Avant DORA, la gestion du risque numérique dans les institutions financières européennes reposait sur un ensemble disparate d’obligations : directives NIS pour la cybersécurité des opérateurs essentiels, guidelines de l’EBA sur les risques TIC publiées en 2019, circulaires nationales de l’ACPR, recommandations de la Bafin en Allemagne. Une banque française opérant simultanément en Allemagne et aux Pays-Bas naviguait entre plusieurs cadres partiellement incompatibles. DORA, règlement directement applicable depuis le 17 janvier 2025 sans transposition nationale, met fin à cette fragmentation. Son périmètre couvre plus de 22 000 entités financières dans l’Union européenne, des grandes banques systémiques aux petites sociétés de gestion, en passant par les établissements de paiement, les prestataires de services sur crypto-actifs et les sociétés de reporting de données.
Ce qui distingue vraiment DORA de ses prédécesseurs, c’est l’extension de la supervision aux prestataires de services TIC eux-mêmes. Les grands fournisseurs de cloud désignés «prestataires TIC critiques» peuvent désormais faire l’objet d’une supervision directe par une autorité européenne cheffe de file, selon un mécanisme inédit. Le raisonnement est limpide : quand une panne d’AWS ou de Microsoft Azure peut simultanément paralyser des centaines d’établissements financiers, superviser uniquement les établissements sans regarder leurs fournisseurs revient à inspecter les bâtiments sans jamais vérifier les fondations.
Cinq piliers, mais un maillon plus exigeant que les autres
DORA s’articule autour de cinq domaines d’obligations. La gestion du risque TIC impose un cadre formalisé, avec une gouvernance portée explicitement par le conseil d’administration. Le reporting des incidents introduit une classification à trois niveaux et des délais de notification courts : les entités doivent signaler les incidents majeurs à leur autorité compétente dans les quatre heures suivant leur détection. Les tests de résilience obligent les entités significatives à réaliser des tests de pénétration en mode «Threat-Led» (TLPT), conformes au cadre TIBER-EU harmonisé à l’échelle européenne. Le partage d’informations sur les cybermenaces est par ailleurs encouragé dans un cadre structuré, mais volontaire.
Le cinquième pilier, la gestion des risques liés aux prestataires tiers, s’est révélé le plus exigeant à mettre en oeuvre. Les normes techniques réglementaires (RTS) publiées conjointement par l’EBA, l’ESMA et l’EIOPA en janvier 2024 définissent précisément le contenu du «registre d’information» que chaque entité doit constituer et maintenir. Ce registre répertorie l’ensemble des arrangements contractuels avec les fournisseurs TIC : caractère critique ou non, services couverts, localisation des données, chaînes de sous-traitance. Pour une grande banque, on parle souvent de plusieurs centaines de contrats à analyser, qualifier et documenter dans un format standardisé. Les équipes qui ont accompagné ces projets évoquent régulièrement des délais largement sous-estimés dans les feuilles de route initiales.
La question des droits d’audit face aux géants du cloud
Les clauses contractuelles imposées par DORA soulèvent un enjeu de rapports de force que les équipes juridiques connaissent bien. Le règlement exige d’inclure dans les contrats des droits permettant à l’entité financière, ou à son régulateur, d’auditer directement les prestataires. Or, les grands fournisseurs de cloud avaient longtemps privilégié les certifications tierces (SOC 2 type II, ISO 27001) comme substitut à ces inspections directes. Pour les établissements de taille intermédiaire, qui pèsent peu dans la balance commerciale face à ces acteurs, la négociation de clauses conformes à DORA s’est parfois étirée sur plusieurs mois.
Ce point illustre une tension structurelle que DORA n’a pas complètement résolue. D’un côté, le règlement cherche à rééquilibrer les relations contractuelles entre les entités financières et leurs prestataires critiques. De l’autre, la concentration du marché du cloud sur quelques acteurs mondiaux limite concrètement le levier de négociation des établissements. Les plans de sortie, autre obligation du règlement, posent un défi comparable : documenter comment une organisation pourrait migrer ses charges de travail critiques d’un fournisseur à un autre tout en maintenant la continuité d’activité suppose un niveau de maturité architecturale que tous les établissements n’avaient pas encore atteint à la date d’application.
Ce que DORA change pour la gouvernance et les métiers
Pour les directeurs financiers et les conseils d’administration, DORA introduit une responsabilité qui n’est plus délégable. Les membres de l’organe de direction doivent approuver formellement le cadre de gestion du risque TIC, la politique de continuité et le programme de tests. La résilience numérique devient un risque d’entreprise à part entière, au même titre que le risque de crédit ou le risque de liquidité. Dans plusieurs groupes bancaires, cette évolution s’est traduite par la création de comités dédiés au niveau du conseil, ou par l’intégration explicite des risques TIC dans les rapports soumis aux administrateurs.
Pour les directions des risques et de la conformité, le règlement impose une collaboration bien plus étroite avec les équipes IT, cybersécurité et achats. La cartographie des risques TIC doit désormais s’intégrer dans le dispositif global de gestion des risques, et non rester cantonnée à une fonction support. Pour les fintech qui fournissent des services d’infrastructure à des entités régulées, DORA représente un saut qualitatif dans les exigences : gouvernance formalisée, documentation détaillée, ouverture aux audits de leurs clients bancaires. C’est un investissement non négligeable pour des structures de taille parfois modeste. C’est aussi, pour celles qui s’y conforment sérieusement, un argument de différenciation commerciale face à des concurrents moins rigoureux.
De la conformité documentaire à la résilience effective
Obtenir la conformité sur le papier est une étape nécessaire, mais elle n’est pas l’objectif final du règlement. L’EBA a signalé, dans ses orientations successives, que la phase d’observation cède progressivement la place à des contrôles plus approfondis. La question que les superviseurs commencent à poser n’est plus «avez-vous un plan de continuité ?» mais «l’avez-vous testé dans des conditions réalistes, et que s’est-il passé ?»
Les lacunes qui ressortent des premiers échanges entre superviseurs et établissements sont souvent les mêmes : des registres d’information non maintenus à jour après leur première construction, des tests de résilience conduits dans des conditions trop favorables pour être significatifs, des plans de sortie jamais réellement répétés en conditions opérationnelles. La maturité en matière de résilience numérique va progressivement s’imposer comme critère d’évaluation supervisorielle, au même titre que les ratios prudentiels ou la qualité des actifs.
Pour ceux qui décident dans la finance, le message de DORA est finalement assez direct. La dépendance quotidienne aux systèmes numériques n’est pas un risque abstrait que l’on peut documenter et oublier. Les établissements qui auront traité ce règlement comme une démarche de fond, ancrée dans leurs pratiques opérationnelles réelles, seront bien mieux positionnés quand les superviseurs approfondiront leurs contrôles. Les autres découvriront peut-être tardivement que la conformité de surface ne protège pas.
