DORA : le guide complet du règlement sur la résilience opérationnelle numérique

DORA — Digital Operational Resilience Act — est le règlement européen qui harmonise, pour l'ensemble du secteur financier, les exigences de gestion du risque informatique. Applicable depuis le 17 janvier 2025, il concerne directement les assureurs et réassureurs, aux côtés des banques, entreprises d'investissement et prestataires de services sur crypto-actifs. Pour une direction des risques ou une direction des systèmes d'information, DORA n'est pas une couche réglementaire de plus à côté de Solvabilité II : c'est un cadre transversal qui structure désormais la gouvernance de l'ensemble de la chaîne informatique, y compris les prestataires externes.

Ce guide pose la vue d'ensemble du règlement : son origine, son champ d'application, ses cinq piliers, et son calendrier. Chaque pilier renvoie vers un article dédié pour approfondir.

Pourquoi DORA : harmoniser un paysage réglementaire fragmenté

Avant DORA, chaque État membre et chaque régulateur sectoriel (bancaire, assurantiel, marchés) appliquait ses propres exigences de gestion du risque informatique, avec des niveaux d'exigence et des formats de reporting hétérogènes. Cette fragmentation compliquait la supervision d'un risque pourtant transversal : une cyberattaque ou une panne informatique majeure ne s'arrête pas aux frontières d'un secteur ni d'un pays.

Le Règlement (UE) 2022/2554, adopté fin 2022 et applicable depuis le 17 janvier 2025 après une période de mise en œuvre de 24 mois, remplace cette approche fragmentée par un socle unique de règles de gestion du risque lié aux technologies de l'information et de la communication (TIC), directement applicable dans tous les États membres sans transposition nationale supplémentaire. Il s'articule avec la directive NIS2, plus large, en apportant au secteur financier un cadre spécifique et plus exigeant.

Un champ d'application élargi aux prestataires TIC

La particularité de DORA, par rapport aux régimes prudentiels antérieurs, est d'étendre la supervision au-delà des seules entités financières. Le règlement couvre :

• les entités financières elles-mêmes : établissements de crédit, entreprises d'assurance et de réassurance, entreprises d'investissement, gestionnaires d'actifs, institutions de paiement, prestataires de services sur crypto-actifs, entre autres ;

• les prestataires tiers critiques de services TIC — notamment les fournisseurs cloud — qui, au-delà d'un certain seuil de criticité systémique, sont soumis à un cadre de supervision directe par les autorités européennes, une nouveauté par rapport aux régimes antérieurs.

Le principe de proportionnalité s'applique néanmoins : les exigences sont modulées selon la taille, le profil de risque et la nature des activités de l'entité, avec un régime allégé pour les plus petites structures.

Les cinq piliers de DORA

DORA structure ses exigences autour de cinq piliers complémentaires.

1. Gestion du risque lié aux TIC

Chaque entité doit disposer d'un cadre de gouvernance et de gestion du risque TIC, sous la responsabilité directe de l'organe de direction : cartographie des actifs et des dépendances informatiques, politiques de sécurité, plans de continuité et de reprise d'activité, dispositifs de sauvegarde et de restauration testés régulièrement. Nous détaillons ce pilier dans notre article dédié à la gestion des risques TIC sous DORA.

2. Gestion, classification et notification des incidents

Les entités doivent mettre en place un processus de détection, gestion et classification des incidents liés aux TIC, et notifier les incidents majeurs à leur autorité compétente selon des délais et un format harmonisés à l'échelle européenne — une évolution significative pour les organismes qui géraient jusqu'ici leurs obligations de notification de façon disparate selon les régimes sectoriels ou nationaux.

3. Tests de résilience opérationnelle numérique

Les entités doivent tester régulièrement la résilience de leurs systèmes, avec un dispositif renforcé pour les entités les plus significatives : les tests de pénétration fondés sur la menace (TLPT — Threat-Led Penetration Testing), menés selon un cadre européen commun, simulent des attaques réalistes sur les systèmes critiques. Nous détaillons ce dispositif dans notre article sur les tests de résilience sous DORA.

