Le règlement DORA (Digital Operational Resilience Act), applicable depuis janvier 2025, établit un cadre européen unifié visant à assurer la résilience opérationnelle numérique de l’ensemble des entités financières.

Contrairement à une directive, DORA est un règlement directement contraignant pour les 27 États membres.

Sa finalité : garantir que tous les acteurs du secteur financier disposent de capacités robustes de prévention, de détection, de gestion et de récupération face aux incidents informatiques, cyberattaques et perturbations majeures, y compris via leurs prestataires technologiques.

L’analyse du règlement 2022/2554 révèle un dispositif beaucoup plus précis, structurant et exigeant que ce que laissait entrevoir le cadre initial. L’article ci-dessous a donc été mis à jour pour refléter l’intégralité des obligations réglementaires.

1. Enjeux stratégiques et portée du règlement

DORA vise à réduire le risque systémique lié aux défaillances numériques et à renforcer la confiance dans l’écosystème financier européen. Cela inclut :

• l’harmonisation des pratiques de gestion du risque TIC ;

• la responsabilisation des dirigeants ;

• l’encadrement strict des prestataires TIC critiques ;

• une supervision européenne coordonnée.

L’acte couvre plus de 20 catégories d’entités financières, ainsi que l’ensemble des prestataires informatiques, y compris cloud, data center, services managés, développeurs applicatifs, fournisseurs de données et prestataires analytiques.

2. Définitions essentielles introduites par le règlement

Pour garantir une interprétation homogène, DORA établit des définitions précises, notamment :

• Fonction critique ou importante : activité dont l’interruption impacte la continuité, la stabilité ou les droits des clients.

• Prestataire TIC critique : fournisseur dont la défaillance représente un risque systémique.

• Incident majeur ICT : perturbation notable selon des critères harmonisés.

• Test de pénétration guidé par la menace (TLPT) : test avancé fondé sur des scénarios d’attaquants réels.

Ces notions structurent l’ensemble des obligations opérationnelles.

3. Gouvernance de la résilience numérique

Responsabilité directe des dirigeants

Les organes de direction doivent :

• approuver la politique de gestion du risque TIC ;

• valider chaque année les plans de continuité ;

• suivre les investissements de sécurité ;

• disposer d’une formation spécifique aux risques TIC.

DORA renforce le lien entre gouvernance d’entreprise et cybersécurité, en plaçant les dirigeants en première ligne.

Registre des fonctions critiques

Les entités doivent tenir un registre exhaustif décrivant :

• les processus critiques ;

• leurs dépendances techniques ;

• les prestataires impliqués.

Cet outil est central pour la supervision et les audits.

4. Gestion intégrée du risque TIC

Le règlement impose une démarche complète et documentée incluant :

Cartographie des ressources et dépendances (art. 16)

Les organisations doivent cartographier :

• infrastructures, logiciels, actifs critiques ;

• interconnexions internes et externes ;

• dépendances cloud et sous-traitants.

Gestion du cycle de vie des actifs (art. 17)

Une documentation détaillée doit couvrir :

• l’inventaire ;

• la maintenance ;

• l’obsolescence ;

• la mise hors service contrôlée.

Politique de configuration, correctifs et vulnérabilités (art. 18-21)

Les entités doivent démontrer des capacités :

• de gestion des configurations,

• d’application rapide des correctifs,

• de surveillance automatisée des risques,

• d’identification et remédiation des vulnérabilités.

Sécurité du développement logiciel (art. 20)

DORA exige une démarche de développement sécurisé intégrant tests, revue de code et gestion des versions.

5. Gestion et notification des incidents

Classification harmonisée

Les incidents doivent être classés selon :

• leur impact opérationnel ;
• la durée ;
• le nombre de clients affectés ;
• la criticité des services touchés.

Reporting en trois étapes (art. 33)

Le règlement impose :

1. Notification initiale
2. Rapports intermédiaires selon l’évolution
3. Rapport final incluant l’analyse causale et les mesures correctives

Les notifications doivent être transmises sans retard injustifié aux autorités nationales (AMF, ACPR) et, si nécessaire, à la BCE.

