DORA (résilience opérationnelle numérique)

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (Digital Operational Resilience Act) s'applique depuis le 17 janvier 2025 aux banques, assureurs, réassureurs, intermédiaires d'assurance au-delà de certains seuils, sociétés de gestion, établissements de paiement et prestataires crypto, ainsi qu'à leurs prestataires informatiques critiques.

Il repose sur cinq piliers : un cadre de gestion des risques liés aux TIC, la gestion et la notification des incidents majeurs, des tests de résilience (jusqu'aux tests de pénétration fondés sur la menace pour les plus grandes entités), la gestion du risque lié aux prestataires tiers avec un registre d'information et des clauses contractuelles obligatoires, et le partage d'informations sur les menaces.

DORA fait du risque cyber une responsabilité de l'organe de direction, qui doit approuver la stratégie et se former. L'ACPR a demandé dès 2025 les registres d'information des prestataires et contrôle les contrats d'externalisation. Pour un courtier ou une fintech, DORA se traduit par des questionnaires et des clauses imposés par les assureurs et les banques partenaires.

• Cartographier les fonctions critiques et les systèmes qui les supportent
• Tenir le registre d'information de tous les prestataires TIC au format réglementaire
• Intégrer dans les contrats les clauses obligatoires (niveaux de service, audit, réversibilité, localisation des données)
• Mettre en place une procédure de classification et de notification des incidents (4 heures pour la notification initiale d'un incident majeur)
• Tester au moins une fois par an la résilience des systèmes critiques
• Former les dirigeants et le personnel

• Règlement (UE) 2022/2554 du 14 décembre 2022 (DORA)
• Directive (UE) 2022/2556 et normes techniques de réglementation des autorités européennes de surveillance (RTS/ITS 2024)
• Notice ACPR sur la mise en œuvre de DORA