Ce que DORA impose concrètement aux institutions financières
Le règlement européen sur la résilience opérationnelle numérique (DORA, pour Digital Operational Resilience Act) est entré en application le 17 janvier 2025. Il s’adresse à un périmètre large : banques, assureurs, sociétés de gestion, prestataires de services de paiement, infrastructures de marché, et leurs fournisseurs technologiques critiques. L’objectif est d’harmoniser et de renforcer la capacité du secteur financier à résister aux incidents informatiques, aux cyberattaques et aux défaillances de prestataires tiers.
Concrètement, DORA impose cinq grandes familles d’exigences. Les établissements doivent mettre en place une gouvernance formalisée du risque lié aux technologies de l’information, documenter et cartographier l’ensemble de leurs systèmes critiques, gérer les incidents selon un cadre structuré incluant des délais de notification aux autorités, réaliser des tests réguliers de résilience, et encadrer contractuellement leurs relations avec les fournisseurs technologiques tiers.
Les tests dits TLPT (Threat-Led Penetration Testing) méritent une mention particulière. Ces exercices simulent des attaques ciblées par des équipes spécialisées, coordonnées avec le superviseur. Ils supposent une préparation logistique et documentaire conséquente : plusieurs grands établissements bancaires européens ont indiqué publiquement que leur première campagne TLPT avait nécessité plusieurs mois de travail préparatoire. Ce n’est pas un audit de conformité ordinaire.
DORA introduit également un registre des contrats avec les prestataires tiers critiques, à maintenir à jour et à communiquer aux autorités de supervision. L’Autorité bancaire européenne (EBA), en coordination avec l’ESMA et l’EIOPA, a publié des normes techniques réglementaires (RTS) précisant les modalités de mise en œuvre. En France, l’ACPR supervise les banques et les assureurs, l’AMF couvre les acteurs de marché.
Le responsable de résilience opérationnelle numérique, un rôle transversal en émergence
Ces exigences ne se pilotent pas depuis une direction isolée. Elles supposent une coordination fine entre la DSI, la direction des risques, la conformité, l’audit interne et la direction générale. C’est précisément dans cet espace de convergence qu’un métier prend forme : le responsable de résilience opérationnelle numérique.
La fonction n’est pas encore stabilisée dans les organigrammes, et son intitulé varie selon les établissements : « Head of Digital Resilience », « Chief Resilience Officer », ou simplement responsable DORA au sein d’une direction des risques élargie. Mais ses missions, elles, convergent. Ce professionnel coordonne la mise en conformité DORA dans sa globalité, pilote le programme de tests de résilience, assure le reporting vers les autorités en cas d’incident majeur, et entretient le dialogue entre les équipes techniques et les instances de gouvernance.
Ce qui rend ce rôle complexe, c’est précisément sa dimension transversale. Le responsable de résilience opérationnelle numérique ne peut pas se contenter de maîtriser les exigences réglementaires. Il doit comprendre les architectures informatiques, lire une cartographie de flux de données, dialoguer avec un fournisseur de cloud sur ses engagements contractuels de continuité, et rendre compte au conseil d’administration dans des termes intelligibles pour des administrateurs non techniciens. Ce profil hybride est rare, et les cursus de formation l’anticipent encore peu.
Les défis opérationnels que beaucoup sous-estiment
Dans les institutions qui s’y sont investies en premier, les difficultés rencontrées illustrent bien l’étendue du chantier. La cartographie des actifs informatiques critiques, première étape indispensable, révèle souvent une complexité bien supérieure aux estimations initiales : des systèmes hérités non documentés, des dépendances à des prestataires dont le contrat ne prévoyait aucune clause de continuité, des processus critiques reposant sur des chaînes d’outils disparates que personne n’avait jamais formalisées sous ce prisme.
La gestion des prestataires tiers ouvre un chantier contractuel distinct. Selon les normes techniques publiées par l’EBA, les contrats avec les fournisseurs critiques doivent prévoir des droits d’audit, des clauses de portabilité des données, des engagements sur la sécurité des informations et des plans de sortie en cas de défaillance. Renégocier ces clauses avec des fournisseurs de cloud de taille mondiale relève d’un exercice de rapport de force que peu d’établissements maîtrisent pleinement, et pour lequel le responsable de résilience opérationnelle numérique doit souvent jouer un rôle de coordinateur entre la direction juridique, la DSI et les achats.
Profils recherchés et tensions sur le marché des compétences
Les professionnels qui se positionnent sur ce métier viennent d’horizons variés. On trouve des anciens responsables de la continuité d’activité (PCA/PRA), qui apportent une culture opérationnelle solide et une habitude de coordination transversale. Des profils issus de la cybersécurité, avec une vision technique des menaces et des architectures de défense. Des juristes ou des responsables conformité ayant développé une appétence réelle pour les sujets technologiques. Des cadres issus de la direction des risques avec une expérience des stress tests prudentiels.
La difficulté de recrutement est réelle. Les établissements de taille moyenne peinent à attirer des profils seniors suffisamment complets, face à la concurrence des grands groupes et des cabinets de conseil, qui captent une part significative de ces expertises rares. Certaines sociétés de gestion ou prestataires de services d’investissement de taille intermédiaire se tournent vers des schémas de mutualisation ou de prestation externe, ce qui pose une question de fond : peut-on externaliser la maîtrise de sa propre résilience ?
Ce que DORA change réellement pour les décideurs financiers
DORA n’est pas un texte de conformité de plus. Il touche à quelque chose de structurel : la dépendance croissante du secteur financier à des infrastructures numériques qu’il ne contrôle pas toujours pleinement. Pour un directeur financier ou un directeur général d’établissement, l’enjeu est de s’assurer que la gouvernance du risque numérique n’est pas déléguée de facto à la DSI sans contre-pouvoir interne capable d’en évaluer la solidité.
La création d’une fonction dédiée à la résilience opérationnelle numérique répond à ce besoin d’un interlocuteur capable de faire le lien entre la réalité technique, les exigences des superviseurs et les décisions stratégiques. Ce n’est pas une garantie absolue contre les incidents, mais c’est une condition nécessaire pour qu’un établissement soit en mesure d’y faire face avec méthode et sans improvisation.
La question qui reste ouverte, à mesure que le marché de ce métier se structure, est celle de son poids institutionnel réel : restera-t-il une fonction de coordination un peu périphérique, ou prendra-t-il la place d’un acteur décisionnel à part entière dans les comités de risques et de gouvernance ? Les premiers retours d’expérience des établissements engagés dans la mise en conformité DORA suggèrent que la réponse dépend largement de l’appui que ce responsable obtient au niveau du comité exécutif, et de la façon dont la direction générale aura choisi de positionner la résilience numérique : comme une contrainte réglementaire à absorber, ou comme un avantage compétitif à construire.
