DORA: expliqué pour ceux qui doivent maintenir les systèmes en service.

Le Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique (DORA) s’applique aux entités financières de l’UE. Il établit des exigences en matière de gestion des risques TIC, de signalement des incidents TIC, de tests de résilience opérationnelle numérique (y compris les tests de pénétration fondés sur les menaces, TLPT, pour les entités significatives), de gestion des risques TIC liés aux tiers et de partage d’informations sur les cybermenaces. DORA est entré en vigueur en janvier 2023 et s’applique depuis le 17 janvier 2025. Acuna GRC couvre DORA dans ses quatre espaces de travail : exigences DORA et cartographie inter-référentiels dans Comply, contrôles TIC, actifs et tiers dans Implement, risques TIC et plans de traitement dans Operate, et constats, chronologies d’incident, audits et actions correctives dans Assure.

Le Chapitre IV de DORA exige que les entités financières maintiennent un programme de test de résilience opérationnelle numérique. Cela inclut les évaluations de vulnérabilités, les tests de sécurité réseau, l’analyse des lacunes et les revues de sécurité des applications. Les entités significatives doivent également conduire des tests de pénétration fondés sur les menaces (TLPT) au moins tous les trois ans, simulant des attaques réelles contre les systèmes de production actifs à partir de renseignements sur les menaces. Les TLPT doivent être réalisés par des testeurs qualifiés et les résultats communiqués à l’autorité nationale compétente. Dans Acuna GRC, les résultats des tests sont consignés comme constats dans l’espace de travail Assure, reliés à l’audit, à l’exigence ou au contrôle concerné, et clôturés par des actions correctives qui distinguent mise en œuvre et vérification.

Le registre d’informations DORA est le registre, exigé par l’article 28 du Règlement (UE) 2022/2554, de l’ensemble de vos arrangements contractuels pour l’utilisation de services TIC fournis par des tiers. Chaque entité financière doit le tenir à jour, le maintenir au niveau de l’entité et, le cas échéant, au niveau sous-consolidé et consolidé du groupe, et le mettre à disposition de son autorité de surveillance compétente (en France, l’AMF ou l’ACPR selon le type d’entité) sur demande. Il constitue l’ossature du régime de risque tiers de DORA : les superviseurs l’utilisent pour voir, à l’échelle du secteur financier, de quels prestataires le système dépend. Le registre n’est pas un inventaire ponctuel. C’est un enregistrement vivant qui doit refléter votre chaîne d’approvisionnement TIC telle qu’elle est réellement, y compris quels arrangements soutiennent des fonctions critiques ou importantes, car ceux-ci entraînent des exigences contractuelles et de supervision plus strictes. Le registre documente chaque arrangement contractuel TIC : le prestataire, le service, s’il soutient une fonction critique ou importante, et les clauses contractuelles exigées par DORA. Les autorités européennes de supervision fixent le modèle détaillé et les champs par des normes techniques. Un registre tenu dans un tableur, séparé des relations fournisseurs qu’il décrit, est exact le jour de sa création et erroné la semaine où un contrat change sans mise à jour. C’est précisément l’échec que vise l’exigence DORA de tenir le registre à jour.

DORA impose aux entités financières de détecter, gérer, classifier et signaler les incidents liés aux TIC. Les incidents majeurs doivent être signalés à l’autorité compétente (en France, l’AMF ou l’ACPR) par étapes : une notification initiale, puis un rapport intermédiaire au fil de l’évolution, et un rapport final une fois la cause racine établie. La classification de ce qui constitue un incident « majeur » repose sur des critères fixés par le règlement et ses normes techniques, couvrant notamment le nombre de clients affectés, la durée, l’étendue géographique, les pertes de données et l’impact économique. Les entités peuvent également signaler volontairement des cybermenaces significatives. Avant de signaler, vous classifiez. DORA et ses normes techniques définissent les seuils qui séparent un incident majeur d’un incident courant. Une classification correcte détermine si le délai de signalement s’applique. DORA structure le signalement en trois étapes : notification initiale dans les 4 heures suivant la classification comme majeur, et au plus tard 24 heures après la prise de connaissance ; rapport intermédiaire dans les 72 heures ; rapport final avec analyse des causes dans le mois. Ces délais sont fixés par le RTS 2025/301, avec les modèles de rapport dans l’ITS 2025/302, en vertu de l’article 19 de DORA.

Les tests de pénétration fondés sur les menaces (TLPT, threat-led penetration testing) constituent la forme avancée de tests de résilience que DORA impose aux entités financières identifiées comme significatives. Contrairement aux scans de vulnérabilités ou aux tests de pénétration classiques, le TLPT simule les tactiques, techniques et procédures de véritables acteurs de menace contre les systèmes de production en activité, en couvrant les fonctions critiques ou importantes qui soutiennent l’activité. Il est réalisé par des testeurs qui remplissent les exigences de l\u2019article 27, paragraphe 1, de DORA, cadré et validé avec l\u2019autorité compétente (AMF ou ACPR en France) et conduit au moins tous les trois ans. Le recours à des testeurs internes n\u2019est admis qu\u2019aux conditions de l\u2019article 27, paragraphe 2\u00a0; l\u2019entité qui y recourt engage des testeurs externes tous les trois tests, et les établissements de crédit classés comme importants au sens de l\u2019article 6, paragraphe 4, du règlement (UE) n° 1024/2013 n\u2019ont recours qu\u2019à des testeurs externes (article 26, paragraphe 8). Le TLPT s’appuie sur le cadre TIBER-EU pour les tests fondés sur les menaces. Le TLPT se situe à l’extrémité exigeante du pilier tests de DORA. La plupart des entités concernées mènent un programme général de tests de résilience ; les entités significatives y ajoutent le TLPT, car le règlement considère leur perturbation comme un risque systémique plus élevé. Un test de pénétration standard vérifie si des faiblesses connues peuvent être exploitées. Le TLPT est guidé par le renseignement : il part d’une image des menaces qui ciblent réellement votre type d’entité, puis teste si vos systèmes en production et vos équipes résisteraient à ces comportements adverses spécifiques.

