DORA (Digital Operational Resilience Act, règlement UE 2022/2554) est le règlement européen de résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il concerne une vingtaine de catégories d'entités financières — banques, assureurs et intermédiaires, sociétés de gestion, établissements de paiement, prestataires crypto — quelle que soit leur taille, avec un principe de proportionnalité. Et il touche indirectement tous leurs prestataires informatiques, qui doivent contractuellement permettre à leurs clients d'être conformes.
Le constat du législateur européen est simple : le secteur financier repose désormais sur des systèmes numériques et une chaîne de prestataires TIC, mais la réglementation traitait le risque informatique de façon dispersée, texte par texte, pays par pays. DORA unifie : un seul règlement — d'application directe, sans transposition — qui impose à toutes les entités financières européennes un socle commun de résilience opérationnelle numérique. L'idée n'est pas d'empêcher les incidents, mais de garantir que le secteur les encaisse : détection, réaction, continuité, retour d'expérience.
Le règlement liste une vingtaine de catégories : établissements de crédit, entreprises d'investissement, sociétés de gestion de portefeuille, entreprises d'assurance et de réassurance, intermédiaires d'assurance, institutions de retraite professionnelle, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, entre autres. La taille ne fait pas sortir du champ : une société de gestion de dix personnes ou un assureur de niche sont concernés. La proportionnalité module l'intensité des exigences selon la taille et le profil de risque ; certaines très petites structures (microentreprises au sens du règlement, certains intermédiaires selon leur taille) bénéficient d'exigences allégées ou d'exemptions ciblées — un point à vérifier précisément pour chaque statut.
Il y a aussi un champ indirect, souvent sous-estimé : les prestataires de services TIC. Un infogéreur, un éditeur, un hébergeur qui sert des clients financiers n'est pas directement soumis à DORA (hors désignation comme prestataire critique au niveau européen), mais ses contrats doivent contenir les clauses de l'article 30, ses services doivent alimenter le registre d'information du client, et il doit assister ce client en cas d'incident. Un prestataire incapable de le faire disqualifie son client — et donc lui-même.
1. Gestion du risque TIC : un cadre documenté, sous la responsabilité de l'organe de direction — la conformité DORA est explicitement l'affaire des dirigeants, pas seulement de l'IT. 2. Gestion et notification des incidents : classification des incidents, notification des incidents majeurs au régulateur dans des délais courts, rapports intermédiaire et final. 3. Tests de résilience : du test de sauvegarde aux tests d'intrusion avancés pour les plus grandes entités. 4. Gestion du risque lié aux prestataires TIC : contrats conformes, registre d'information, stratégie de sortie. 5. Partage d'information sur les cybermenaces, sur base volontaire.
Pour une PME financière, l'effort se concentre en pratique sur trois livrables : le cadre de gestion du risque proportionné, le registre d'information au format normalisé européen recensant tous les accords TIC — y compris intragroupe —, et le processus d'incident testé avec son prestataire.
Pour les entités financières, DORA est le texte spécial : il prime notamment sur la directive NIS2 pour les aspects qu'il couvre — une société de gestion applique DORA, pas NIS2. Le RGPD continue de s'appliquer en parallèle sur les données personnelles : un même incident peut déclencher une notification DORA au régulateur financier et une notification CNIL. D'où l'intérêt d'un processus d'incident unique qui adresse les deux circuits.
Non : les cabinets d'expertise comptable ne figurent pas parmi les entités financières visées par le règlement. Ils restent soumis au RGPD et à leurs obligations professionnelles — et peuvent être concernés indirectement lorsqu'ils fournissent des services à des clients financiers.
Les autorités nationales disposent de pouvoirs de supervision et de sanction — injonctions, mesures administratives, sanctions pécuniaires selon les régimes nationaux. Pour une PME, le risque le plus immédiat est souvent ailleurs : un contrôle qui révèle l'absence de registre ou de processus, et une relation avec le régulateur durablement dégradée.
Par le registre d'information : recenser ses prestataires TIC et ses fonctions critiques révèle mécaniquement les priorités — contrats à mettre à jour, dépendances non documentées, sauvegardes jamais testées. C'est le fil qui déroule tout le reste du dispositif.
DIGICAB opère des environnements conformes DORA pour des entités financières régulées : contrats article 30, fiche registre fournie, processus d'incident testé. Un échange d'ingénieur à dirigeant, sans démarchage ni engagement.
Prendre rendez-vous