8 min de lecture<\/p>\n
Depuis janvier 2025, le r\u00e8glement europ\u00e9en DORA (Digital Operational Resilience Act) s\u2019applique dans toute l\u2019UE. Depuis son entr\u00e9e en vigueur, la BaFin – l\u2019autorit\u00e9 allemande de surveillance financi\u00e8re – a recens\u00e9 plus de 600 incidents informatiques graves dans les \u00e9tablissements financiers. Des sanctions pouvant atteindre 1 % du chiffre d\u2019affaires journalier mondial sont d\u00e9sormais possibles. La p\u00e9riode de tol\u00e9rance est r\u00e9volue : 2025 marque l\u2019ann\u00e9e de la mise en application stricte. Toute institution pr\u00e9sentant encore des lacunes dans sa gestion des risques informatiques s\u2019expose \u00e0 bien plus qu\u2019une simple amende.<\/strong><\/p>\n DORA n\u2019est ni une recommandation ni un cadre de r\u00e9f\u00e9rence. Il s\u2019agit d\u2019un r\u00e8glement europ\u00e9en directement applicable dans tous les \u00c9tats membres. Sont concern\u00e9s les banques, les assureurs, les entreprises de titres, les prestataires de services de paiement, les fournisseurs de services li\u00e9s aux actifs num\u00e9riques (crypto-actifs) ainsi que leurs fournisseurs informatiques critiques. Le r\u00e8glement d\u00e9finit cinq piliers que chaque \u00e9tablissement doit mettre en \u0153uvre.<\/p>\n \u25cf Gestion des risques li\u00e9s aux TIC :<\/strong> Les institutions financi\u00e8res doivent disposer d\u2019un cadre document\u00e9 pour identifier, prot\u00e9ger, d\u00e9tecter et r\u00e9tablir leurs syst\u00e8mes apr\u00e8s un incident informatique. Cette obligation ne concerne pas uniquement le service informatique : la direction g\u00e9n\u00e9rale assume une responsabilit\u00e9 personnelle.<\/p>\n \u25cf Signalement des incidents :<\/strong> Tout incident informatique majeur doit \u00eatre signal\u00e9 \u00e0 la BaFin (l\u2019autorit\u00e9 allemande de surveillance financi\u00e8re) dans les 24 heures. Un rapport interm\u00e9diaire suit au bout de 72 heures, puis un rapport final un mois plus tard.<\/p>\n \u25cf Tests de r\u00e9silience :<\/strong> Des tests r\u00e9guliers de la stabilit\u00e9 op\u00e9rationnelle num\u00e9rique sont requis – allant de simples analyses de vuln\u00e9rabilit\u00e9s jusqu\u2019aux tests d\u2019intrusion pilot\u00e9s par des menaces (\u00ab Threat-Led Penetration Testing \u00bb, TLPT) pour les \u00e9tablissements syst\u00e9miques.<\/p>\n \u25cf Gestion des risques li\u00e9s aux tiers :<\/strong> Chaque contrat avec un prestataire informatique doit inclure des clauses conformes \u00e0 DORA. Des strat\u00e9gies de d\u00e9sengagement sont obligatoires.<\/p>\n \u25cf \u00c9change d\u2019informations :<\/strong> Partage volontaire, mais fortement encourag\u00e9, d\u2019informations sur les cybermenaces entre institutions financi\u00e8res.<\/p>\n En f\u00e9vrier 2026, la BaFin (Autorit\u00e9 f\u00e9d\u00e9rale de contr\u00f4le des services financiers en Allemagne) a organis\u00e9 un atelier consacr\u00e9 \u00e0 la remise des registres d\u2019information. Le message est clair : l\u2019autorit\u00e9 souhaite savoir quels prestataires informatiques les \u00e9tablissements financiers utilisent et \u00e0 quel point ils d\u00e9pendent de fournisseurs individuels. Les hyperscalers du cloud tels qu\u2019AWS, Azure et Google Cloud sont particuli\u00e8rement scrut\u00e9s.<\/p>\n Selon la BaFin, les failles les plus fr\u00e9quentes constat\u00e9es lors des contr\u00f4les sont les suivantes : une gestion incompl\u00e8te des vuln\u00e9rabilit\u00e9s, l\u2019absence de strat\u00e9gies de sortie vis-\u00e0-vis des prestataires informatiques et un reporting d\u2019incidents insuffisant. De nombreux \u00e9tablissements ont certes d\u00e9fini des processus, mais ne les ont jamais test\u00e9s dans des conditions r\u00e9elles. Or, le r\u00e8glement DORA exige pr\u00e9cis\u00e9ment ces tests – et la BaFin v\u00e9rifie qu\u2019ils sont effectivement r\u00e9alis\u00e9s.<\/p>\n Particuli\u00e8rement critique : le chevauchement avec la directive NIS2<\/a>. Ces deux r\u00e9glementations imposent une gestion des risques informatiques et un reporting d\u2019incidents, mais avec des d\u00e9lais et des d\u00e9finitions diff\u00e9rents. Les \u00e9tablissements financiers op\u00e9rant dans plusieurs pays de l\u2019UE doivent donc se conformer simultan\u00e9ment aux deux cadres r\u00e9glementaires.