Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
Formation professionnelle
DORA (Digital Operational Resilience Act) : obligations 2026, 5 piliers, conformité IT. Guide pratique pour les professionnels de la finance et IT.
Depuis le 17 janvier 2025, le règlement DORA (Digital Operational Resilience Act) est pleinement applicable dans toute l'Union européenne. Pour les 22 000 entités financières concernées et leurs prestataires IT, la fenêtre de tolérance est terminée : en 2026, les autorités de supervision passent à l'application active. Amendes pouvant atteindre 2 % du chiffre d'affaires mondial ou 10 millions d'euros, sanctions individuelles jusqu'à 1 million d'euros pour les dirigeants, et pénalités journalières pour les prestataires ICT critiques. Pourtant, selon les données disponibles, seules 50 % des institutions avaient atteint la pleine conformité fin 2025, et 38 % ont repoussé leur échéance à 2026.
Ce guide décrypte les obligations concrètes de DORA, détaille les 5 piliers du règlement et propose un plan d'action étape par étape pour les professionnels IT, RSSI, chefs de projet et managers du secteur financier.
Le Digital Operational Resilience Act (règlement UE 2022/2554) est un règlement européen qui harmonise les exigences en matière de résilience opérationnelle numérique pour le secteur financier. Adopté le 14 décembre 2022, entré en vigueur le 16 janvier 2023, il est devenu pleinement applicable le 17 janvier 2025.
Avant DORA, chaque État membre appliquait ses propres règles en matière de risques IT dans la finance. Cette fragmentation créait des zones grises exploitables par les cyberattaquants et compliquait la supervision transfrontalière. Le secteur financier européen subit en moyenne une cyberattaque majeure toutes les 3 minutes, et le coût moyen d'une violation de données dans la finance dépasse 5,9 millions de dollars selon IBM (2024).
DORA apporte un cadre unique et contraignant pour l'ensemble de l'UE, applicable directement sans transposition nationale, avec un objectif clair : garantir que toutes les entités financières puissent résister, répondre et se rétablir face à tout type de perturbation numérique.
DORA et NIS2 coexistent mais ne se chevauchent pas. NIS2 s'applique à tous les secteurs critiques (énergie, transports, santé...), tandis que DORA est spécifiquement conçu pour le secteur financier. En vertu du principe lex specialis, DORA prévaut pour les entités financières sur les dispositions générales de NIS2 en matière de cybersécurité et de résilience opérationnelle.
Le règlement DORA s'articule autour de 5 piliers fondamentaux qui structurent l'ensemble des obligations de conformité.
C'est le socle du règlement. Chaque entité financière doit mettre en place un cadre de gestion des risques ICT (Technologies de l'Information et de la Communication) complet, documenté et régulièrement révisé. Ce cadre comprend :
Point clé : l'organe de direction (conseil d'administration, comité exécutif) porte la responsabilité directe de la gestion des risques ICT. Les dirigeants doivent suivre une formation spécifique et régulière sur les risques numériques.
DORA impose un processus harmonisé de classification et de signalement des incidents liés aux ICT. Tout incident majeur doit être notifié à l'autorité compétente selon un calendrier strict :
Les critères de classification incluent le nombre de clients affectés, la durée de l'interruption, l'étendue géographique et l'impact financier. En France, l'ACPR (Autorité de Contrôle Prudentiel et de Résolution) est l'autorité de supervision compétente pour la majorité des entités financières.
Toutes les entités financières doivent conduire un programme de tests réguliers de leurs systèmes ICT. DORA distingue deux niveaux de tests :
Les résultats des tests doivent être documentés, partagés avec l'autorité de supervision et suivis de plans de remédiation concrets.
C'est le pilier le plus complexe en pratique. DORA impose un cadre strict de gestion des prestataires tiers ICT (cloud providers, éditeurs de logiciels, hébergeurs, infogérants) :
Nouveauté majeure : les prestataires ICT désignés comme critiques par les Autorités Européennes de Surveillance (EBA, ESMA, EIOPA) font l'objet d'une supervision directe européenne. En cas de non-conformité, ils s'exposent à des amendes journalières de 1 % du chiffre d'affaires quotidien moyen mondial pendant une durée pouvant aller jusqu'à 6 mois, soit un plafond de 5 millions d'euros.
DORA encourage (sans imposer strictement) le partage volontaire de renseignements sur les cybermenaces entre entités financières. Ce mécanisme vise à :
Les échanges doivent s'effectuer dans un cadre sécurisé, en respectant les règles de confidentialité et de protection des données personnelles (RGPD).
DORA s'applique à 21 catégories d'entités financières, représentant plus de 22 000 institutions dans l'Union européenne. Voici les principales catégories concernées :
Les fournisseurs de services technologiques aux entités financières sont indirectement concernés par les exigences contractuelles de DORA, et directement supervisés s'ils sont désignés comme critiques. Cela inclut :
DORA prévoit un régime simplifié pour les microentreprises et certaines petites entités financières (moins de 10 salariés et chiffre d'affaires inférieur à 2 millions d'euros). Ces entités bénéficient d'exigences allégées, notamment en matière de tests de résilience et de reporting. Les intermédiaires d'assurance qualifiés de micro ou PME sont exemptés.
La mise en conformité DORA est un projet structurant qui mobilise les équipes IT, cybersécurité, juridiques, conformité et direction générale. Voici un plan d'action en 6 étapes :
Évaluez votre niveau actuel de conformité par rapport aux 5 piliers de DORA. Identifiez les écarts entre vos pratiques existantes et les exigences du règlement. Ce diagnostic doit couvrir :
C'est la priorité immédiate pour 2026. Le registre d'information doit recenser l'ensemble des accords contractuels avec des prestataires ICT tiers. Il doit suivre le format défini par les normes techniques (RTS/ITS) des Autorités Européennes de Surveillance et être soumis annuellement. Utilisez les templates fournis par l'ACPR pour structurer votre registre.
