DORA
DORA · Digital Operational Resilience Act · règlement (UE) 2022/2554 · résilience opérationnelle numérique · prestataires TIC critiques · TLPT
Règlement européen, applicable depuis le 17 janvier 2025, qui impose au secteur financier (banques, assurances, sociétés de gestion, établissements de paiement…) de maîtriser ses risques informatiques et ceux de ses prestataires.
En pratique
DORA repose sur cinq piliers : gestion du risque informatique sous la responsabilité de la direction, gestion et notification des incidents, tests de résilience (dont des tests d’intrusion fondés sur la menace, ou TLPT, pour les plus grands acteurs), maîtrise des prestataires informatiques et partage d’informations sur les menaces. Un incident majeur se notifie au superviseur (ACPR ou AMF en France) en trois temps : notification initiale dans les 4 heures suivant sa classification comme majeur et au plus tard 24 heures après en avoir eu connaissance, rapport intermédiaire sous 72 heures, rapport final sous un mois. Les contrats avec les prestataires doivent comporter des clauses précises (audit, sortie, localisation des données), et les prestataires jugés critiques sont supervisés directement par les autorités européennes.
Cas fictif : un éditeur SaaS de 30 personnes, qui vend un outil de gestion à des assureurs, reçoit un avenant DORA : droit d’audit, notification de ses incidents, plan de sortie, participation aux tests. Sans être lui-même soumis au règlement, il doit en appliquer une partie par contrat.
