DORA — Digital Operational Resilience Act — impose aux entités financières et à leurs prestataires informatiques un cadre européen de résilience numérique, applicable depuis le 17 janvier 2025. Notre mission : transformer le règlement en plan de chantiers priorisé, avec les preuves que votre autorité de tutelle ou vos clients attendront.
Vous cherchez une approche par métier ? Voir notre page cybersécurité banque et assurance, ou notre article DORA : la réglementation cyber du secteur financier.
Qui est concerné
Trois situations couvrent l'immense majorité des cas. Si vous vous reconnaissez, commencez par vérifier votre assujettissement en 12 questions.
Établissements de crédit, entreprises d'assurance et de réassurance, mutuelles, entreprises d'investissement, sociétés de gestion, établissements de paiement et de monnaie électronique : le règlement vise plus de vingt catégories d'entités financières, avec un principe de proportionnalité pour les plus petites.
Prestataires de services de paiement, plateformes de financement participatif, prestataires de services sur crypto-actifs : les acteurs nés numériques sont dans le périmètre au même titre que les institutions historiques.
Éditeurs, hébergeurs, infogéreurs, fournisseurs cloud : si vous fournissez des services informatiques à une entité financière, DORA vous atteint par la chaîne contractuelle — clauses obligatoires, droits d'audit, registre d'information.
Les obligations
Le règlement (UE) 2022/2554 s'articule autour de cinq blocs complémentaires. L'analyse d'écarts examine chacun d'eux contre votre fonctionnement réel — pas contre une liste de cases à cocher.
Un cadre de gestion des risques porté par l'organe de direction : cartographie des actifs, protection, détection, plans de continuité et de reprise, avec une responsabilité explicitement assumée au plus haut niveau.
Classification harmonisée des incidents et signalement des incidents majeurs aux autorités compétentes — en France, l'ACPR ou l'AMF selon votre statut — dans des délais stricts après classification.
Un programme de tests réguliers adapté au profil de risque, jusqu'aux tests d'intrusion pilotés par la menace (TLPT) au moins tous les trois ans pour les entités désignées comme significatives.
Tenue d'un registre d'information des contrats avec les prestataires TIC, clauses contractuelles obligatoires pour les fonctions critiques ou importantes, stratégie de sortie — et supervision directe des prestataires critiques par les autorités européennes.
Des accords volontaires de partage d'informations sur les cybermenaces entre entités financières, encadrés par le règlement pour protéger la confidentialité des échanges.
Échéances et enjeux
DORA est un règlement : il s'applique directement dans tous les États membres, sans transposition nationale, depuis le 17 janvier 2025. Les autorités de contrôle — en France l'ACPR et l'AMF — intègrent ces exigences dans leurs contrôles. Ce que risque une entité non conforme :
Pour les entités financières, DORA prime sur la directive NIS2 : c'est le référentiel de spécialité qui s'applique à votre périmètre.
Déroulé de la mission
Les durées sont indicatives : elles varient selon votre taille, votre catégorie d'entité et la maturité de départ. Elles sont confirmées au cadrage, jamais raccourcies artificiellement.
en général 1 à 2 semaines
Confirmation de votre catégorie d'entité, de l'autorité de tutelle et du niveau d'exigence applicable, en tenant compte du principe de proportionnalité. C'est ce cadrage qui évite de sur-investir ou de sous-estimer.
en général 3 à 6 semaines
Revue de votre cadre de gestion des risques, de votre processus de gestion des incidents, de votre programme de tests, de vos contrats prestataires et de votre registre d'information, contre les exigences du règlement.
en général 1 à 2 semaines
Un plan séquencé selon le risque et l'échéance : ce qui doit être documenté, testé ou renégocié en premier, avec les preuves attendues par votre autorité de tutelle ou vos clients financiers.
au rythme de votre trajectoire
Mise en place du registre d'information, des indicateurs et du pilotage de direction qui rendent la conformité démontrable en continu — pas un dossier figé produit une seule fois.