Mettez à jour ou créez votre politique de gestion des risques ICT conformément aux articles 5 à 16 de DORA. Intégrez :
Définissez une procédure interne claire de classification et de remontée des incidents ICT. Assurez-vous de pouvoir respecter les délais de notification (4 heures pour la notification initiale). Désignez un point de contact unique avec l'autorité de supervision.
Planifiez et exécutez un programme annuel de tests couvrant l'ensemble de vos systèmes critiques. Pour les entités soumises aux tests TLPT, engagez des prestataires de tests d'intrusion certifiés. Documentez les résultats et les actions correctives.
Passez en revue tous vos contrats avec des prestataires ICT tiers. Intégrez les clauses obligatoires DORA : droit d'audit, plans de sortie (exit strategies), niveaux de service (SLA), notification des incidents, et localisation des données. Priorisez les contrats portant sur des fonctions critiques ou importantes.
La conformité DORA nécessite des compétences transversales, à la croisée de la cybersécurité, de la gestion de projet et de la gouvernance IT. Voici les profils et compétences les plus recherchés :
DORA exige des compétences solides en analyse et gestion des risques cyber. Les professionnels certifiés en sécurité (CISSP, CISM, Azure Security) sont en première ligne pour mettre en oeuvre les piliers 1, 2 et 3 du règlement. La capacité à conduire des analyses de vulnérabilité, à piloter des tests d'intrusion et à définir des politiques de sécurité est essentielle.
La mise en conformité DORA est un programme de transformation impliquant de multiples parties prenantes. Les méthodologies de gestion de projet (PMP) sont indispensables pour structurer le programme, gérer les risques projet, coordonner les équipes et respecter les échéances réglementaires. Les approches agiles facilitent l'itération rapide sur les livrables de conformité.
Le cadre ITIL 4 fournit les bonnes pratiques directement alignées avec les exigences DORA :
La maîtrise des environnements cloud (Azure, AWS, GCP) est critique pour les piliers 1 et 4. Les professionnels doivent savoir évaluer la sécurité des architectures cloud, auditer les configurations et garantir la conformité des services hébergés.
Elitek est un organisme de formation certifié Qualiopi, spécialisé en IT, cybersécurité, gestion de projet et cloud. Nos formations certifiantes vous donnent les compétences recherchées pour piloter et exécuter un programme de conformité DORA.
Découvrez nos formations et préparez votre conformité DORA →
Qu'est-ce que le règlement DORA ?
DORA (Digital Operational Resilience Act) est un règlement européen (UE 2022/2554) qui harmonise les exigences de résilience opérationnelle numérique pour le secteur financier. Il impose un cadre commun pour la gestion des risques ICT, le signalement des incidents, les tests de résilience, la supervision des prestataires ICT tiers et le partage d'informations sur les cybermenaces.
Quand DORA est-il entré en application ?
DORA est pleinement applicable depuis le 17 janvier 2025. L'année 2025 a été une période d'accompagnement, et 2026 marque le début de l'application active par les autorités de supervision, avec des contrôles renforcés et les premières sanctions.
Quelles sont les sanctions en cas de non-conformité DORA ?
Les entités financières non conformes risquent des amendes pouvant atteindre 2 % de leur chiffre d'affaires annuel mondial ou 10 millions d'euros (le montant le plus élevé). Les dirigeants peuvent être sanctionnés personnellement jusqu'à 1 million d'euros. Les prestataires ICT critiques s'exposent à des pénalités journalières de 1 % de leur chiffre d'affaires quotidien moyen mondial.
Mon entreprise est-elle concernée par DORA ?
Si votre entreprise est une entité financière (banque, assurance, société de gestion, fintech, établissement de paiement, prestataire de services sur crypto-actifs) ou un prestataire ICT de ces entités, vous êtes concerné. DORA s'applique à 21 catégories d'entités représentant plus de 22 000 institutions dans l'UE.
Quelle est la différence entre DORA et NIS2 ?
NIS2 est une directive de cybersécurité transversale couvrant tous les secteurs critiques. DORA est un règlement spécifique au secteur financier. Pour les entités financières, DORA prévaut sur NIS2 en vertu du principe lex specialis. Les deux textes sont complémentaires mais DORA impose des exigences plus détaillées pour la finance.
Quelles certifications professionnelles aident à la conformité DORA ?
Les certifications ITIL 4 (gouvernance IT), PMP (gestion de projet), Azure Security (sécurité cloud), CISSP et CISM (cybersécurité) sont directement applicables aux exigences DORA. Chez Elitek, les formations ITIL 4, PMP et Azure Security sont disponibles et éligibles au CPF.
Qu'est-ce que le registre d'information DORA ?
Le registre d'information est un document obligatoire recensant l'ensemble des accords contractuels avec les prestataires ICT tiers. Il doit être tenu à jour en permanence et soumis annuellement à l'autorité de supervision compétente. La première échéance de soumission a eu lieu début 2026.
Les prestataires cloud sont-ils concernés par DORA ?
Oui. Les prestataires cloud (AWS, Azure, GCP et autres) sont indirectement concernés par les exigences contractuelles imposées par leurs clients financiers. Les prestataires ICT désignés comme critiques par les Autorités Européennes de Surveillance font l'objet d'une supervision directe et de sanctions spécifiques (amendes jusqu'à 5 millions d'euros et pénalités journalières).
Article mis à jour le 16 avril 2026.
Articles connexes :
.png)