Règlement DORA : pourquoi votre contrat d’hébergement doit changer.

Son objectif principal est de renforcer et d'harmoniser la résilience opérationnelle numérique de l'ensemble du secteur financier au sein de l'Union européenne. En France, son autorité de contrôle est l’ACPR, et en 2026 elle va renforcer ses contrôles. Voici ce qu’il faut savoir pour être prêt.

A quels organismes et secteurs d’activités s’adresse le règlement DORA ? 

Contrairement à NIS 2 qui s'applique à 18 secteurs variés, DORA s'adresse très spécifiquement : aux institutions financières (banques, compagnies d'assurance, établissements de paiement, plateformes de financement participatif, prestataires de services sur crypto-actifs, etc.). Et à leurs prestataires tiers de services liés aux technologies de l'information et de la communication (TIC), comme les fournisseurs de services cloud.

DORA agit comme une loi spécifique (lex specialis) : pour les entités du secteur financier, ses exigences prévalent sur celles de la directive NIS 2 là où elles sont équivalentes ou plus strictes.

Quels sont les axes d’exigence du règlement DORA ?

Le règlement DORA impose aux entités de se structurer autour de cinq axes stratégiques :

Pilier 1 : la gestion des risques liés aux TIC. 

Les entreprises doivent établir une stratégie globale pour identifier les vulnérabilités, protéger les données, et mettre en place des plans de continuité d'activité ainsi que des protocoles de sauvegarde.

Pilier 2 : La gestion et la notification des incidents.

DORA impose un cadre très strict pour classer et signaler les incidents majeurs aux autorités. Le signalement s'effectue en trois temps : une notification initiale (dans les 4 heures suivant la classification de l'incident et maximum 24 heures après sa détection), un rapport intermédiaire (sous 72 heures) et un rapport final (sous un mois).

Pilier 3 : Les tests de résilience opérationnelle numérique.

Les institutions doivent évaluer régulièrement leur capacité à faire face aux cyberattaques via des analyses de vulnérabilité, des simulations de crise, et des tests d'intrusion (pentests). Des tests de pénétration avancés fondés sur la menace (TLPT) sont exigés pour les entités les plus importantes.

Pilier 4 : L'encadrement des prestataires tiers (TIC). 

L'entreprise reste responsable de sa conformité même lorsqu'elle externalise. Elle doit auditer ses fournisseurs, intégrer des clauses de cybersécurité strictes dans les contrats, et tenir à jour un Registre d'Information (RoI) listant tous ses accords avec ces prestataires. Un cadre de supervision européen spécifique est d'ailleurs créé pour les prestataires jugés "critiques".

Pilier 5 : Le partage d'informations. 

Le règlement encourage l'échange d'informations sur les cybermenaces et les vulnérabilités entre les acteurs financiers afin de renforcer la sécurité et la réactivité collectives du secteur.

Quelles sont les sanctions en cas de non-conformité au DORA ?

Tout comme NIS 2, DORA prévoit des sanctions pour s'assurer de l'application de ces mesures. Les amendes pour les institutions financières peuvent atteindre 1 % de leur chiffre d'affaires annuel moyen, et la responsabilité personnelle des dirigeants peut être engagée. Pour les prestataires de services TIC considérés comme critiques qui ne respecteraient pas les exigences, des astreintes allant jusqu'à 1 % de leur chiffre d'affaires quotidien moyen mondial peuvent s'appliquer chaque jour.

Quelles sont les différences entre NIS2 et DORA pour les institutions financières ?

Le règlement DORA et la directive NIS 2 sont deux textes européens visant à renforcer la cybersécurité, mais ils présentent plusieurs différences majeures pour les institutions financières :

Le principe de prééminence (lex specialis)

Bien que le secteur financier fasse partie des 18 secteurs visés par la directive NIS 2, le règlement DORA est considéré comme une lex specialis (une loi spécifique). Cela signifie que pour les entités financières, les exigences de DORA prévalent sur celles de NIS 2 là où elles prévoient des exigences équivalentes ou plus strictes. Les institutions soumises à DORA ne sont donc pas tenues d'appliquer les dispositions équivalentes de NIS 2.

Le périmètre d'application

NIS 2 est une directive généraliste qui couvre des entités de 18 secteurs d'activité différents (énergie, santé, gestion des déchets, etc.). DORA, en revanche, s'applique de manière très spécifique au secteur de la finance et de l'assurance (banques, établissements de paiement, prestataires de services sur crypto-actifs, etc.) ainsi qu'à leurs prestataires tiers de services liés aux technologies de l'information et de la communication (TIC).

