DORA : quelles obligations pour les entités financières et leurs prestataires TIC ?
Par Corentin Bardin, fondateur de BCIT Formation · Publié le 7 septembre 2026
Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) s'applique depuis le 17 janvier 2025 à 21 catégories d'entités financières et, par ricochet contractuel, à leurs prestataires de services informatiques. Il repose sur 5 piliers : gestion des risques TIC, notification des incidents majeurs (première notification sous 4 heures), tests de résilience (test d'intrusion fondé sur la menace au moins tous les 3 ans), maîtrise des prestataires tiers et partage d'informations. Voici ce que chaque acteur doit mettre en place.
Qui est concerné par DORA ?
L'article 2 liste 21 types d'entités financières, des établissements de crédit aux prestataires de services sur crypto-actifs, en passant par les entreprises d'assurance, les sociétés de gestion, les établissements de paiement et les intermédiaires d'assurance (hors microentreprises pour certains). En France, la supervision relève de l'ACPR et de l'AMF selon le statut.
Les prestataires tiers de services TIC (hébergeurs, éditeurs, infogérants, opérateurs cloud) ne sont pas directement supervisés, sauf s'ils sont désignés « critiques » à l'échelle européenne. Mais les clauses contractuelles de l'article 30 (niveaux de service, sécurité, notification d'incident, droit d'audit, réversibilité) leur sont imposées par leurs clients financiers.
Quels sont les 5 piliers de DORA ?
| Pilier | Articles | Ce qui est attendu |
|---|---|---|
| 1. Gestion des risques TIC | 5 à 16 | Cadre de gestion des risques approuvé par l'organe de direction, cartographie des actifs, continuité et reprise, revue annuelle |
| 2. Incidents liés aux TIC | 17 à 23 | Processus de détection, classification et déclaration des incidents majeurs à l'autorité compétente |
| 3. Tests de résilience | 24 à 27 | Programme de tests annuel ; tests de pénétration fondés sur la menace (TLPT) pour les entités désignées |
| 4. Risque lié aux prestataires tiers | 28 à 44 | Registre d'informations sur tous les contrats TIC, clauses contractuelles clés, stratégie de sortie, supervision des prestataires critiques |
| 5. Partage d'informations | 45 | Échange volontaire de renseignements sur les cybermenaces entre entités financières |
Quels délais pour déclarer un incident majeur ?
L'article 19 impose trois livrables successifs (notification initiale, rapport intermédiaire, rapport final). Les délais sont fixés par le règlement délégué (UE) 2025/301 :
| Livrable | Délai | Contenu |
|---|---|---|
| Notification initiale | 4 heures après la classification en incident majeur, et au plus tard 24 heures après la détection | Nature de l'incident, services touchés, première estimation d'impact |
| Rapport intermédiaire | 72 heures après la notification initiale | Impact actualisé, mesures de confinement, premières causes |
| Rapport final | 1 mois après le rapport intermédiaire | Analyse des causes profondes, impact chiffré, mesures correctives |
Qui doit réaliser des tests TLPT, et à quelle fréquence ?
« Les entités financières [...] effectuent au moins tous les trois ans des tests avancés au moyen d'un test de pénétration fondé sur la menace. En fonction du profil de risque de l'entité financière et compte tenu des circonstances opérationnelles, l'autorité compétente peut, le cas échéant, demander à l'entité financière de réduire ou d'augmenter cette fréquence. » Règlement (UE) 2022/2554, article 26, paragraphe 1
Les TLPT ne concernent que les entités désignées par leur autorité (profil de risque, importance systémique). Toutes les autres restent tenues, par l'article 24, d'un programme de tests annuel : analyses de vulnérabilités, tests de pénétration classiques, revues de configuration, tests de scénarios.
Que doit contenir le registre des prestataires TIC ?
L'article 28 impose un registre d'informations recensant tous les accords contractuels avec des prestataires TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. En France, l'ACPR et l'AMF ont fixé la première remise de ce registre au 15 avril 2025. Il doit être maintenu à jour et transmis chaque année. Pour chaque contrat critique, l'entité doit aussi documenter une stratégie de sortie et vérifier les clauses de l'article 30.
Comment structurer sa mise en conformité ?
- Cartographier les fonctions critiques ou importantes et les systèmes qui les soutiennent.
- Aligner le cadre de gestion des risques TIC sur un référentiel reconnu : ISO/IEC 27001 pour la sécurité, ISO 22301 pour la continuité.
- Outiller la classification et la déclaration d'incident (modèles, astreinte, contacts ACPR/AMF), puis la tester en exercice.
- Constituer le registre d'informations et renégocier les contrats TIC non conformes à l'article 30.
- Planifier le programme de tests annuel et, le cas échéant, le premier TLPT.
- Former l'organe de direction, responsable du cadre de gestion des risques au sens de l'article 5.
Comment BCIT Formation vous accompagne ?
Notre accompagnement DORA couvre l'analyse d'écart, le registre d'informations, la revue contractuelle et la préparation aux tests. Côté formation, les parcours certifiants PECB DORA Foundation et DORA Lead Manager s'adressent aux équipes conformité, risques et IT des entités financières comme de leurs prestataires.
Sources
- Règlement (UE) 2022/2554 (DORA), EUR-Lex : articles 1, 2, 19, 24, 26, 28, 30 et 64.
- Règlement délégué (UE) 2025/301 : contenu et délais des notifications d'incidents majeurs.
- ACPR, FAQ sur la directive et le règlement DORA.
Vous devez démontrer votre conformité DORA à l'ACPR ou à un client bancaire ?
Échangeons 15 minutes sur votre situation : entité financière ou prestataire TIC, nous cadrons le plan d'action.
