DORA, le règlement sur la résilience opérationnelle numérique, ne demande pas la même chose à une entité financière qu’à son prestataire. Nous qualifions votre situation, puis construisons avec vous le cadre, le registre et les contrats que votre superviseur et vos clients examineront.
À jour au
Directement si vous êtes une entité financière. Indirectement si vous en êtes le prestataire technologique : vos clients doivent reporter une partie de leurs obligations sur vous, par contrat.
Paiement, monnaie électronique, gestion d’actifs, assurance, financement participatif, services sur crypto-actifs agréés au titre de MiCA, le règlement sur les marchés de crypto-actifs : DORA vous vise directement.
Ces avenants reprennent les clauses de l’article 30 : localisation des données, assistance en cas d’incident, conditions de résiliation. Si votre service soutient une fonction critique ou importante, s’y ajoutent droits d’audit et stratégie de sortie.
Chaque entité financière recense ses contrats de services informatiques dans un registre d’informations, remis chaque année à son superviseur. Vos réponses y figurent.
Registre, politiques, tests : tout avance entre deux livraisons, sur le temps d’une personne qui a déjà une équipe et un produit à mener.
Quatre piliers obligatoires, détaillés ci-dessous. Le cinquième, le partage d’informations sur les cybermenaces entre entités financières (article 45), reste facultatif.
Inventaire, protection, détection, continuité, sauvegardes : un cadre documenté pour les risques liés aux technologies de l’information et de la communication (TIC), dont la direction reste responsable.
Notification initiale dans les 4 heures suivant la classification de l’incident, 24 heures au plus tard après en avoir eu connaissance, puis un rapport intermédiaire et un rapport final.
Les systèmes qui soutiennent vos fonctions critiques ou importantes sont testés au moins une fois par an. Les entités désignées par leur autorité ajoutent un test d’intrusion fondé sur la menace (TLPT) tous les 3 ans.
Un registre de tous vos contrats de services TIC, les clauses obligatoires de l’article 30 et une stratégie de sortie pour les services qui soutiennent vos fonctions critiques.
Un workshop chaque semaine avec votre CTO ou votre responsable des risques : il apporte le contexte et arbitre. Registre, politiques et avenants avancent de notre côté entre deux workshops.
Entité financière, prestataire TIC ou les deux ? Nous qualifions votre situation et vos fonctions critiques ou importantes, puis confrontons l’existant à chaque chapitre du règlement.
Livrables
Statut qualifié, écarts priorisés
Chaque écart devient une action datée, avec un responsable. Les exigences qui ne s’appliquent pas à votre taille sont écartées par écrit, pour que le superviseur suive le raisonnement.
Livrable
Feuille de route validée par la direction
Nous rédigeons les politiques et la procédure de gestion des incidents, cartographions vos prestataires dans le registre et préparons les avenants. Nous réalisons nous-mêmes les tests d’intrusion du programme.
Livrables
Cadre de gestion des risques TIC, registre à jour
Un auditeur indépendant du projet vérifie le cadre, comme DORA l’exige au-delà des microentreprises. Nous préparons vos réponses à l’Autorité de contrôle prudentiel et de résolution (ACPR) ou à l’Autorité des marchés financiers (AMF).
Livrables
Dossier de preuves, calendrier de mise à jour
« L’approche est pragmatique. Pas de process appliqué aveuglément, vous structurez ce qui compte. Honnête et direct, ce qui n’est pas si fréquent sur des sujets régulatoires. »
Le prix dépend de votre statut, du nombre de prestataires à cartographier et de ce qui existe déjà. Mené avec ISO 27001, DORA réutilise la gestion des risques et des incidents.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre RSSI ou votre responsable des risques pilote. Nous apportons la lecture du règlement, rédigeons politiques et procédures, et préparons les échanges avec le superviseur.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Nous tenons le rôle de RSSI : cadre de risques, incidents, registre et programme de tests, test d’intrusion ou audit technique inclus. Votre CTO garde la main sur la technique.
Votre besoin est spécifique
Sur devisaprès un premier échange
DORA mené avec ISO 27001, ou des tests d’intrusion récurrents pour tenir le rythme annuel du programme de tests.