Les exigences en matière de tests de résilience

Là où NIS 2 exige des évaluations et des audits réguliers des politiques de sécurité, DORA impose des exigences techniques beaucoup plus poussées. Le règlement financier oblige notamment les entités les plus importantes à réaliser des tests de pénétration avancés fondés sur la menace (TLPT) au moins tous les trois ans.

L'encadrement des prestataires tiers (TIC)

Si NIS 2 impose la sécurisation de la chaîne d'approvisionnement de manière globale, DORA encadre très strictement les prestataires technologiques. Les institutions financières doivent tenir à jour un Registre d'Information (RoI) exhaustif de tous leurs accords contractuels avec les prestataires TIC, le soumettre aux autorités, et gérer spécifiquement le risque de concentration lié à ces fournisseurs.

La notification des incidents

Les deux réglementations partagent un calendrier de signalement très strict (24 heures pour l'alerte, 72 heures pour la notification détaillée et un mois pour le rapport final). Toutefois, DORA ajoute une contrainte temporelle supplémentaire : la notification initiale doit être effectuée dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après sa détection.

Quelles sont les contraintes du DORA pour les prestataires d'hébergement informatique ?

Le règlement DORA impose des contraintes extrêmement rigoureuses aux prestataires tiers d'hébergement informatique (comme les fournisseurs de services cloud ou les centres de données), désignés dans les textes sous l'appellation de « prestataires tiers de services TIC ». Voici les principales contraintes qui pèsent sur eux :

Des exigences contractuelles très strictes et des audits

Les prestataires doivent se soumettre à des contrats fortement encadrés (répondant aux exigences de l'article 30 de DORA). Leurs clients financiers exigeront le respect de normes de sécurité de l'information élevées, des garanties sur la continuité des services, ainsi que des conditions claires de réversibilité des données et des "stratégies de sortie" en cas de résiliation. Les prestataires devront également accepter de se faire auditer régulièrement par leurs clients.

Un référencement obligatoire (le Registre d'Information) 

Tous les accords contractuels passés avec ces prestataires d'hébergement informatique doivent être recensés par les institutions financières dans un Registre d'Information (RoI), qui est communiqué au moins une fois par an aux autorités compétentes (comme l'AMF ou l'ACPR en France).

Une supervision européenne directe pour les prestataires "critiques"

Dès 2025, les autorités européennes (l'ESMA, l'EBA et l'EIOPA) établiront une liste des prestataires considérés comme "critiques", c'est-à-dire ceux dont une défaillance aurait un impact systémique sur la stabilité financière européenne. Ces derniers feront l'objet d'une supervision directe et spécifique à l'échelle de l'Union européenne.

Une obligation d'implantation dans l'Union européenne

DORA impose une forte contrainte de souveraineté. Si un prestataire est désigné comme "critique" mais qu'il est établi en dehors de l'Union européenne (dans un pays tiers), il dispose d'un an pour établir une filiale au sein de l'UE. S'il s'y refuse, les entités financières européennes auront l'interdiction d'utiliser ses services.

Des astreintes financières colossales

Si un prestataire tiers critique ne respecte pas les mesures de sécurité exigées dans un délai de 30 jours après notification, l'autorité compétente peut le frapper de pénalités redoutables. Cette astreinte peut atteindre jusqu'à 1 % de son chiffre d'affaires quotidien moyen mondial de l'année précédente, applicable pour chaque jour de non-conformité.

En quoi consiste précisément les tests de pénétrations avancés fondés sur la menace (TLPT) dans le cadre du DORA ?

Dans le cadre du règlement DORA, les tests de pénétration avancés fondés sur la menace (TLPT) constituent des évaluations de cybersécurité très poussées qui s'inscrivent dans le pilier consacré aux tests de résilience opérationnelle numérique.

Voici en quoi ils consistent concrètement selon la réglementation :

• Un ciblage spécifique des entités importantes : ces tests ne s'appliquent pas à toutes les institutions financières. Ils sont exigés pour certaines entités financières importantes, désignées sur la base de leur caractère systémique ou de leur profil de risque lié aux technologies de l'information et de la communication (TIC). Les critères précis de désignation sont détaillés dans une norme technique de réglementation (RTS) dédiée.

• Une fréquence minimale de trois ans : les entités assujetties à cette obligation doivent réaliser ces tests de pénétration avancés au moins tous les trois ans.

• Un périmètre couvrant les fonctions critiques : Lors de son exécution, le test doit obligatoirement couvrir au minimum plusieurs fonctions critiques ou importantes de l'entité financière.

• Une obligation de reporting (post-test) : à l'issue du TLPT, l'entité financière ne peut pas se contenter de corriger les failles en interne. Elle a l'obligation de fournir à l'autorité compétente une synthèse des conclusions des tests ainsi que les mesures correctives envisagées pour y remédier.

