DORA Digital Operational Resilience Act.

Pourquoi DORA existe et qui il oblige

Avant DORA, la résilience opérationnelle numérique des entités financières dans l'UE était une mosaïque. Les banques répondaient à un ensemble d'attentes prudentielles, les assureurs à un autre, et les règles sur les incidents TIC, l'externalisation et les tests variaient selon le secteur et selon l'État membre. DORA remplace cette fragmentation par un règlement unique qui s'applique directement dans toute l'Union, sans transposition nationale requise. Son champ d'application est volontairement large : banques, assureurs, entreprises d'investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, plates-formes de négociation, et bien d'autres, ainsi que les prestataires tiers critiques de services TIC dont ces entités dépendent.

Ce dernier point est ce qui distingue DORA d'une règle financière classique. Il ne régule pas seulement les entreprises supervisées ; il atteint leur chaîne d'approvisionnement. Les fournisseurs cloud, les opérateurs de centres de données et les éditeurs de logiciels jugés critiques pour le système financier peuvent être placés sous surveillance directe au niveau de l'UE. Pour un praticien, la conséquence pratique est que la résilience n'est plus quelque chose que l'on peut entièrement externaliser et oublier. Vous restez responsable du risque TIC porté par vos prestataires, et vous devez le démontrer.

Les cinq piliers en pratique

DORA repose sur cinq piliers, et chacun se traduit par un travail de programme concret plutôt que par de la paperasse :

• Gestion du risque TIC. Un cadre de gouvernance porté par l'organe de direction, couvrant l'identification, la protection, la détection, la réponse et la récupération des actifs TIC. C'est l'ossature à laquelle se rattachent les quatre autres piliers.
• Gestion et notification des incidents. Classer les incidents liés aux TIC par gravité, et notifier les incidents majeurs à l'autorité compétente selon un calendrier défini. L'accent est mis sur une taxonomie harmonisée afin que les superviseurs de toute l'UE voient des données comparables.
• Tests de résilience opérationnelle numérique. Un programme de tests régulier qui va des évaluations de vulnérabilités jusqu'aux tests de pénétration fondés sur la menace (TLPT) pour les entités les plus importantes, calqués sur le comportement réel des adversaires.
• Gestion du risque lié aux prestataires tiers de services TIC. Garanties contractuelles, registres d'information sur tous les accords TIC, stratégies de sortie, et régime de surveillance des prestataires tiers critiques.
• Partage d'informations. Échange volontaire de renseignements sur les cybermenaces entre entités financières, encouragé plutôt qu'imposé, afin de renforcer la défense collective.

DORA face à NIS 2

La question que les praticiens posent le plus souvent est de savoir comment DORA s'articule avec NIS 2, puisque les deux sont des instruments de l'UE touchant à la cybersécurité et que tous deux atteignent à peu près le même niveau de maturité. La réponse courte est lex specialis : là où DORA et NIS 2 s'appliqueraient tous deux à une entité financière sur l'angle TIC, DORA l'emporte car c'est la règle la plus spécifique. NIS 2 fixe un socle de cybersécurité large dans de nombreux secteurs ; DORA va plus loin sur la résilience TIC du secteur financier et ajoute le régime de surveillance des tiers que NIS 2 n'a pas.

Concrètement, au quotidien, une banque ne peut pas en choisir un. Elle cartographie ses obligations et constate que, pour le risque TIC, la notification des incidents et les tests de résilience, DORA est le texte qui prévaut, tandis que NIS 2 peut encore concerner des parties du groupe qui sortent du champ financier de DORA. La manière propre de gérer cela est un cadre de contrôle unique, souvent ancré sur ISO 27001 et ISO 22301, qui satisfait les deux régimes et permet de prouver la conformité une seule fois.