Résilience Opérationnelle Numérique DORA Entités Financières

DORA : les 5 piliers et leurs exigences

Pilier 1 — ICT Risk Management Framework : l'organe de direction (conseil d'administration, directoire) est responsable du cadre de gestion des risques ICT. Le cadre doit documenter les stratégies de protection des TIC, les politiques de continuité des activités ICT, les protocoles de réponse aux incidents, et les politiques de communication. Une revue annuelle par l'organe de direction est obligatoire. Le DORA Risk Management Framework doit être proportionné à la taille et au profil de risque de l'entité (principe de proportionnalité DORA — les petites entités ont des exigences allégées).

Pilier 2 — Gestion des incidents ICT : DORA définit un incident ICT majeur par des critères précis (nombre de clients affectés, durée de l'interruption, impact géographique, impact sur les données). La notification des incidents ICT majeurs aux autorités : rapport initial dans les 4h après identification comme incident majeur, rapport intermédiaire dans les 72h, rapport final dans le mois. En France : ACPR pour les banques et assurances, AMF pour les sociétés de gestion et marchés. Ce schéma de notification multi-niveaux et accéléré dépasse les exigences NIS2 pour le secteur financier.

TLPT : Tests de pénétration guidés par la menace

Les TLPT (Threat-Led Penetration Tests, ou tests de pénétration guidés par la menace) sont des exercices avancés de red team simulant des techniques d'attaquants réels (TTPs — Tactics, Techniques, Procedures) ciblant spécifiquement les systèmes et processus critiques de l'entité financière. DORA impose des TLPT tous les 3 ans pour les entités financières significatives (définies par les autorités compétentes). Les TLPT doivent être réalisés par des prestataires spécialisés certifiés (en France, les PASSI qualifiés ANSSI avec les compétences red team adéquates, ou les prestataires certifiés CREST/TIBER-EU).

Le cadre TIBER-EU (Threat Intelligence-Based Ethical Red Teaming, publié par la BCE) est le standard européen des TLPT pour le secteur financier, précédant DORA et maintenant intégré dans son cadre. Un TIBER-EU/TLPT se déroule en 3 phases : préparation (définition du périmètre avec les autorités de contrôle, sélection du prestataire CTI et du prestataire red team), phase de test (threat intelligence ciblée sur l'entité, puis red team simulant les TTPs identifiés), et clôture (rapport complet, debriefing avec les autorités, plan de remédiation). Le rapport TLPT est partagé avec l'autorité compétente.

Supervision des prestataires ICT critiques

DORA instaure un mécanisme de supervision directe des prestataires ICT critiques (CTPP — Critical Third-Party Providers) par les Autorités Européennes de Surveillance (AES) : ABE pour les banques et établissements de paiement, EIOPA pour les assurances, ESMA pour les marchés financiers. La désignation comme CTPP est décidée par les AES sur la base de critères de criticité systémique (part de marché dans le secteur financier, nombre d'entités clientes, caractère substituable).

Les hyperscalers cloud (AWS, Microsoft Azure, Google Cloud) sont les candidats naturels à la désignation comme CTPP eu égard à leur part prépondérante dans l'hébergement des systèmes financiers européens. Une fois désignés CTPP, ils sont soumis à des examens réguliers (Lead Overseers nommés parmi les AES), peuvent recevoir des recommandations contraignantes sur leurs mesures de sécurité, et doivent coopérer avec les autorités de contrôle. Les CTPP ne sont pas soumis à DORA directement mais leurs relations contractuelles avec les entités financières sont encadrées (exigences de l'art. 30 DORA).