Règlementation DORA : le guide complet de conformité 2026

La règlementation DORA impose un cadre unique de résilience numérique à l’ensemble du secteur financier européen. Elle touche plus de 22 000 entités, des banques aux gestionnaires d’actifs, en passant par les prestataires de services sur crypto-actifs. Si votre organisation exerce une activité financière dans l’UE, ou fournit des services informatiques critiques à ce secteur, vous êtes probablement concerné.

Contrairement à d’autres textes européens en cybersécurité, DORA (Digital Operational Resilience Act) est un règlement, pas une directive. Elle s’applique directement dans tous les États membres, sans transposition nationale préalable. C’est déjà en vigueur depuis le 17 janvier 2025.

Dans cet article, nous expliquerons ce qu’est DORA, qui est concerné, les exigences DORA à mettre en place, le régime de sanctions applicable et comment Mindsec facilite la conformité DORA de façon efficace, tant en temps qu’en coûts.

Qu’est-ce que la règlementation DORA ?

DORA, ou Digital Operational Resilience Act, est le Règlement (UE) 2022/2554 du Parlement européen et du Conseil. Il établit un cadre commun de gestion des risques informatiques pour l’ensemble du secteur financier de l’Union européenne.

Le texte a été adopté le 14 décembre 2022 et est entré en vigueur le 16 janvier 2023. Une période de mise en œuvre de deux ans a suivi, et le règlement s’applique pleinement depuis le 17 janvier 2025.

La règlementation DORA existe parce que, avant son adoption, chaque État membre gérait la résilience numérique du secteur financier à sa façon, avec des règles fragmentées et incohérentes d’un pays à l’autre. Le secteur financier dépend de plus en plus des technologies numériques, et une panne ou une cyberattaque chez un seul acteur peut avoir des conséquences systémiques sur l’ensemble du marché.

DORA cyber ne se limite pas aux banques.

Le règlement couvre un très large éventail d’entités : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, entreprises d’assurance et de réassurance, gestionnaires de fonds, plateformes de négociation, dépositaires centraux de titres, prestataires de services sur crypto-actifs, et agences de notation de crédit, entre autres.

Fait unique parmi les règlementations européennes en cybersécurité, DORA s’applique aussi directement aux prestataires TIC jugés critiques pour le secteur financier, notamment les grands fournisseurs infonuagiques. Ce n’est pas une simple recommandation contractuelle. C’est une supervision directe par les autorités européennes.

Qui est concerné par la règlementation DORA ?

Le règlement distingue deux grandes catégories d’organisations concernées.

Les entités financières forment le cœur du champ d’application. Ça comprend les banques, les entreprises d’investissement, les compagnies d’assurance et de réassurance, les gestionnaires d’actifs, les établissements de paiement, les prestataires de services sur crypto-actifs, les plateformes de négociation, et plusieurs autres catégories régulées par le droit financier européen.

Les prestataires TIC critiques forment la deuxième catégorie visée par la règlementation DORA. Ce sont des fournisseurs de technologies (infonuagique, analyse de données, cybersécurité) dont les services sont jugés systémiquement importants pour la stabilité du secteur financier.

Les autorités européennes de supervision (l’ABE, l’AEMF et l’AEAPP) ont désigné les 19 premiers prestataires critiques le 18 novembre 2025, incluant plusieurs grands fournisseurs infonuagiques.

Le texte prévoit un principe de proportionnalité. Les micro-entreprises de moins de 10 employés et moins de 2 millions d’euros de chiffre d’affaires annuel bénéficient d’exigences DORA simplifiées en matière de gestion des risques et de tests. Les obligations de signalement des incidents et de partage d’information s’appliquent néanmoins à toutes les entités visées, peu importe leur taille.

En France, deux autorités se partagent la supervision de la conformité DORA.

L’Autorité de contrôle prudentiel et de résolution (ACPR) supervise les établissements de crédit, les établissements de paiement et de monnaie électronique, ainsi que les entreprises d’assurance et de réassurance.

L’Autorité des marchés financiers (AMF) supervise les entreprises d’investissement, les gestionnaires d’actifs et les infrastructures de marché.

Exigences DORA : les 5 piliers du règlement

La règlementation DORA repose sur cinq piliers. Ce ne sont pas des recommandations générales. Ce sont des obligations précises, assorties d’articles spécifiques dans le texte du règlement.