Budget
Fourchette indicative pour une entité de taille PME ou ETI : le montant dépend de votre catégorie, du nombre d'entités du groupe et de la profondeur attendue sur les contrats prestataires et le registre d'information. Le cadrage fixe un devis ferme. Voir aussi notre grille des prix d'un audit cybersécurité.
Dans la durée
La conformité DORA se pilote en continu : registre d'information à jour, tests planifiés, incidents documentés. Un RSSI externalisé peut porter ce pilotage sans recrutement, et notre page cybersécurité banque et assurance détaille l'approche sectorielle.
Questions fréquentes
Si vous êtes une entité financière — banque, assurance, mutuelle, société de gestion, établissement de paiement, fintech, prestataire sur crypto-actifs — oui, avec un niveau d'exigence proportionné à votre taille. Si vous êtes un prestataire informatique de ces entités, DORA vous atteint aussi via les clauses contractuelles et le registre d'information.
Le règlement (UE) 2022/2554 est applicable depuis le 17 janvier 2025, directement dans tous les États membres, sans transposition nationale. Il n'y a plus de période de transition : les exigences s'apprécient dès aujourd'hui.
Des sanctions administratives prononcées par l'ACPR ou l'AMF, que le règlement exige « effectives, proportionnées et dissuasives ». Au-delà des sanctions, le risque le plus immédiat est contractuel : les entités financières exigent déjà de leurs prestataires les clauses et preuves prévues par DORA.
DORA est un règlement propre au secteur financier et prime sur NIS2 pour ce périmètre (principe de spécialité). NIS2 est une directive couvrant dix-huit secteurs d'activité. Une entité financière applique DORA ; les autres secteurs relèvent de NIS2.
Par une analyse d'écarts sur les cinq piliers : c'est elle qui transforme un texte européen en liste de chantiers priorisés, avec les preuves à produire en premier. Un pré-diagnostic permet ensuite de calibrer l'effort selon votre taille et votre profil de risque.
Témoignages et résultats
Ce que les entités financières attendent d'une mise en conformité DORA, ce n'est pas un dossier figé : c'est un cadre de preuves vivant, tenable devant l'autorité de tutelle comme devant les clients.
Bibliotheque interne: 9 temoignages anonymises et 9 cas resultats disponibles.
Nous avions besoin d'un vrai pilotage, pas d'un audit de plus. Le RSSI externalisé a remis de l'ordre, arbitré les priorités et rendu les sujets cyber enfin exploitables en comité de direction.
DSI
ETI industrielle · 250 à 500 collaborateurs
RSSI externalisé
Feuille de route 12 mois, comités structurés, remédiation suivie
Ce qui a fait la différence, c est la capacité à parler gouvernance, risque tiers et preuves attendues sans noyer les équipes dans un discours réglementaire abstrait.
Responsable risques et conformité
Banque / assurance · 300 à 800 collaborateurs
Trajectoire DORA / NIS2
Cadrage des écarts, plan de travail par priorité, sponsors identifiés
Nous avions besoin d une trajectoire crédible entre direction, DSI et équipes métier. Le cadrage a surtout apporté de la lisibilité et une vraie logique de preuve.
DSI adjoint
Collectivité territoriale · 500 à 1 200 agents
Cadrage gouvernance et sécurité
Responsabilités clarifiées, feuille de route priorisée et arbitrages documentés
Conformité et gouvernance
ETI multi-sites confrontée à des attentes clients, à des dépendances cloud fortes et à une gouvernance sécurité encore dispersée.
Cadrage des obligations, arbitrages 90 jours, comités de suivi et priorités de preuve structurées.
Banque et assurance
Dispositif de contrôle existant, mais reporting éclaté, acteurs nombreux et besoin d auditabilité plus lisible pour DORA.
Trajectoire rationalisée, points de contrôle clarifiés et capacité de démonstration renforcée.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.