DORA : ce que le secteur financier doit savoir en 2026

Le Digital Operational Resilience Act (DORA) est pleinement applicable depuis le 17 janvier 2025. Pourtant, en mars 2026, de nombreuses entités financières peinent encore à atteindre la conformité. Les premiers contrôles des autorités européennes révèlent des lacunes critiques, notamment sur la gestion des tiers ICT et le reporting d'incidents.

Les 5 piliers de DORA

DORA repose sur cinq exigences fondamentales qui s'appliquent à plus de 22 000 entités financières dans l'UE : banques, assurances, sociétés de gestion, prestataires de services de paiement et leurs fournisseurs ICT critiques.

1. Gestion des risques ICT

Chaque entité doit maintenir un cadre de gestion des risques ICT documenté, revu annuellement par l'organe de direction. Ce n'est plus une délégation à la DSI : le board est directement responsable. Le cadre doit inclure l'identification des actifs, la classification des risques, et des mesures de protection proportionnées.

2. Reporting d'incidents : la règle des 4h/72h

C'est le point de friction majeur. DORA impose un signalement initial en 4 heures après classification d'un incident ICT majeur, suivi d'un rapport intermédiaire dans les 72 heures et d'un rapport final dans le mois. Concrètement, cela signifie :

• Un processus de classification automatisé et testé

• Des modèles de rapports pré-remplis et validés juridiquement

• Une chaîne d'escalade fonctionnelle 24/7

• Des exercices réguliers de simulation d'incidents

Un outil comme ThreatClaw permet d'automatiser la détection, la classification et la génération des rapports d'incidents au format requis par les autorités de supervision.

3. Tests de résilience opérationnelle numérique

DORA exige des tests de pénétration fondés sur la menace (TLPT, Threat-Led Penetration Testing) tous les trois ans pour les entités significatives. Ces tests doivent couvrir les fonctions critiques et être conduits par des équipes qualifiées. Les tests de base (scans de vulnérabilité, tests de scénarios) sont requis annuellement.

4. Gestion des risques liés aux tiers ICT

C'est le pilier le plus complexe. Chaque entité doit maintenir un registre d'information exhaustif de tous ses prestataires ICT, évaluer les risques de concentration, et intégrer des clauses contractuelles spécifiques (droit d'audit, plans de sortie, localisation des données). Les fournisseurs ICT critiques désignés par les ESA sont soumis à une supervision directe.

5. Partage d'informations

DORA encourage le partage de renseignements sur les cybermenaces entre entités financières, dans un cadre de confiance. Les accords de partage doivent respecter le RGPD et les règles de confidentialité.

Les erreurs les plus fréquentes

• Sous-estimer le scope des tiers ICT : le cloud, le SaaS, les API tierces, tout est concerné

• Confondre DORA et NIS2 : DORA est la lex specialis pour le secteur financier. Conformité NIS2 ne vaut pas conformité DORA

• Documentation insuffisante : les régulateurs veulent des preuves, pas des déclarations d'intention

• Absence de tests : un plan de continuité non testé n'est pas un plan

Comment ThreatClaw accélère la conformité DORA

La plateforme ThreatClaw couvre nativement plusieurs exigences DORA :

• Surveillance continue des actifs ICT et détection d'anomalies en temps réel

• Classification automatique des incidents selon les critères DORA

• Génération de rapports pré-formatés pour le reporting réglementaire

• Cartographie des dépendances ICT pour identifier les risques de concentration

Découvrez nos compétences en cybersécurité et nos offres adaptées au secteur financier.

FAQ

Qui est concerné par DORA ?

Toutes les entités financières réglementées dans l'UE : banques, assurances, entreprises d'investissement, établissements de paiement, ainsi que leurs fournisseurs ICT critiques.

Quelle différence entre DORA et NIS2 ?

DORA est la réglementation spécifique au secteur financier (lex specialis). NIS2 est plus générale. Les entités financières doivent se conformer à DORA, qui prévaut sur NIS2 pour les exigences couvertes.

Quelles sanctions en cas de non-conformité DORA ?

Les autorités nationales peuvent imposer des sanctions administratives et des mesures correctives. Pour les fournisseurs ICT critiques, les ESA peuvent infliger des astreintes allant jusqu'à 1% du chiffre d'affaires mondial journalier.

Combien de temps faut-il pour devenir conforme DORA ?

Pour une entité de taille moyenne, comptez 6 à 12 mois de mise en conformité complète, en fonction de la maturité existante en gestion des risques ICT.