Conformité · DORA
Conformité DORA : résilience opérationnelle, tests et risque tiers
Par Steven Carrier Mis à jour le
À jour au . DORA (règlement UE 2022/2554) est applicable depuis le 17 janvier 2025.
DORA impose au secteur financier européen de résister aux incidents informatiques, y compris ceux venant de ses prestataires. Il structure la gestion du risque lié aux technologies, la notification des incidents, les tests de résilience et la maîtrise du risque tiers. BEAROPS vous aide à préparer, documenter et démontrer votre conformité, en particulier sur les tests de résilience des articles 24 et 25.
- Tests de résilience (art. 24-25)
- Aide à la conformité, pas une garantie
- Éditeur français
Quelles entités sont concernées par DORA ?
DORA s’applique à un large éventail d’entités financières : banques, assurances, sociétés de gestion, prestataires de services de paiement, entreprises d’investissement, et d’autres. Il concerne aussi, indirectement, leurs prestataires de services informatiques, dont certains prestataires critiques sont soumis à une surveillance directe. Le périmètre exact dépend du statut de l’entité.
Quels sont les cinq piliers de DORA ?
| Pilier | Ce qu’il exige |
|---|---|
| Gestion du risque TIC | Un cadre de gouvernance et de maîtrise du risque lié aux technologies |
| Gestion des incidents | Classification et notification des incidents majeurs liés aux TIC |
| Tests de résilience | Un programme de tests réguliers des systèmes critiques (art. 24-25) |
| Risque tiers TIC | Maîtrise des prestataires, registre d’information des contrats |
| Partage d’informations | Échange volontaire de renseignements sur les cybermenaces |
Que demande DORA en matière de tests de résilience ?
Les articles 24 et 25 imposent un programme de tests réguliers (évaluations de vulnérabilité, tests fondés sur des scénarios, tests d’intrusion ), au moins annuel pour les systèmes soutenant des fonctions critiques. Nos tests d’intrusion et exercices Red Team s’inscrivent dans votre programme de tests de résilience au titre des articles 24 et 25 de DORA. Beareye industrialise les évaluations continues et le suivi des corrections.
Que demande DORA sur vos prestataires informatiques ?
DORA exige une maîtrise du risque lié aux prestataires de services informatiques et la tenue d’un registre d’information des contrats. Concrètement, vous devez connaître vos prestataires critiques, évaluer leur sécurité et documenter chaque relation. Bearlink combine cette conformité documentaire avec une notation cyber native des fournisseurs (voir le TPRM ).
BEAROPS est lui-même un prestataire TIC : consultez notre doctrine de souveraineté et d’hébergement .
Des exigences aux actions
| Exigence DORA | Action attendue | Comment BEAROPS aide |
|---|---|---|
| Gestion du risque TIC | Cartographier et piloter le risque | Vue unifiée de l’exposition |
| Tests de résilience (art. 24-25) | Tester régulièrement les systèmes critiques | Pentest, Red Team, tests continus |
| Gestion des incidents | Détecter et documenter | Traçabilité des constats et remédiations |
| Risque tiers TIC | Évaluer et enregistrer les prestataires | Notation cyber et suivi documentaire des fournisseurs (Bearlink) |
| Preuve de conformité | Démontrer la mise en œuvre | Éléments mappés aux exigences |
Piloter le risque TIC en continu avec l’ approche CTEM de Beareye .
Les registres d’information DORA sont-ils fiables ?
Lors de l’exercice préparatoire mené en 2024 par les autorités européennes de surveillance, seuls 6,5 % des registres d’information analysés ont passé l’ensemble des contrôles de qualité des données. Près de 1 000 entités financières avaient soumis leur registre. Ce résultat porte sur la qualité des registres, pas sur la conformité globale à DORA : la qualité des preuves est un point de contrôle à part entière.
Repère externe, hors données BEAROPS : autorités européennes de surveillance (ABE, AEMF, AEAPP), communiqué du 17 décembre 2024 sur l’exercice préparatoire de remise des registres d’information.
Sources et références
- ABE, AEMF et AEAPP, communiqué du 17 décembre 2024 sur l’exercice préparatoire des registres d’information DORA
- Règlement (UE) 2022/2554 (DORA), EUR-Lex
- DORA, Autorité européenne des marchés financiers (ESMA)
- Résilience opérationnelle, Autorité bancaire européenne (EBA)
- DORA, Autorité européenne des assurances et des pensions professionnelles (EIOPA)
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
Depuis quand DORA est-il applicable ?
DORA (règlement UE 2022/2554) est applicable depuis le 17 janvier 2025. Étant un règlement européen, il s’applique directement, sans transposition nationale, aux entités financières concernées et, indirectement, à leurs prestataires informatiques.
Une campagne de pentests annuelle suffit-elle pour DORA ?
Les tests d’intrusion font partie du programme de tests des articles 24-25, mais DORA attend un dispositif plus large : évaluations de vulnérabilité, tests fondés sur des scénarios, suivi continu. Une plateforme comme Beareye aide à industrialiser ces évaluations et à en tracer les corrections.
Comment DORA traite-t-il le risque de mes prestataires ?
DORA impose une maîtrise du risque lié aux prestataires informatiques et un registre d’information des contrats. Vous devez connaître, évaluer et documenter vos prestataires critiques. Bearlink associe cette conformité documentaire à une notation cyber native.
Évaluons votre couverture DORA
Un expert BEAROPS vous aide à situer votre couverture sur les cinq piliers, à cadrer votre programme de tests et à structurer la preuve.