Règlement DORA
DORA : les règles de sécurité du secteur financier, expliquées et mises en place simplement
DORA est un règlement européen qui renforce la sécurité informatique du secteur financier. Il concerne les banques, mais aussi les courtiers, les mutuelles, les cabinets et leurs prestataires informatiques. Nous vous aidons à comprendre ce qu’il attend de vous et à le mettre en place de façon proportionnée.
DORA s’applique, et les demandes arrivent
Depuis le 17 janvier 2025, le règlement européen DORA est applicable. Vous êtes courtier en assurance, mutuelle, société de gestion, ou prestataire informatique d’un acteur financier, et vous recevez des demandes nouvelles : annexes contractuelles, questionnaires de sécurité, demandes de plan de continuité, tests à prévoir.
Le texte est long, technique, et pensé d’abord pour de grandes structures. Vous avez besoin de savoir ce qui s’applique à votre taille, ce que vos partenaires peuvent légitimement vous demander, et comment y répondre sans mobiliser toute votre équipe.
DORA en quelques mots
DORA, pour Digital Operational Resilience Act, est un règlement européen sur la résilience opérationnelle numérique du secteur financier. La résilience, c’est la capacité à continuer de fonctionner, ou à redémarrer vite, malgré une panne ou une cyberattaque. Comme il s’agit d’un règlement et non d’une directive, il s’applique directement dans tous les pays de l’Union, sans loi de transposition.
Il s’articule autour de cinq grands piliers :
- la gestion des risques liés aux technologies de l’information et de la communication (TIC) ;
- la gestion, la classification et la notification des incidents liés aux TIC ;
- les tests de résilience opérationnelle numérique ;
- la gestion des risques liés aux prestataires TIC tiers ;
- le partage d’informations sur les menaces.
Qui est concerné par la conformité DORA ?
Les entités financières
Banques, établissements de paiement, entreprises d’assurance et de réassurance, sociétés de gestion, et certains intermédiaires d’assurance. Le règlement prévoit un principe de proportionnalité : les exigences sont adaptées à la taille et au profil de risque. Certaines petites structures bénéficient d’un régime allégé, selon des critères à vérifier au cas par cas : [critères d’exemption ou de régime simplifié applicables aux courtiers et petites entités À VALIDER].
Les prestataires TIC du secteur financier
Hébergeurs, éditeurs de logiciels, infogéreurs, prestataires de maintenance : si vous fournissez des services informatiques à une entité financière, celle-ci doit encadrer contractuellement votre relation, évaluer vos risques et pouvoir vous auditer. Vous êtes donc directement sollicité, même si DORA ne vous vise pas en tant qu’entité financière.
Les cabinets qui travaillent avec le secteur
Cabinets d’expertise comptable, de conseil ou de gestion qui traitent des données ou des processus pour des acteurs financiers peuvent également recevoir des exigences de leurs clients. Voir notre page dédiée aux notaires et experts-comptables.
Ce que nous faisons pour votre conformité DORA
Le fondateur de CyberIris a été RSSI d’une mutuelle. Il connaît de l’intérieur les attentes du secteur financier en matière de sécurité, de contrôle et de relations avec les prestataires. Nous mettons cette expérience au service de structures de taille humaine.
- Nous déterminons votre position : entité financière, prestataire TIC, ou partenaire indirect.
- Nous réalisons une analyse d’écart entre vos pratiques et les exigences des cinq piliers.
- Nous construisons ou complétons votre cadre de gestion des risques TIC et votre registre des prestataires.
- Nous préparons votre procédure de classification et de notification des incidents.
- Nous vous aidons à relire et négocier les clauses contractuelles DORA, côté client ou côté prestataire.
- Nous organisons des tests de résilience adaptés, comme un test d’intrusion ou un exercice de restauration de sauvegarde.
- Nous renforçons les mesures techniques : surveillance par un SOC managé, sauvegarde externalisée immuable hébergée en France, protection des postes.