Gestion des risques liés aux TIC. Chaque entité doit établir, documenter et réviser un cadre complet de gestion des risques informatiques, couvrant l’identification, la protection, la détection, la réponse et le rétablissement. La direction générale porte la responsabilité ultime de ce cadre et doit l’approuver et le superviser directement.

Gestion et signalement des incidents. Les entités doivent détecter, classifier et signaler les incidents TIC majeurs selon un calendrier strict : une notification initiale dans les 4 heures suivant la classification d’un incident comme majeur, un rapport intermédiaire dans les 72 heures, et un rapport final dans le mois suivant.

Tests de résilience opérationnelle numérique. Les entités doivent tester régulièrement leurs systèmes TIC pour vérifier leur capacité à résister aux perturbations. Les entités les plus importantes doivent aussi effectuer des tests de pénétration fondés sur la menace (TLPT), une exigence particulièrement rigoureuse du règlement.

Gestion des risques liés aux tiers TIC. Le règlement encadre étroitement la relation avec les fournisseurs technologiques. Les entités doivent maintenir un registre d’information sur tous leurs prestataires TIC, effectuer une diligence raisonnable avant chaque contrat, et prévoir des clauses contractuelles précises sur la sécurité, l’audit et la réversibilité.

Partage d’information. La règlementation DORA encourage les entités financières à participer à des dispositifs d’échange d’informations sur les cybermenaces, les vulnérabilités et les incidents, afin de renforcer la résilience collective du secteur.

Chacun de ces piliers de DORA s’accompagne de normes techniques réglementaires (RTS) et de normes techniques d’exécution (ITS), publiées par les autorités européennes de supervision pour préciser les modalités concrètes d’application.

DORA et certification : ce qu’il faut savoir

Beaucoup d’organisations cherchent une certification DORA officielle, sur le modèle d’ISO 27001. Ça n’existe pas. DORA est un texte d’application directe, pas un référentiel certifiable par un organisme accrédité.

Ce que les entités doivent démontrer, ce n’est pas un certificat, mais une conformité DORA continue et documentée : un cadre de gestion des risques à jour, des preuves de tests de résilience, un registre d’information complet sur les prestataires TIC, et un historique de notification des incidents conforme aux délais imposés.

Les autorités compétentes, comme l’ACPR et l’AMF en France, peuvent demander ces preuves à tout moment, dans le cadre de leur mission de supervision courante ou d’une enquête ciblée. La conformité à la règlementation DORA se prouve donc au quotidien, pas une fois par cycle d’audit.

Certains organismes proposent des formations menant à des certificats professionnels liés à DORA (parfois appelée regulation DORA dans la documentation anglophone). Ces certificats attestent des connaissances d’un individu sur le règlement. Ils ne remplacent en rien l’obligation légale de conformité qui pèse sur l’entité elle-même.

Sanctions et conséquences du non-respect de la règlementation DORA

Le régime de sanctions DORA fonctionne différemment de celui du RGPD ou de NIS2. Le règlement ne fixe pas de plafond harmonisé unique pour les entités financières. Ce sont les autorités compétentes de chaque État membre qui définissent leurs propres pouvoirs de sanction, dans le cadre de leur droit national.

En France, l’ACPR et l’AMF disposent de pouvoirs d’enquête, d’injonction et de sanction dans leurs domaines de supervision respectifs. Une entité qui ne respecte pas DORA peut faire l’objet de mesures correctives, d’injonctions publiques, voire de sanctions financières selon la gravité et la récurrence des manquements constatés.

Le régime est différent pour les prestataires TIC critiques désignés par les autorités européennes de supervision. Dans ce cas, le texte prévoit directement une sanction au niveau européen : des astreintes journalières pouvant atteindre 1 % du chiffre d’affaires mondial moyen quotidien du prestataire, appliquées pendant six mois maximum, en cas de manquement persistant.

Au-delà des sanctions financières, le non-respect de la règlementation DORA expose à d’autres conséquences concrètes. Les autorités peuvent publier leurs décisions de non-conformité, ce qui nuit à la réputation de l’entité auprès de ses clients et partenaires. Les entités financières peuvent aussi se voir contraintes de mettre fin à leurs contrats avec un prestataire TIC jugé non conforme.

Comment se préparer à la conformité DORA

Se conformer à DORA demande une approche structurée. Voici un plan d’action concret pour commencer.