<\/p>\n \u00ab De nombreux \u00e9tablissements financiers accusent encore un retard significatif en mati\u00e8re de gestion des vuln\u00e9rabilit\u00e9s et d\u2019\u00e9valuation des risques li\u00e9s \u00e0 leurs prestataires. \u00bb<\/p>\n Autorit\u00e9 de supervision informatique de la BaFin, discours sur la mise en \u0153uvre de DORA, d\u00e9cembre 2025<\/p>\n<\/div>\n Le c\u0153ur du r\u00e8glement DORA repose sur une constatation essentielle : les \u00e9tablissements financiers ne sont r\u00e9silients que dans la mesure o\u00f9 l\u2019est leur d\u00e9pendance informatique la plus faible. Une panne chez un fournisseur cloud peut toucher simultan\u00e9ment des dizaines de banques. Un prestataire de services de paiement compromis peut d\u00e9clencher une r\u00e9action en cha\u00eene.<\/p>\n DORA exige donc la tenue d\u2019un registre exhaustif de tous les prestataires informatiques, accompagn\u00e9 d\u2019une \u00e9valuation de leur criticit\u00e9. Chaque contrat doit inclure des clauses relatives \u00e0 l\u2019acc\u00e8s aux donn\u00e9es, aux droits d\u2019audit, \u00e0 la transparence sur les sous-traitants et aux strat\u00e9gies de sortie. Par ailleurs, les Autorit\u00e9s europ\u00e9ennes de surveillance (AES) superviseront directement les fournisseurs informatiques tiers jug\u00e9s critiques – une premi\u00e8re dans la r\u00e9glementation financi\u00e8re europ\u00e9enne.<\/p>\n Pour les institutions financi\u00e8res de taille interm\u00e9diaire, cela signifie que chaque contrat SaaS, chaque instance cloud et chaque support informatique externe doivent \u00eatre document\u00e9s et \u00e9valu\u00e9s. Il s\u2019agit d\u2019une charge consid\u00e9rable – mais l\u2019alternative consiste en des amendes, voire, dans le pire des cas, la perte de leur licence.<\/p>\n Le r\u00e8glement DORA (Digital Operational Resilience Act) est applicable depuis le 17 janvier 2025. Aucune p\u00e9riode de transition n\u2019est pr\u00e9vue : la BaFin (l\u2019autorit\u00e9 allemande de surveillance financi\u00e8re) peut d\u00e8s \u00e0 pr\u00e9sent effectuer des contr\u00f4les et prononcer des sanctions. N\u00e9anmoins, une hi\u00e9rarchisation implicite s\u2019op\u00e8re : les \u00e9tablissements syst\u00e9miques seront examin\u00e9s en priorit\u00e9, tandis que les prestataires financiers plus petits disposent d\u2019un peu plus de temps – mais pas ind\u00e9finiment.<\/p>\n Principaux jalons pour 2025 et 2026 :<\/p>\n \u25cf Soumission du registre des informations :<\/strong> La BaFin collecte les registres des fournisseurs de services informatiques et les transmet aux autorit\u00e9s europ\u00e9ennes de supervision (ESAs). Toute d\u00e9claration incompl\u00e8te attire imm\u00e9diatement l\u2019attention.<\/p>\n \u25cf Obligation de tests TLPT pour les \u00e9tablissements syst\u00e9miques :<\/strong> Des tests d\u2019intrusion orient\u00e9s menaces (Threat-Led Penetration Tests), conformes au cadre TIBER-EU, doivent \u00eatre r\u00e9alis\u00e9s et document\u00e9s.<\/p>\n \u25cf Supervision directe des fournisseurs informatiques critiques :<\/strong> Pour la premi\u00e8re fois, les ESAs superviseront directement les hyperscalers cloud et les grands prestataires informatiques.<\/p>\n La bonne nouvelle : celles qui ont d\u00e9j\u00e0 modernis\u00e9 leur paysage informatique<\/a> et mis en \u0153uvre les exigences BAIT\/VAIT (r\u00e8gles de l\u2019Association allemande des banques pour la gestion des risques li\u00e9s aux technologies de l\u2019information) disposent d\u2019une longueur d\u2019avance. La mauvaise nouvelle : le r\u00e8glement DORA va bien au-del\u00e0 des exigences allemandes existantes.<\/p>\n Trois actions imm\u00e9diates que chaque institution devrait mettre en \u0153uvre : premi\u00e8rement, r\u00e9aliser une analyse d\u2019\u00e9cart entre le dispositif actuel de gestion des risques informatiques et les exigences de DORA ; deuxi\u00e8mement, compl\u00e9ter le registre des prestataires informatiques avec une \u00e9valuation de leur criticit\u00e9 ; troisi\u00e8mement, tester le processus de d\u00e9claration d\u2019incidents – non pas sur le papier, mais via une simulation en conditions r\u00e9elles.