Le secteur financier est devenu une cible privilégiée des cyberattaques. À ces menaces s’ajoutent les pannes informatiques, les interruptions de service et les défaillances de prestataires technologiques. Pour aider les acteurs européens à mieux faire face à ces risques, l’Union européenne a adopté le règlement DORA, pour Digital Operational Resilience Act.
Applicable depuis le 17 janvier 2025, ce texte impose aux établissements financiers de renforcer leur résilience opérationnelle numérique. En 2027, sa mise en œuvre ne relève donc plus d’une simple préparation réglementaire. Les organisations doivent désormais démontrer l’efficacité de leurs dispositifs et intégrer durablement ces nouvelles exigences dans leur gestion des risques opérationnels.
DORA : un cadre européen destiné à renforcer la résilience opérationnelle
Le règlement DORA concerne une grande diversité d’acteurs du secteur financier. Il s’applique notamment aux banques, aux compagnies d’assurance, aux intermédiaires d’assurance, aux sociétés de gestion, aux établissements de paiement et aux prestataires intervenant dans le domaine des cryptoactifs.
Au total, plus de 22 000 organisations européennes doivent se conformer à ce nouveau cadre réglementaire. Elles sont tenues d’anticiper les incidents numériques, d’en limiter les conséquences et de garantir la continuité de leurs activités critiques.
Des règles harmonisées à l’échelle européenne
Contrairement à une directive telle que la DDA, le règlement DORA s’applique directement dans l’ensemble des États membres de l’Union européenne. Il n’a pas besoin d’être transposé dans les législations nationales.
Cette application uniforme permet d’instaurer des exigences communes en matière de résilience numérique. Les acteurs financiers européens doivent ainsi respecter un socle réglementaire identique, quel que soit leur pays d’implantation.
Cette harmonisation répond à la nature même des risques technologiques. Une cyberattaque ou la défaillance d’un prestataire cloud peut affecter simultanément plusieurs entreprises établies dans différents pays. Les systèmes d’information, les fournisseurs de logiciels et les infrastructures numériques sont aujourd’hui fortement interconnectés. Une réponse uniquement nationale ne suffirait donc pas à contenir des incidents susceptibles de se propager à grande échelle.
Une résilience opérationnelle qui dépasse la cybersécurité
Le règlement DORA ne se limite pas à la prévention des cyberattaques. Il couvre l’ensemble des événements susceptibles d’affecter les technologies de l’information et de la communication d’un établissement financier.
Une panne informatique, une erreur logicielle, une perte de données, une interruption de service ou la défaillance d’un fournisseur peuvent également compromettre la continuité des opérations. Ces incidents doivent donc être identifiés, évalués et traités au même titre qu’une attaque informatique.
Les établissements doivent désormais construire une véritable stratégie de résilience opérationnelle numérique. Celle-ci doit leur permettre de maintenir leurs fonctions essentielles, de réagir rapidement en cas d’incident et de rétablir leurs services dans des délais maîtrisés.
Un règlement organisé autour de cinq piliers
Le dispositif prévu par DORA s’articule autour de cinq grands axes :
• la gestion des risques liés aux technologies de l’information et de la communication ;
• la détection et la notification des incidents majeurs ;
• la réalisation de tests de résilience opérationnelle ;
• la surveillance des risques associés aux prestataires tiers critiques ;
• le partage d’informations relatives aux cybermenaces.
Ces obligations modifient en profondeur les pratiques des organisations financières. Leur mise en œuvre peut nécessiter une révision des processus internes, une évolution des outils de contrôle et une clarification des responsabilités.
Elle suppose également de former les collaborateurs afin que chaque métier comprenne son rôle dans la prévention et le traitement des risques numériques.
Une nouvelle approche de la gestion des risques opérationnels
Le renforcement de la gouvernance constitue l’une des principales évolutions introduites par DORA. La gestion des risques numériques ne peut plus relever uniquement des équipes informatiques ou de la direction des systèmes d’information.
Les organes de direction des établissements financiers sont directement impliqués dans le pilotage des risques liés aux technologies de l’information et de la communication. Ils doivent comprendre les menaces auxquelles l’organisation est exposée et suivre les mesures mises en place pour y répondre.
Ainsi, les dirigeants doivent notamment :
• approuver les dispositifs de gestion des risques numériques ;
• suivre les incidents majeurs ;
• superviser les plans de continuité et de reprise d’activité ;
• veiller à ce que les moyens humains, techniques et financiers nécessaires soient mobilisés.
La résilience opérationnelle devient ainsi un sujet de gouvernance à part entière. Elle doit être intégrée aux décisions stratégiques et ne peut plus être considérée comme une problématique exclusivement technique.
Une cartographie plus précise des risques numériques
La conformité au règlement DORA impose également d’identifier les services, les applications et les équipements indispensables au fonctionnement de l’établissement.
Les organisations doivent connaître leurs principales dépendances technologiques. Elles doivent déterminer quels outils soutiennent leurs activités critiques, repérer les vulnérabilités potentielles et mesurer les conséquences qu’aurait une indisponibilité prolongée.
