DORA : un levier stratégique pour renforcer la résilience numérique des établissements financiers

Pour une résilience qui protège la valeur de l’établissement financier.

Introduction

Le règlement DORA (Digital Operational Resilience Act), entré en vigueur en janvier 2023 et applicable dès janvier 2025, impose aux acteurs financiers une transformation profonde de leur gouvernance numérique.

Loin d’être une simple contrainte réglementaire, DORA constitue une opportunité pour renforcer la robustesse, la confiance et la compétitivité du secteur bancaire.

Contexte réglementaire

Adopté sous le règlement (UE) 2022/2554, DORA vise à harmoniser les exigences de cybersécurité, de continuité d’activité et de gestion des prestataires informatiques critiques pour l’ensemble du secteur financier européen, en complément de NIS2.

Implications concrètes pour les banques

Gouvernance IT et cybersécurité

Mise en œuvre de tests de pénétration avancés (TLPT).
Responsabilisation des instances dirigeantes (Board, COMEX).
Formalisation des plans de continuité et de reprise d’activité.

Supervision des prestataires TIC

Identification des prestataires critiques.
Clauses contractuelles normalisées : réversibilité, auditabilité, localisation.
Notification d’incidents majeurs aux superviseurs dans un délai de 24h max.

Obligations de reporting et traçabilité

Cartographie des flux numériques critiques.
Journalisation sécurisée des événements.
Rapprochement avec les exigences de l’ACPR (ex. enquête 2023 sur l’externalisation des activités critiques) [3].

Défis et opportunités

Défis

Cartographie des dépendances numériques : infrastructures cloud, API tierces, middleware, hébergeurs.
Coordination transversale entre IT, Risk, Compliance, Achats.
Conformité contractuelle avec des fournisseurs hors UE.
Budget et ressources : arbitrage entre mise en conformité et innovation.

Opportunités

Différenciation concurrentielle : les établissements proactifs pourront se positionner comme partenaires fiables, sécurisés et auditables.
Synergie IT-Risk-Compliance : DORA favorise un alignement stratégique entre gouvernance IT, gestion des risques et exigences réglementaires.
Préparation aux audits ACPR/ESMA : documentation, justification et résilience deviennent des arguments business.

Etude de cas

Le cas d’OVH Cloud

En mars 2021, OVHcloud a subi une cyberattaque suivie d’un incendie majeur.

Plus de 60 000 clients, dont des banques et FinTech, ont été touchés.

L’absence de cadre harmonisé a complexifié la gestion des obligations de continuité, mettant en lumière la nécessité de DORA.

Avec DORA, un établissement financier client aurait dû :

Exiger un plan de continuité détaillé (PRA testé) du prestataire.
Bénéficier d’une notification immédiate.
Réaliser une évaluation de résilience (TLPT) en amont.

Recommandations BPA

Réaliser un diagnostic DORA dès maintenant.
Intégrer DORA dans le plan d’audit interne et la cartographie des risques.
Former les métiers via des modules ciblés (conformité IT, continuité, fournisseurs critiques).

BPA (globalBPA.com) accompagne les établissements dans l’analyse de leurs écarts, la structuration des plans d’action, et la formation des équipes clés

Questions - réponses

Articulation de DORA avec un PUPA / PCA / PRA

DORA renforce les exigences du PCA/PRA en les normant :

Obligation de tests de résilience réguliers.
Coordination entre cybersécurité, risques et continuité.
Obligation de documentation et de traçabilité.

Qui fait quoi?

La mise en œuvre de DORA suggère le partage des rôles de la façon suivante:

Gouvernance: Approbation stratégique, surveillance
DG: Arbitrage budgétaire, culture du risque
DSI: Pilotage technique, choix IT, sécurité
RH: Sensibilisation, habilitations, gestion des compétences critiques
Juridique: Revue des contrats fournisseurs TIC
Conformité: Alignement avec autres régulations (NIS2, DSP2…)
Audit interne: Vérification de l’effectivité du dispositif

Le positionnement du CISO

Le CISO relève opérationnellement du 1er niveau, mais doit aussi rendre compte au 2e niveau (contrôle permanent) pour garantir indépendance et auditabilité.