1. Déterminez votre champ d’application. Vérifiez si votre organisation entre dans l’une des catégories d’entités financières visées par DORA, ou si vous êtes un prestataire TIC critique désigné. Consultez l’annexe du règlement pour la liste complète des entités concernées.
2. Vérifiez si le principe de proportionnalité s’applique. Si votre organisation est une micro-entreprise, certaines exigences de gestion des risques et de tests sont allégées. Vos obligations de signalement des incidents restent toutefois pleines et entières.
3. Réalisez une analyse des écarts. Comparez votre posture actuelle en matière de gestion des risques TIC, de tests de résilience et de gestion des tiers avec les exigences précises de la règlementation DORA. Identifiez vos lacunes documentaires et techniques.
4. Bâtissez ou mettez à jour votre cadre de gestion des risques TIC. Ce cadre doit couvrir l’identification, la protection, la détection, la réponse et le rétablissement, avec l’approbation formelle de la direction générale.
5. Établissez votre registre d’information sur les prestataires TIC. Cartographiez tous vos fournisseurs technologiques, classez-les selon leur criticité, et documentez vos clauses contractuelles de sécurité.
6. Mettez en place vos procédures de signalement des incidents. Bâtissez un processus clair pour respecter les délais de 4 heures, 72 heures et un mois imposés par le règlement.
7. Planifiez vos tests de résilience. Déterminez si votre entité doit effectuer des tests de pénétration fondés sur la menace, et planifiez vos tests réguliers de résilience opérationnelle.
8. Documentez tout. Maintenez des politiques écrites, des preuves de tests, des registres d’incidents et des évaluations de risques prêts à être présentés à l’ACPR, à l’AMF ou à toute autre autorité compétente sur demande, conformément à la règlementation DORA.
9. Surveillez et améliorez en continu. La conformité DORA n’est pas un projet ponctuel. Elle exige une révision régulière de votre cadre de gestion des risques et de vos relations avec vos prestataires TIC.

Foire aux questions sur la règlementation DORA

DORA s’applique-t-elle en dehors de l’Union européenne ?

Oui, indirectement. Les prestataires TIC établis hors de l’UE qui fournissent des services critiques à des entités financières européennes peuvent être désignés comme prestataires critiques et soumis à une supervision directe par les autorités européennes.

Quelle est la différence entre DORA et NIS2 ?

NIS2 est une directive de portée générale qui couvre 18 secteurs d’infrastructures critiques. DORA est un règlement sectoriel, spécifique au secteur financier, avec des exigences plus détaillées sur la gestion des tiers TIC et les tests de résilience.

Existe-t-il une certification DORA officielle ?

Non. DORA est un texte d’application directe. Il n’existe pas de certificat accrédité équivalent à une certification ISO. La conformité se démontre par des preuves documentées et continues.

Quelles entités sont concernées par la règlementation DORA en France ?

Toutes les entités financières supervisées par l’ACPR ou l’AMF, ainsi que les prestataires TIC désignés comme critiques par les autorités européennes de supervision.

Mindsec facilite la conformité DORA

DORA peut sembler complexe, surtout avec ses cinq piliers et ses obligations documentaires précises. Avec les bons outils, elle devient tout à fait gérable.

Mindsec est une plateforme de gestion des risques, de sécurité et de réponse aux incidents qui aide les organisations à centraliser et automatiser leurs processus de conformité. Au lieu de gérer vos preuves de conformité DORA dans des chiffriers dispersés, vous pouvez tout gérer à partir d’un seul endroit.

Avec Mindsec, vous pouvez :

• Cartographier vos écarts de conformité par rapport aux cinq piliers de DORA et suivre votre progression vers la conformité complète.
• Centraliser votre registre d’information sur vos prestataires TIC, avec leur niveau de criticité et vos clauses contractuelles documentées.
• Automatiser vos flux de signalement d’incidents pour respecter les délais de 4 heures, 72 heures et un mois imposés par le règlement.
• Gérer et évaluer vos prestataires tiers afin de détecter et d’atténuer les risques liés à votre chaîne d’approvisionnement TIC.
• Générer des rapports prêts pour l’audit qui démontrent votre état de conformité à la règlementation DORA aux autorités de supervision comme l’ACPR ou l’AMF.

Mindsec prend aussi en charge la conformité avec d’autres cadres majeurs, incluant NIS2, ISO 27001, SOC 2 et NIST CSF, ce qui vous permet de gérer plusieurs exigences règlementaires à partir d’une seule plateforme grâce à notre technologie de correspondance croisée.

Vous voulez concentrer votre conformité DORA dans une seule plateforme ? Découvrez la solution DORA de Mindsec ou réservez une démo de 15 minutes.