La cartographie des risques opérationnels doit donc inclure les solutions cloud, les logiciels en mode SaaS, les infrastructures externalisées et les différents fournisseurs technologiques. L’objectif est de disposer d’une vision complète des ressources utilisées et des interactions entre les systèmes.
Ce travail permet notamment de repérer les concentrations de risques. Une dépendance trop forte envers un même fournisseur ou une même solution technique peut fragiliser plusieurs activités en cas de défaillance.
L’analyse des prestataires offre également l’occasion de vérifier les contrats conclus avec eux. Les clauses relatives à la sécurité, à la continuité des services, à l’accès aux informations ou aux conditions de résiliation doivent respecter les exigences fixées par DORA.
Des exigences documentaires renforcées
Le règlement accroît par ailleurs les obligations de traçabilité. Les établissements doivent être capables de démontrer les mesures prises pour prévenir les incidents, limiter leurs effets et rétablir les activités concernées.
Les événements détectés doivent être consignés. Les décisions prises, les responsabilités attribuées et les actions correctives engagées doivent également être documentées.
En cas de contrôle, l’organisation doit pouvoir fournir aux autorités compétentes, notamment à l’Autorité des marchés financiers ou à l’Autorité de contrôle prudentiel et de résolution, les éléments permettant d’évaluer la solidité de son dispositif.
La documentation ne doit donc pas être envisagée comme une simple formalité administrative. Elle constitue une preuve de la maîtrise des risques et permet de tirer les enseignements des incidents précédents.
Quels défis opérationnels pour les équipes risques et conformité ?
Pour répondre aux exigences de DORA, les établissements doivent faire évoluer leur organisation. Les équipes chargées des risques et de la conformité occupent une place centrale dans cette transformation, mais elles ne peuvent pas agir seules.
La résilience opérationnelle numérique implique plusieurs fonctions de l’entreprise. Elle nécessite une coordination régulière, une circulation efficace de l’information et une définition claire des responsabilités.
Renforcer la coopération entre les métiers
Les directions juridiques, les achats, la conformité, la gestion des risques, l’audit interne et les directions des systèmes d’information doivent désormais travailler de manière plus étroite.
Les métiers opérationnels sont également concernés. Ils connaissent les processus essentiels, les contraintes du terrain et les conséquences concrètes qu’aurait l’indisponibilité d’un outil ou d’un service.
Chaque fonction apporte ainsi une expertise différente. Les équipes informatiques évaluent les vulnérabilités techniques. Les juristes analysent les contrats. Les achats surveillent les fournisseurs. Les équipes risques et conformité s’assurent de la cohérence globale du dispositif.
Cette collaboration suppose toutefois de dépasser les fonctionnements en silos. Des règles de gouvernance communes, des procédures partagées et des circuits d’alerte clairement définis sont nécessaires pour apporter une réponse rapide et coordonnée en cas d’incident.
Réévaluer les relations avec les prestataires
La gestion des fournisseurs technologiques constitue un autre enjeu majeur du règlement DORA en banque et assurance.
Les établissements doivent tenir un registre détaillé des prestataires auxquels ils font appel. Ils doivent connaître les services fournis, évaluer le niveau de risque associé et identifier les activités critiques qui dépendent de ces partenaires.
Les contrats doivent également être examinés avec attention. Ils doivent prévoir les garanties attendues en matière de disponibilité, de sécurité, de contrôle et d’accès aux données. Les conditions de sortie ou de changement de prestataire doivent aussi être anticipées afin de limiter les situations de dépendance.
Cette surveillance doit être maintenue pendant toute la durée de la relation contractuelle. La conformité du fournisseur au moment de sa sélection ne suffit pas. Son niveau de risque et sa capacité à respecter ses engagements doivent être réévalués régulièrement.
Former les collaborateurs aux nouveaux risques
La formation joue un rôle essentiel dans le dispositif de résilience opérationnelle. Tous les collaborateurs doivent être sensibilisés aux menaces numériques et aux bonnes pratiques de sécurité. Ils doivent également savoir reconnaître un incident, connaître les procédures d’alerte et adopter les bons réflexes pour en limiter les conséquences.
Pour accompagner cette montée en compétences, Lefebvre Dalloz Compétences propose un large choix de formations professionnelles. Fondées sur les réglementations en vigueur et les réalités opérationnelles du secteur financier, elles permettent aux équipes de mieux comprendre les exigences de DORA, de sécuriser leurs pratiques et de renforcer durablement la résilience numérique de leur organisation.
Pour en savoir plus, rendez-vous sur : LEFEBVRE DALLOZ COMPÉTENCES
Retrouvez également nos deux précédentes publications vidéos :
● BPCE et Lefebvre Dalloz Compétences : former pour transformer durablement !
● Lefebvre Dalloz Compétences : Des formations de pointe et actualisées sur les règlementations du secteur Banque – Assurance