4. Gestion du risque lié aux prestataires tiers TIC

DORA impose une gouvernance renforcée de la sous-traitance informatique : tenue d'un registre des accords contractuels avec les prestataires TIC, clauses contractuelles minimales obligatoires (droits d'audit, plans de sortie, localisation des données), et une attention particulière au risque de concentration lorsque plusieurs fonctions critiques reposent sur un même prestataire.

5. Partage d'informations sur les cybermenaces

Le règlement encourage — sur une base volontaire et encadrée — le partage d'informations et de renseignements sur les cybermenaces entre entités financières, afin de renforcer la capacité collective de détection et de réponse.

Le rôle des autorités européennes de surveillance

Les trois autorités européennes de surveillance (ESAs) — EIOPA pour l'assurance, EBA pour la banque, ESMA pour les marchés — élaborent conjointement les normes techniques de réglementation (RTS) et normes techniques d'exécution (ITS) qui précisent les modalités d'application de DORA (contenu du registre des prestataires, format de notification des incidents, méthodologie des TLPT). Ces standards continuent d'évoluer après l'entrée en application du règlement : il convient de vérifier systématiquement leur version en vigueur avant toute mise en conformité opérationnelle.

DORA et Solvabilité II : deux cadres complémentaires

DORA ne remplace ni ne modifie les exigences de gouvernance des risques de Solvabilité II — il les complète sur le volet spécifiquement informatique. Le Pilier 2 de Solvabilité II impose déjà un système de gouvernance et une gestion des risques proportionnée (voir notre guide complet Solvabilité II) ; DORA vient préciser et durcir les exigences applicables à la composante TIC de ce système de gouvernance, avec un formalisme et des obligations de reporting propres.

Tableau récapitulatif des cinq piliers

Pilier	Contenu principal
1. Gestion du risque TIC	Gouvernance, cartographie, politiques de sécurité, continuité d'activité
2. Gestion des incidents	Classification, notification harmonisée aux autorités compétentes
3. Tests de résilience	Tests réguliers, TLPT pour les entités les plus significatives
4. Risque lié aux prestataires TIC	Registre des contrats, clauses obligatoires, risque de concentration
5. Partage d'informations	Échange volontaire de renseignements sur les cybermenaces

Finengy Advisory vous accompagne dans votre mise en conformité DORA : cartographie de vos dépendances TIC, structuration du registre des prestataires, articulation avec votre gouvernance des risques Solvabilité II. Découvrez notre offre de conseil en actuariat prudentiel.

Questions fréquentes

Depuis quand DORA est-il applicable ? Depuis le 17 janvier 2025, après une période de mise en œuvre de 24 mois suivant l'entrée en vigueur du règlement (UE) 2022/2554.

DORA s'applique-t-il à tous les assureurs ? Oui, avec une modulation proportionnée selon la taille et le profil de risque de l'organisme. Les entreprises d'assurance et de réassurance entrent explicitement dans le champ d'application du règlement.

Qu'est-ce qu'un TLPT ? Un test de pénétration fondé sur la menace (Threat-Led Penetration Testing), qui simule des attaques réalistes sur les systèmes critiques d'une entité, selon un cadre méthodologique harmonisé à l'échelle européenne. Il ne concerne que les entités les plus significatives.

DORA concerne-t-il les prestataires informatiques externes de l'assureur ? Oui. Les prestataires tiers critiques de services TIC — notamment les fournisseurs cloud — peuvent être soumis à une supervision directe des autorités européennes au-delà d'un certain seuil de criticité systémique.

Sources : Règlement (UE) 2022/2554 du Parlement européen et du Conseil (DORA) ; normes techniques de réglementation et d'exécution des autorités européennes de surveillance (EIOPA, EBA, ESMA) ; publications de l'ACPR sur la mise en œuvre de DORA. Contenu à visée informative ; les normes techniques précisant l'application du règlement continuent d'évoluer — vérifier systématiquement leur version en vigueur avant toute décision de mise en conformité.