DORA s’applique à un large éventail d’entités financières établies dans l’UE, dont les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les entreprises d’assurance et de réassurance et leurs intermédiaires, les prestataires de services sur crypto-actifs, les sociétés de gestion de fonds, les plates-formes de négociation, et d’autres encore. Il atteint également les prestataires de services TIC tiers dont ces entités dépendent, et crée un régime de supervision dédié pour les prestataires désignés comme critiques, soumis à une supervision directe par un superviseur principal. Le périmètre est volontairement large : une entité financière française devrait présumer qu’elle est concernée jusqu’à preuve du contraire. DORA est applicable depuis le 17 janvier 2025, sous la supervision de l’AMF et de l’ACPR selon le type d’entité. DORA n’est pas uniforme pour tous. Les entités plus petites et moins complexes appliquent une version simplifiée du cadre de gestion des risques TIC, calibrée à leur taille et à leur risque. Simplifié ne signifie pas exempt : l’obligation subsiste, à une profondeur proportionnée. Les entités les plus grandes et les plus systémiques portent l’intégralité des exigences, y compris les tests avancés.

NIS2 et DORA sont deux cadres européens de cybersécurité et de résilience opérationnelle entrés en vigueur à peu près au même moment et qui se recoupent largement, mais ils ne sont pas interchangeables. NIS2 (Directive (UE) 2022/2555) est une directive transsectorielle de cybersécurité couvrant de nombreux secteurs ; DORA (Règlement (UE) 2022/2554) est un règlement spécifique au secteur financier pour la résilience opérationnelle numérique. Lorsque les deux pourraient s’appliquer à la même organisation, DORA prime généralement pour le risque TIC dans les services financiers en tant que loi plus spécifique (le principe de lex specialis). Une entité financière peut donc être dans le périmètre des deux, DORA régissant son risque TIC et NIS2 restant pertinent dans la mesure où DORA ne couvre pas. Les deux diffèrent par l’instrument, le périmètre et le niveau de précision. NIS2 est une directive transposée en droit national (en France, la loi de transposition n’était pas encore définitivement adoptée en octobre 2026, et l’ANSSI y est désignée comme autorité). DORA est un règlement d’application directe et uniforme dans l’UE, supervisé par l’AMF et l’ACPR pour les entités françaises. NIS2 couvre de nombreux secteurs ; DORA se limite aux entités financières et à leurs prestataires TIC. DORA est aussi plus prescriptif sur les détails TIC (registre d’informations, TLPT) que les mesures plus générales de gestion des risques de NIS2. Pour une entité financière concernée par les deux : déterminez d’abord vos obligations DORA pour le risque TIC, car elles sont les plus spécifiques et prescriptives. Puis vérifiez ce que NIS2 ajoute au-delà de la couverture DORA pour votre organisation.

Pas à un établissement suisse en tant que tel. DORA (règlement (UE) 2022/2554) s’applique aux entités financières agréées dans l’UE : une banque, un assureur ou un gestionnaire d’actifs suisse relève de la FINMA, pas de DORA. Le règlement s’applique en revanche pleinement à leurs filiales dans l’UE, et il atteint les prestataires TIC suisses par les contrats que leurs clients financiers européens doivent conclure. Acuna GRC pilote DORA et la FINMA dans un seul programme, avec une seule analyse d’impact et un seul registre des prestataires.

DORA est un règlement européen d’application directe, avec des règles détaillées et des normes techniques pour les entités financières de l’UE. La circulaire FINMA 2023/1 fixe des attentes fondées sur des principes pour les banques et maisons de titres suisses, appliquées selon leur taille. Les deux couvrent le risque TIC, la notification des incidents, le risque lié aux tiers, les tests et la résilience des fonctions critiques, mais diffèrent sur les délais, le registre des prestataires et les tests. Dans Acuna GRC, les deux tournent dans un seul programme.

La gestion des risques fournisseurs, ou TPRM (third-party risk management), consiste à identifier, évaluer et surveiller les risques qui viennent des fournisseurs, des prestataires et de leurs propres sous-traitants : sécurité, protection des données, continuité et conformité. Elle couvre toute la relation, de la due diligence avant la signature aux réévaluations régulières et à la sortie. DORA, NIS2, le RGPD et l’ISO 27001 l’exigent sous une forme ou une autre. Dans Acuna GRC, le module TPRM tient un registre unique des fournisseurs avec exposition, questionnaires, notes et grade de sécurité quotidien.

Un questionnaire d’évaluation des risques fournisseurs demande au fournisseur comment il protège le service, les données et les systèmes qu’il touche : gouvernance et certifications, contrôle d’accès, protection et localisation des données, réponse aux incidents, continuité d’activité, ses propres sous-traitants et ses clauses contractuelles. Chaque question importante doit demander une preuve, et la profondeur doit suivre le niveau de risque du fournisseur. Dans Acuna GRC, vous envoyez des questionnaires prêts à l’emploi ou les vôtres, en français, anglais, allemand ou espagnol, et notez chaque réponse.