Guides DORA

DORA (Digital Operational Resilience Act) est un règlement européen établissant des exigences de gestion des risques TIC pour les entités financières. Il vise à assurer que les institutions financières peuvent résister, répondre et se remettre des perturbations et menaces liées aux TIC.

DORA s'applique à pratiquement toutes les entités financières de l'UE incluant les banques, assureurs, sociétés d'investissement, établissements de paiement, prestataires de services sur crypto-actifs, et les prestataires de services TIC tiers critiques servant ces entités.

Les cinq piliers de DORA sont : 1) Gestion des risques TIC, 2) Reporting des incidents liés aux TIC, 3) Tests de résilience opérationnelle numérique, 4) Gestion des risques liés aux tiers TIC, et 5) Dispositifs de partage d'informations sur les cybermenaces.

DORA est entré en vigueur le 16 janvier 2023 et s'applique à partir du 17 janvier 2025. Les entités financières et leurs fournisseurs TIC critiques doivent être pleinement conformes à cette date.

Les incidents TIC majeurs doivent être signalés aux autorités compétentes : notification initiale dans les 4 heures suivant la classification comme majeur, rapport intermédiaire dans les 72 heures, et rapport final dans le mois. Les rapports utilisent des templates standardisés spécifiés dans les normes techniques de réglementation.

DORA est lex specialis pour le secteur financier, ce qui signifie qu'il prévaut sur NIS 2 pour les entités financières. Cependant, les prestataires de services TIC tiers critiques servant des entités financières peuvent devoir se conformer aux deux réglementations.

DORA exige des entités financières qu'elles gèrent les risques des prestataires de services TIC tout au long du cycle de vie de la relation, incluant la due diligence, les exigences contractuelles, la surveillance continue et les stratégies de sortie. Les prestataires critiques sont soumis à une supervision directe de l'UE.

DORA s'applique aux entités non-UE opérant sur le marché financier de l'UE. Les prestataires de services TIC tiers non-UE désignés comme critiques doivent établir une filiale dans l'UE et peuvent faire face à une supervision directe par les régulateurs de l'UE.