Information des clients (art. 36)

En cas d’incident majeur, les clients peuvent devoir être informés de manière claire et rapide.

6. Tests de résilience opérationnelle

Plan de tests obligatoires (art. 42-54)

Les organisations doivent conduire :

• tests techniques ;
• exercices de gestion de crise ;
• plans de reprise sur incident ;
• tests de restauration et bascule.

6.2. TLPT : tests avancés guidés par la menace

Les entités significatives doivent organiser tous les trois ans :

• un TLPT réalisé par des équipes indépendantes et certifiées ;
• des scénarios réalistes simulant les modes opératoires d’acteurs hostiles ;
• un plan d’action de remédiation validé et testé.

7. Gestion et supervision des prestataires TIC

Registre obligatoire des prestataires (art. 28)

Les entités doivent recenser :

• tous leurs prestataires TIC ;
• les services fournis ;
• la criticité associée.

Clauses contractuelles obligatoires (art. 30)

Tout contrat doit intégrer :

• le niveau de service attendu ;
• les exigences de sécurité, PRA/PCA ;
• le droit d’audit ;
• les modalités de réversibilité et d’accès aux journaux ;
• les obligations de notification d’incident.

Analyse du risque de concentration (art. 41)

Les entités doivent évaluer le risque lié à une dépendance excessive vis-à-vis d’un fournisseur unique, notamment cloud.

Supervision européenne des prestataires critiques (art. 49-57)

L’Union européenne met en place :

• un Lead Overseer (ESMA, EIOPA ou EBA selon les secteurs) ;
• des audits européens ;
• des visites sur site ;
• des injonctions ou mesures correctives ;
• un dispositif pouvant aller jusqu’à la restriction d’un service.

Cette supervision constitue une avancée majeure.

8. Partage d’information sectoriel

DORA encourage la participation :

• aux communautés d’échange liées aux cybermenaces ;
• aux centres sectoriels (ISAC) ;
• aux programmes d’apprentissage collectif de résilience.

Cet aspect vise à renforcer la coopération intra-européenne.

9. Sanctions et mesures correctives

Le règlement prévoit :

• sanctions administratives ;

• obligations de remédiation ;

• injonctions ;

• restrictions potentielles d’activité ou de services ;

• supervision renforcée lorsque des lacunes persistantes sont constatées.

Les autorités nationales peuvent exiger des plans correctifs assortis d’un suivi renforcé.

La directive européenne NIS2 n’a pas encore été pleinement intégrée dans le droit français. Le projet de loi consacré à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat, mais sa validation définitive demeure en attente.

Cette transition marque une évolution majeure du cadre de sécurité numérique en Europe : NIS2 étend significativement les obligations des organisations et place la cybersécurité au cœur de la gouvernance.

Alors que les chaînes de valeur deviennent plus interdépendantes et que les cybermenaces gagnent en sophistication, NIS2 consacre un changement de paradigme : la sécurité numérique n’est plus un enjeu technique réservé aux équipes IT.

Elle devient une responsabilité stratégique, engageant directement les organes de direction.

1. Un périmètre élargi : davantage d’organisations concernées

NIS2 remplace la directive NIS de 2016 et élargit le champ des secteurs soumis à des obligations renforcées. Deux catégories structurent désormais le dispositif :

• Entités essentielles : énergie, santé, eau, transports, infrastructures numériques, secteur financier, administration publique, spatial.
• Entités importantes : services numériques, gestion des déchets, agroalimentaire, manufacture de produits critiques, recherche, chimie, logistique, équipements industriels.

Toute organisation dépassant 50 salariés ou 10 M€ de chiffre d’affaires, et opérant dans l’un de ces secteurs, est susceptible d’être concernée.

Cette extension entraîne une conséquence directe : un grand nombre d’ETI et de PME stratégiques entrent désormais dans le périmètre réglementaire.

2. Une gouvernance renforcée : une responsabilité directe du COMEX

L’un des apports majeurs de NIS2 réside dans l’engagement explicite des instances dirigeantes.