Durée habituelle
6 à 12 mois selon votre statut
Frais en sus
Pas de frais de certification : DORA n’en prévoit pas. Un TLPT, si votre autorité vous désigne, se chiffre à part.
Indirectement, dès que vous servez des entités financières. Le règlement leur impose d’encadrer leurs prestataires TIC : elles vous demanderont d’accepter les clauses de l’article 30, de répondre à leurs questionnaires, d’alimenter leur registre d’informations et d’accepter des droits d’audit. Vous ne seriez supervisé directement que si les autorités européennes vous désignaient comme prestataire critique : la première liste, publiée en novembre 2025, vise de grands fournisseurs de cloud et de services informatiques.
Non. DORA ne prévoit ni certificat ni label. La conformité se démontre sur pièces : politiques, registre d’informations, rapports de tests, traitement des incidents. L’ACPR ou l’AMF les examinent lors de leurs contrôles, vos clients lors de leurs revues. Une « certification DORA » vendue comme telle n’a aucune valeur réglementaire.
Le règlement s’applique à toutes les entités visées, mais en proportion de leur taille et de leur profil de risque. Les microentreprises, moins de 10 personnes et au plus 2 millions d’euros de chiffre d’affaires ou de bilan, ont des obligations allégées, notamment sur les tests. Certaines entités, comme les établissements de paiement exemptés, relèvent d’un cadre simplifié de gestion des risques (article 16).
Un programme de tests adapté à vos risques : analyses de vulnérabilités, revues de code source, tests fondés sur des scénarios, tests d’intrusion, entre autres. Les systèmes qui soutiennent vos fonctions critiques ou importantes sont testés au moins une fois par an. Seules les entités désignées par leur autorité doivent en plus mener un test d’intrusion fondé sur la menace (TLPT), au moins tous les 3 ans.
Une notification initiale dans les 4 heures suivant la classification de l’incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance ; un rapport intermédiaire dans les 72 heures suivant cette notification ; un rapport final au plus tard un mois après le dernier rapport intermédiaire. Ces délais sont fixés par le règlement délégué (UE) 2025/301. La classification se prépare donc à l’avance : critères, seuils, circuit de décision.
Non, mais c’est une bonne base : la gestion des risques, des incidents et de la continuité se recoupe largement. DORA ajoute des exigences propres, comme la déclaration des incidents majeurs dans des délais fixés, le registre d’informations, les clauses de l’article 30 et le programme de tests annuel. Un système de management de la sécurité de l’information (SMSI) déjà en place raccourcit nettement la démarche.
Le règlement laisse aux États membres le soin de fixer les sanctions des entités financières. En France, l’ACPR ou l’AMF les prononce avec ses pouvoirs habituels : avertissement, blâme, interdiction de certaines activités et sanction pécuniaire, jusqu’à 100 millions d’euros dans le cas général devant la commission des sanctions de l’ACPR. Un prestataire désigné comme critique s’expose, lui, à une astreinte d’au plus 1 % de son chiffre d’affaires quotidien moyen mondial, chaque jour et pendant six mois au plus. Pour un éditeur SaaS qui ne l’est pas, le risque est contractuel : vos clients financiers peuvent vous auditer, exiger des corrections ou résilier le contrat.
Le socle de gestion des risques et des incidents que DORA prolonge, reconnu par vos clients financiers.
Évaluer la solvabilité ou tarifer une assurance vie ou santé avec l’IA peut relever du haut risque.
DORA remplace les mesures de sécurité de NIS 2 pour les entités financières ; leurs prestataires cloud ou infogérants peuvent y être soumis.
Registre, tests, incidents : ce qui retombe sur le CTO, et ce qu’un accompagnement permet de déléguer.
Ce que contient le registre, comment identifier chaque prestataire et ce qui fait rejeter un fichier lors de la remise annuelle.
Préparer un test dont le rapport alimente votre programme de tests de résilience.
Un premier échange gratuit de 30 minutes pour qualifier votre statut et repérer les chantiers prioritaires. Si vos obligations se limitent à quelques clauses contractuelles, nous vous le dirons.