DORA

DORA (Digital Operational Resilience Act, règlement UE 2022/2554) est le cadre européen de résilience opérationnelle numérique pour le secteur financier. Adopté en décembre 2022, applicable depuis le 17 janvier 2025, il harmonise les exigences sur la gestion du risque ICT (Information & Communications Technology) pour les banques, assurances, sociétés de gestion, prestataires de services de paiement, et plus largement toute entité financière régulée.

Le règlement repose sur cinq piliers : gouvernance et gestion du risque ICT, gestion et reporting des incidents, tests de résilience opérationnelle (incluant les TLPT — Threat-Led Penetration Testing), gestion du risque tiers (CTPP, Critical Third-Party Providers), et partage d'informations sur les menaces.

Toutes les entités financières européennes régulées sont concernées :

• Établissements de crédit (banques) et établissements de paiement.
• Entreprises d'investissement et sociétés de gestion d'OPCVM/FIA.
• Entreprises d'assurance et de réassurance.
• Plateformes de négociation, dépositaires centraux, contreparties centrales.
• Prestataires de services sur crypto-actifs (CASP au sens MiCA).
• Critical ICT Third-Party Providers (CTPP) : hyperscalers, datacenters, prestataires SaaS critiques utilisés par les entités financières — supervisés directement par les ESAs.

• 17 janvier 2025 : entrée en application.
• Premier semestre 2026 : publication par l'ACPR des listes des entités françaises soumises aux TLPT.
• Avant fin 2027 : conduite du premier TLPT par les acteurs concernés.
• 2026-2028 : montée en charge des contrôles ACPR/AMF/EIOPA et désignation progressive des CTPP par les ESAs.

DORA renvoie aux régimes de sanctions nationaux des autorités sectorielles (ACPR pour les banques et assurances, AMF pour les sociétés de gestion). Les sanctions classiques s'appliquent : amendes administratives, injonctions, retrait d'agrément.

Pour les CTPP, les ESAs disposent de pouvoirs spécifiques : demandes d'information, inspections sur site, recommandations contraignantes, et — en dernier ressort — suspension de l'utilisation par les entités financières.

Quatre capacités logicielles structurantes :

• Registre des prestataires ICT avec classification critique/non-critique, contrats DORA-conformes (droit d'audit, plan de sortie), certifications associées.
• Workflow d'incident avec notification ACPR sous 4h pour les incidents majeurs, rapport intermédiaire 72h, rapport final 1 mois.
• Inventaire des fonctions critiques avec dépendances (systèmes, équipes, prestataires) — base de scope pour les TLPT.
• Plan de sortie des prestataires critiques documenté ET testé périodiquement (notamment pour les hyperscalers).