Les organes de gouvernance doivent :

• valider les politiques de cybersécurité ;
• suivre les niveaux de risques ;
• s’assurer de la mise en œuvre des mesures de sécurité ;
• suivre une formation régulière aux enjeux de cybersécurité.

La directive introduit également une responsabilité personnelle des dirigeants en cas de manquement grave.

Pour les COMEX, cela implique une évolution nette : la cybersécurité devient un domaine à piloter, documenter et auditer avec le même niveau d’exigence que les finances ou les risques opérationnels.

3. Dix obligations structurantes que les entreprises doivent appliquer

NIS2 impose un socle commun de mesures destinées à renforcer la résilience numérique. Parmi les obligations clés :

• Gouvernance et gestion des risques : identification et traitement des risques, formalisation d’une stratégie de sécurité.
• Politiques de sécurité et gestion des incidents : détection, réaction et coordination avec les autorités compétentes.
• Continuité d’activité et gestion de crise : mise à jour des PCA, PRA et exercices réguliers.
• Sécurisation de la chaîne d’approvisionnement : évaluation des prestataires critiques, clauses contractuelles renforcées.
• Hygiène informatique et durcissement : gestion des correctifs, MFA, segmentation, sauvegardes contrôlées.
• Sécurité des réseaux et systèmes d’information : contrôles techniques adaptés au niveau de risque.
• Gestion des vulnérabilités : processus de détection, analyse et correction.
• Gestion des identités et des accès : authentification forte, principes du moindre privilège.
• Supervision et détection : SOC, SIEM ou dispositifs équivalents adaptés à la taille de l’entité.
• Tests réguliers : audits techniques, tests d’intrusion et exercices de crise.

L’objectif est clair : élever le niveau de maturité global et structurer une approche cohérente de la prévention à la résilience.

4. Un nouveau régime de notification des incidents : 24h, 72h, 1 mois

Pour améliorer la coordination et la transparence, NIS2 impose un calendrier précis :

• 24 heures : notification préliminaire (“early warning”)
• 72 heures : rapport détaillé sur l’incident
• 1 mois : rapport final décrivant l’impact et les mesures correctives

Cette exigence renforce la capacité collective de détection, de compréhension et de réponse aux incidents majeurs.

5. Une supervision accrue et un régime de sanctions significatif

Les autorités nationales disposeront de leviers renforcés :

• audits obligatoires,
• inspections sur site,
• demandes de preuves de conformité,
• suivi des mesures correctives.

Les sanctions prévues peuvent atteindre :

• 10 millions d’euros, ou

• 2 % du chiffre d’affaires mondial, selon le montant le plus élevé.

Ces niveaux témoignent d’une volonté affirmée de renforcer la discipline de cybersécurité au niveau européen.

6. Impacts pour les organisations : un chantier transversal

La mise en conformité NIS2 touche simultanément plusieurs dimensions :

Gouvernance

• Formalisation de la stratégie cyber, structuration des responsabilités, mise en place d’indicateurs.

Organisation

• Renforcement des équipes sécurité, formations régulières, coordination avec les métiers et partenaires externes.

Technologies

• Scale-up de la supervision, durcissement, segmentation, sauvegardes immuables, automatisation.

Conformité et documentation

• Mises à jour des politiques internes, registres, contrats fournisseurs, procédures et preuves de conformité.

NIS2 devient ainsi un levier de transformation, forçant les organisations à passer d’une logique de réaction à une approche de gestion intégrée du risque numérique.

7. Une opportunité stratégique : confiance, performance et souveraineté

Au-delà des obligations, NIS2 constitue un vecteur de création de valeur :

• réduction des risques opérationnels,
• renforcement des relations avec clients et partenaires,
• amélioration des conditions d’assurance,
• alignement avec d’autres cadres réglementaires (RGPD, DORA, CER, SecNumCloud).

Les organisations proactives pourront transformer cette contrainte en avantage concurrentiel, en installant une sécurité pilotée, maîtrisée et créatrice de confiance.