Un niveau d'exigence très élevé Il est important de noter que les TLPT suivent une courbe de difficulté très différente et supérieure aux évaluations de vulnérabilité ou pentests traditionnels. En raison de ce niveau d'exigence, des approches comme le Bug Bounty (programmes de récompense pour la découverte de failles) sont d'ailleurs suggérées comme étape intermédiaire pour permettre aux entités de s'évaluer en conditions réelles avant de s'engager dans la réalisation d'un TLPT officiel.

Enfin, par effet de ricochet, les entreprises (même de plus petite taille) qui fournissent des services TIC à ces grandes institutions financières pourront ressentir les effets de ces exigences et être impliquées dans des tests approfondis pour valider la sécurité globale de la chaîne d'approvisionnement.

Qu'est ce que l'ACPR et comment va t elle contrôler les organisations financières dans le cadre du règlement DORA en 2026 ?

L'Autorité de contrôle prudentiel et de résolution (ACPR) est une institution intégrée à la Banque de France dont la mission principale est de surveiller l'activité des banques et des assurances en France. Elle veille à la préservation de la stabilité du système financier et à la protection de la clientèle. Dans le cadre du règlement DORA, l'ACPR agit en tant qu'autorité de surveillance compétente chargée de contrôler la résilience opérationnelle numérique des entités financières françaises.

Après une année 2025 considérée comme une période de transition et de pédagogie, l'ACPR a officiellement qualifié 2026 d'« année de supervision ». Cela signifie que l'autorité passe au contrôle strict : elle ne demandera plus aux entreprises où elles en sont, mais exigera qu'elles prouvent leur conformité.

Pour 2026, l'ACPR a défini un programme de travail s'articulant autour de trois priorités de contrôle majeures et de méthodes d'inspection renforcées :

Les trois axes prioritaires d'investigation

• La gestion des incidents TIC : L'ACPR va scruter la capacité des entités à classifier correctement les incidents, à respecter les délais extrêmement stricts de notification (comme l'alerte sous 4 heures pour les incidents majeurs) et à fournir des rapports finaux exhaustifs.

• L'évaluation des cadres de gestion des risques TIC : Les inspecteurs vérifieront si la gouvernance est réellement impliquée au plus haut niveau (organes de direction). Ils s'assureront que le dispositif de sécurité n'est pas uniquement un projet technique, mais qu'il est intégré à la gestion des risques globaux de l'entreprise (y compris dans les rapports ORSA pour l'assurance).

• La conformité des contrats avec les prestataires tiers : L'ACPR examinera à la loupe la gestion des prestataires informatiques (cloud, infogérance), en s'assurant que les contrats ont été mis à jour avec les clauses obligatoires (droits d'audit, plans de sortie activables) et que les dépendances critiques sont cartographiées.

Les modalités de contrôle et les preuves exigées

• L'examen rigoureux du Registre d'Information (RoI) : C'est un outil de supervision central. Les entités doivent remettre ce registre, qui recense tous les accords contractuels TIC, avant le 31 mars 2026. L'ACPR sera intraitable sur la qualité et l'exactitude des données. En effet, de nombreuses remises "tests" ont échoué en 2025 à cause d'erreurs techniques (mauvais encodage UTF-8, arborescence ZIP incorrecte, erreurs de date). De nouvelles équipes dédiées au contrôle de la qualité de ces données ont d'ailleurs été mises en place par l'ACPR.

• Des contrôles sur place et l'exigence de preuves documentées : L'ACPR effectuera des contrôles sur place ciblant les entités les plus exposées. Les inspecteurs ne se contenteront plus de déclarations : ils vérifieront l'opérationnalité réelle des dispositifs au travers de preuves concrètes (comptes rendus de comités, registres tenus à jour, traces d'exécution de tests, post-mortems d'incidents). Elle attend également une plus grande richesse de contenu dans les rapports narratifs sur l'exposition aux risques.

• Le lancement des tests de pénétration avancés (TLPT) : L'année 2026 marque le démarrage des premiers tests d'intrusion fondés sur la menace (TLPT) pour les acteurs majeurs. Conduits sur des systèmes en production réelle et coordonnés par la Banque de France via le cadre TIBER-FR, ces tests grandeur nature dureront de 6 à 12 mois pour mesurer la résilience effective des institutions face à des attaquants professionnels.

Face à ces contrôles, une conformité purement "sur le papier" sera lourdement sanctionnée. En cas de manquement, notamment sur la classification et le suivi des prestataires, la Commission des sanctions de l'ACPR dispose de pouvoirs coercitifs importants, incluant la possibilité de prononcer des blâmes assortis de sanctions pécuniaires pouvant atteindre jusqu'à 10 % du chiffre d'affaires annuel net, avec publication nominative de la décision.