Comment ça se passe
1
Cadrage
Nous identifions votre rôle au regard de DORA et les demandes déjà reçues de vos partenaires.
2
Analyse d’écart
Nous comparons votre organisation aux exigences, pilier par pilier, avec un audit de cybersécurité si nécessaire.
3
Plan d’action
Vous recevez une feuille de route priorisée et proportionnée à votre taille.
4
Mise en œuvre
Nous rédigeons les documents, mettons en place les mesures et préparons les preuves attendues.
5
Pilotage continu
Revue annuelle, suivi des prestataires, tests réguliers : un RSSI externalisé peut prendre ce rôle.
Ce que vous obtenez
- Une position claire sur votre statut au regard de DORA.
- Un rapport d’écart pilier par pilier.
- Un cadre de gestion des risques TIC documenté.
- Un registre de vos prestataires TIC et une méthode pour les évaluer.
- Une procédure de gestion et de notification des incidents.
- Des réponses argumentées aux questionnaires et annexes contractuelles de vos partenaires.
Tarif indicatif
À partir de [montant À VALIDER] HT
Le prix varie selon votre statut (entité financière ou prestataire), la taille de votre structure et le niveau de documentation existant. Devis après le cadrage.
Pour qui
- Courtiers et intermédiaires en assurance.
- Mutuelles et institutions de prévoyance.
- Sociétés de gestion et conseillers financiers.
- Prestataires informatiques, éditeurs et hébergeurs travaillant pour le secteur financier.
- Cabinets d’expertise comptable et de conseil en relation avec des acteurs financiers.
Votre activité relève aussi d’autres textes ? Consultez notre page accompagnement NIS2 ou la vue d’ensemble de notre accompagnement conformité cybersécurité. Nous intervenons depuis nos agences de La Bassée et de Savoie, voir nos zones d’intervention.
Questions fréquentes sur la conformité DORA
DORA est-il déjà applicable ?
Oui. Le règlement DORA s’applique depuis le 17 janvier 2025 dans tous les pays de l’Union européenne, sans transposition nationale.
Je suis courtier en assurance, suis-je concerné ?
Les intermédiaires d’assurance figurent parmi les entités visées, mais certaines petites structures peuvent être exclues ou bénéficier d’un régime allégé selon leur taille. Nous vérifions votre situation précise lors du cadrage.
Je suis prestataire informatique d’une mutuelle, que va-t-on me demander ?
Votre client doit encadrer contractuellement votre prestation : niveaux de service, localisation des données, droit d’audit, gestion des incidents, plan de sortie. Il vous demandera aussi des preuves de vos mesures de sécurité. Nous vous aidons à y répondre.
Quelle différence entre DORA et NIS2 ?
NIS2 couvre de nombreux secteurs, DORA est spécifique au secteur financier et plus détaillé. Pour une entité financière, DORA prime sur NIS2 sur les sujets qu’il traite. Notre page NIS2 détaille l’autre texte.
DORA impose-t-il des tests d’intrusion ?
Toutes les entités doivent tester leur résilience de façon proportionnée. Les tests avancés menés par la menace ne concernent que les entités les plus importantes. Pour une PME, des tests d’intrusion ciblés et des exercices de restauration sont souvent adaptés.
Combien de temps faut-il pour se mettre en conformité ?
Cela dépend de votre point de départ. Comme le règlement est déjà applicable, nous commençons par les mesures prioritaires, puis complétons progressivement. Nous vous donnons un calendrier réaliste après l’analyse d’écart.
Pouvez-vous remplacer notre fonction de contrôle des risques TIC ?
Nous pouvons tenir ce rôle de façon externalisée, en lien avec votre direction, dans le cadre d’un RSSI à temps partagé. La responsabilité finale reste celle de votre organe de direction, comme le prévoit DORA.
Avançons sur DORA, simplement
Expliquez-nous votre situation et les demandes reçues. Nous vous aidons à prioriser.
Ou appelez-nous au 06 30 39 95 06.