, entreprises d’assurance, sociétés de gestion, plateformes de crypto-actifs… Et, indirectement, leurs prestataires informatiques critiques (hébergeurs, fournisseurs cloud), qui peuvent être placés sous surveillance européenne.
Comme c’est un règlement, il s’applique tel quel dans tous les pays, sans loi de transposition.
Les cinq piliers
| Pilier | Articles | Ce qu’il exige |
|---|---|---|
| Gestion du risque informatique | 5 à 16 | Un cadre de gestion des risques approuvé par la direction : identifier, protéger, détecter, répondre, se rétablir, tirer les leçons |
| Incidents | 17 à 23 | Classer les incidents selon des critères communs et notifier les incidents majeurs à l’autorité, dans des délais fixés |
| Tests de résilience | 24 à 27 | Tester régulièrement sa résilience ; pour les entités les plus importantes, des tests d’intrusion menés par des testeurs indépendants (TLPT) tous les trois ans |
| Prestataires informatiques | 28 à 44 | Tenir un registre des contrats, imposer des clauses minimales, prévoir une stratégie de sortie |
| Partage d’informations | 45 | Échanger, de façon volontaire, des informations sur les menaces |
Ce qui change par rapport à avant
- La direction est responsable : le risque informatique n’est plus seulement l’affaire du service informatique.
- Des règles communes pour classer et notifier les incidents dans toute l’Union.
- Les prestataires comptent : dépendre d’un seul fournisseur devient un risque à gérer et à documenter.
Qui contrôle en France
L’ACPR (Autorité de contrôle prudentiel et de résolution) pour les banques, les établissements de paiement et les assurances, et l’AMF pour les acteurs des marchés financiers.
Ce qu’il faut retenir
DORA ne demande pas d’être invulnérable. Il demande de prouver qu’on sait détecter un incident, le signaler à temps, reprendre l’activité et en tirer les leçons.