<\/p>\n DORA n\u2019est pas un projet avec une date de fin. C\u2019est un \u00e9tat op\u00e9rationnel permanent. Les institutions financi\u00e8res qui ont compris ce principe n\u2019investissent pas dans des projets ponctuels de conformit\u00e9, mais dans des structures int\u00e9grant durablement la r\u00e9silience num\u00e9rique au c\u0153ur de leurs op\u00e9rations quotidiennes.<\/p>\n Tous les \u00e9tablissements financiers de l\u2019UE : banques, compagnies d\u2019assurance, entreprises d\u2019investissement, \u00e9tablissements de paiement, institutions de monnaie \u00e9lectronique, prestataires de services li\u00e9s aux actifs num\u00e9riques (cryptoactifs), ainsi que leurs fournisseurs informatiques critiques. Les fintechs et n\u00e9obanques entrent \u00e9galement dans le champ d\u2019application de DORA.<\/p>\n<\/details>\n Jusqu\u2019\u00e0 1 % du chiffre d\u2019affaires journalier mondial moyen – par jour, tant que l\u2019infraction persiste. Pour une grande banque r\u00e9alisant un chiffre d\u2019affaires annuel de 10 milliards d\u2019euros, cela repr\u00e9sente environ 274 000 euros par jour.<\/p>\n<\/details>\n DORA s\u2019applique sp\u00e9cifiquement au secteur financier et, en tant que r\u00e8glement europ\u00e9en, est directement applicable dans tous les \u00c9tats membres. NIS2, quant \u00e0 elle, est une directive qui doit \u00eatre transpos\u00e9e en droit national et couvre plusieurs secteurs. Pour les institutions financi\u00e8res, DORA pr\u00e9vaut (principe de lex specialis), mais certaines exigences de NIS2 peuvent s\u2019appliquer en compl\u00e9ment.<\/p>\n<\/details>\n Oui, mais le principe de proportionnalit\u00e9 s\u2019applique. Les \u00e9tablissements de petite taille ne sont pas tenus de r\u00e9aliser les m\u00eames tests complexes que les banques syst\u00e9miques. Toutefois, les exigences de base en mati\u00e8re de gestion des risques informatiques, de signalement des incidents et de gestion des tiers s\u2019imposent \u00e0 tous.<\/p>\n<\/details>\n Il s\u2019agit d\u2019un r\u00e9pertoire structur\u00e9 recensant tous les prestataires de services informatiques utilis\u00e9s par un \u00e9tablissement financier. Ce registre inclut les informations contractuelles, les \u00e9valuations de criticit\u00e9 et les analyses de d\u00e9pendance. Il doit \u00eatre communiqu\u00e9 \u00e0 la BaFin (autorit\u00e9 allemande de surveillance financi\u00e8re) sur demande et sert de base \u00e0 la surveillance des risques informatiques syst\u00e9miques.<\/p>\n<\/details>\n Source de l\u2019image de une : Pexels \/ Markus Winkler<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" Le r\u00e8glement DORA s\u2019applique depuis janvier 2025. La BaFin a enregistr\u00e9 plus de 600 incidents IT graves.<\/p>\n","protected":false},"author":205,"featured_media":89068,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"bafin","_yoast_wpseo_title":"Un an de DORA : ce que la BaFin contr\u00f4le maintenant","_yoast_wpseo_metadesc":"Le r\u00e8glement DORA s\u2019applique depuis janvier 2025. La BaFin a enregistr\u00e9 plus de 600 incidents IT graves.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[2223],"tags":[],"class_list":["post-95321","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-fintech-financial-services","entry"],"evm_reading_time_minutes":9,"wpml_language":"fr","wpml_translation_of":89069,"acf":[],"yoast_head":"\nL\u2019essentiel en bref<\/h2>\n
\n
Ce que DORA exige concr\u00e8tement<\/h2>\n
recens\u00e9s par la BaFin (surveillance informatique 2025)<\/span><\/div>\n<\/div>\n
par infraction aux exigences de DORA<\/span><\/div>\n<\/div>\n<\/div>\nCe que la BaFin examine pr\u00e9cis\u00e9ment<\/h2>\n
Le probl\u00e8me des tiers<\/h2>\n
Calendrier et priorit\u00e9s<\/h2>\n
Ce que les institutions financi\u00e8res doivent faire d\u00e8s maintenant<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qui est concern\u00e9 par DORA ?<\/summary>\n
Quels sont les montants des sanctions en cas de non-respect de DORA ?<\/summary>\n
Quelle est la diff\u00e9rence entre DORA et NIS2 ?<\/summary>\n
Les petits prestataires de services financiers doivent-ils aussi se conformer \u00e0 DORA ?<\/summary>\n
Qu\u2019est-ce que le registre des informations pr\u00e9vu par DORA ?<\/summary>\n
Lectures compl\u00e9mentaires<\/h2>\n
\n