Quelles sont les certifications utiles?

Nous vous recommandons de considérer:

ISO 27001 / ISO 22301 (cybersécurité & continuité)
ISO 20000 (services IT)
SOC2, CSA STAR (prestataires cloud)
TLPT (Threat-Led Penetration Testing) pour tests avancés

Comment démontrer la conformité à DORA?

Nous vous suggérons de considérer:

Preuves d’implication du Board
Cartographie à jour + preuve de test PRA/PCA
Registre des incidents TIC avec traitement
Contrats fournisseurs avec clauses DORA

Quels sont les impacts de DORA sur la relation clientèle?

DORA en augmentant la résilience va nécessairement modifier la relation avec la clientèle:

Disponibilité des services (e-banking, app mobile)
Sécurisation des parcours KYC/Onboarding
Communication de crise (ex. : message clair en cas d’incident)
Plus grande transparence (niveau de service, réponse aux incidents)

Quelle gouvernance mettre en place entre filiales/entités dans un groupe bancaire ?

La mise en place d’une gouvernance efficace entre les filiales d’un groupe bancaire est essentielle pour assurer une gestion cohérente des risques et une conformité réglementaire uniforme.

Le règlement DORA (Digital Operational Resilience Act) impose aux entités financières de disposer de cadres de gouvernance et de contrôles internes garantissant une gestion efficace et prudente de tous les risques informatiques, afin d’atteindre un niveau élevé de résilience opérationnelle numérique.

Dans le cas où plusieurs entités d’un même groupe partagent un prestataire intra-groupe ou des infrastructures communes, l’autorité compétente peut organiser des tests de pénétration conjoints (TLPT) regroupant toutes ces entités

Quel reporting au Conseil (KPI de résilience opérationnelle) ?

Le reporting au conseil d’administration doit inclure des indicateurs clés de performance (KPI) reflétant la résilience opérationnelle de l’organisation.

Ces KPI peuvent couvrir des aspects tels que le nombre d’incidents liés aux TIC, le temps moyen de résolution, les résultats des tests de résilience, et le niveau de conformité aux exigences réglementaires.

Le cadre de gouvernance défini par DORA prévoit l’établissement de canaux de notification permettant à la direction d’être tenue informée des accords passés et de leur suivi.

Comment articuler DORA / NIS2 / DSP2 ?

DORA, NIS2 (Network and Information Security Directive) et DSP2 (Directive sur les services de paiement) sont trois réglementations européennes visant à renforcer la sécurité et la résilience numérique.

Bien qu’elles partagent des objectifs communs, elles diffèrent par leur portée et leurs exigences spécifiques.

DORA se concentre sur la résilience opérationnelle des entités financières, NIS2 établit des mesures de cybersécurité pour divers secteurs critiques, et DSP2 régule les services de paiement en ligne.

Il est crucial pour les organisations concernées de comprendre les interactions entre ces réglementations pour assurer une conformité harmonieuse.

Comment former les administrateurs à leurs nouvelles responsabilités ?

La responsabilité de la conformité à DORA incombe aux conseils d’administration des organisations concernées.

En pratique, cela signifie que les administrateurs doivent prendre des décisions sur les politiques de sécurité, fournir des ressources adéquates pour mettre en œuvre ces politiques et superviser la conformité.

Il est donc essentiel de former les administrateurs aux exigences de DORA et aux implications de leurs nouvelles responsabilités

Conclusion

DORA incarne une régulation proactive, conçue pour stabiliser un secteur en mutation rapide. Sa bonne mise en œuvre sera un marqueur de maturité et un vecteur de compétitivité durable.

Vous souhaitez anticiper DORA sans complexité inutile ?

BPA (globalBPA.com) vous accompagne pas à pas :
→ Diagnostic express de maturité
→ Plan d’action sur-mesure
→ Kits de conformité prêts à l’emploi

Contactez-nous dès aujourd’hui pour un échange confidentiel.

Nos autres points de vue (Blog)