DORA (Digital Operational Resilience Act)

Définition

DORA, le Digital Operational Resilience Act, est un règlement européen entré en application en janvier 2025, qui impose au secteur financier de l'Union européenne, banques, compagnies d'assurance, sociétés d'investissement, établissements de paiement et fintechs, un cadre harmonisé d'exigences de résilience opérationnelle numérique, remplaçant l'approche fragmentée précédente de recommandations sectorielles nationales disparates. Le règlement structure ses exigences autour de cinq piliers : la gestion des risques liés aux technologies de l'information et de la communication (ICT), qui impose une gouvernance formalisée avec responsabilité explicite de l'organe de direction ; la gestion, classification et notification des incidents ICT majeurs aux autorités de supervision compétentes dans des délais contraints ; les tests de résilience opérationnelle numérique, incluant pour les entités les plus significatives des tests de pénétration fondés sur la menace (TLPT), inspirés du cadre TIBER-EU ; la gestion des risques liés aux prestataires tiers ICT critiques, avec un registre d'information contractuel détaillé et un cadre de supervision directe par les autorités européennes pour les fournisseurs jugés critiques, notamment les grands hyperscalers cloud ; et le partage volontaire d'informations sur les menaces entre entités financières. DORA marque une évolution notable en soumettant directement les fournisseurs cloud et technologiques critiques à une supervision réglementaire européenne, au-delà des seules entités financières elles-mêmes.