Prendre rendez-vous Nous contacterDORA : quelles obligations pour les entités financières et leurs prestataires TIC ?
Par Corentin Bardin, fondateur de BCIT Formation · Publié le 7 septembre 2026
Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) s'applique depuis le 17 janvier 2025 à 21 catégories d'entités financières et, par ricochet contractuel, à leurs prestataires de services informatiques. Il repose sur 5 piliers : gestion des risques TIC, notification des incidents majeurs (première notification sous 4 heures), tests de résilience (test d'intrusion fondé sur la menace au moins tous les 3 ans), maîtrise des prestataires tiers et partage d'informations. Voici ce que chaque acteur doit mettre en place.
Qui est concerné par DORA ?
L'article 2 liste 21 types d'entités financières, des établissements de crédit aux prestataires de services sur crypto-actifs, en passant par les entreprises d'assurance, les sociétés de gestion, les établissements de paiement et les intermédiaires d'assurance (hors microentreprises pour certains). En France, la supervision relève de l'ACPR et de l'AMF selon le statut.
Les prestataires tiers de services TIC (hébergeurs, éditeurs, infogérants, opérateurs cloud) ne sont pas directement supervisés, sauf s'ils sont désignés « critiques » à l'échelle européenne. Mais les clauses contractuelles de l'article 30 (niveaux de service, sécurité, notification d'incident, droit d'audit, réversibilité) leur sont imposées par leurs clients financiers.
Quels sont les 5 piliers de DORA ?
| Pilier | Articles | Ce qui est attendu |
|---|---|---|
| 1. Gestion des risques TIC | 5 à 16 | Cadre de gestion des risques approuvé par l'organe de direction, cartographie des actifs, continuité et reprise, revue annuelle |
| 2. Incidents liés aux TIC | 17 à 23 | Processus de détection, classification et déclaration des incidents majeurs à l'autorité compétente |
| 3. Tests de résilience | 24 à 27 | Programme de tests annuel ; tests de pénétration fondés sur la menace (TLPT) pour les entités désignées |
| 4. Risque lié aux prestataires tiers | 28 à 44 | Registre d'informations sur tous les contrats TIC, clauses contractuelles clés, stratégie de sortie, supervision des prestataires critiques |
| 5. Partage d'informations | 45 | Échange volontaire de renseignements sur les cybermenaces entre entités financières |
Quels délais pour déclarer un incident majeur ?
L'article 19 impose trois livrables successifs (notification initiale, rapport intermédiaire, rapport final). Les délais sont fixés par le règlement délégué (UE) 2025/301 :
| Livrable | Délai | Contenu |
|---|---|---|
| Notification initiale | 4 heures après la classification en incident majeur, et au plus tard 24 heures après la détection | Nature de l'incident, services touchés, première estimation d'impact |
| Rapport intermédiaire | 72 heures après la notification initiale | Impact actualisé, mesures de confinement, premières causes |
| Rapport final | 1 mois après le rapport intermédiaire | Analyse des causes profondes, impact chiffré, mesures correctives |
Qui doit réaliser des tests TLPT, et à quelle fréquence ?
« Les entités financières [...] effectuent au moins tous les trois ans des tests avancés au moyen d'un test de pénétration fondé sur la menace. En fonction du profil de risque de l'entité financière et compte tenu des circonstances opérationnelles, l'autorité compétente peut, le cas échéant, demander à l'entité financière de réduire ou d'augmenter cette fréquence. » Règlement (UE) 2022/2554, article 26, paragraphe 1
Les TLPT ne concernent que les entités désignées par leur autorité (profil de risque, importance systémique). Toutes les autres restent tenues, par l'article 24, d'un programme de tests annuel : analyses de vulnérabilités, tests de pénétration classiques, revues de configuration, tests de scénarios.
Que doit contenir le registre des prestataires TIC ?
L'article 28 impose un registre d'informations recensant tous les accords contractuels avec des prestataires TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. En France, l'ACPR et l'AMF ont fixé la première remise de ce registre au 15 avril 2025. Il doit être maintenu à jour et transmis chaque année. Pour chaque contrat critique, l'entité doit aussi documenter une stratégie de sortie et vérifier les clauses de l'article 30.
Comment structurer sa mise en conformité ?
- Cartographier les fonctions critiques ou importantes et les systèmes qui les soutiennent.
- Aligner le cadre de gestion des risques TIC sur un référentiel reconnu : ISO/IEC 27001 pour la sécurité, ISO 22301 pour la continuité.
- Outiller la classification et la déclaration d'incident (modèles, astreinte, contacts ACPR/AMF), puis la tester en exercice.
- Constituer le registre d'informations et renégocier les contrats TIC non conformes à l'article 30.
- Planifier le programme de tests annuel et, le cas échéant, le premier TLPT.
- Former l'organe de direction, responsable du cadre de gestion des risques au sens de l'article 5.
Comment BCIT Formation vous accompagne ?
Notre accompagnement DORA couvre l'analyse d'écart, le registre d'informations, la revue contractuelle et la préparation aux tests. Côté formation, les parcours certifiants PECB DORA Foundation et DORA Lead Manager s'adressent aux équipes conformité, risques et IT des entités financières comme de leurs prestataires.
Sources
- Règlement (UE) 2022/2554 (DORA), EUR-Lex : articles 1, 2, 19, 24, 26, 28, 30 et 64.
- Règlement délégué (UE) 2025/301 : contenu et délais des notifications d'incidents majeurs.
- ACPR, FAQ sur la directive et le règlement DORA.
Vous devez démontrer votre conformité DORA à l'ACPR ou à un client bancaire ?
Échangeons 15 minutes sur votre situation : entité financière ou prestataire TIC, nous cadrons le plan d'action.
Prendre rendez-vous Nous contacter