DORA — résilience opérationnelle numérique
Digital Operational Resilience Act - Complémentaire à NIS2
Qu'est-ce que DORA ?
Le Digital Operational Resilience Act (DORA) est un règlement européen entré en vigueur en janvier 2023, applicable dès janvier 2025. Il vise à renforcer la résilience opérationnelle numérique du secteur financier face aux cybermenaces et aux incidents TIC.
DORA et NIS2 : lequel s'applique ?
La comparaison détaillée est sur une page dédiée
Type d'acte, autorité compétente en Belgique, délais de notification, tests obligatoires, régime des tiers critiques, sanctions et responsabilité des dirigeants — onze critères comparés ligne à ligne, plus la répartition domaine par domaine de ce qui relève de DORA et de ce qui reste sous NIS2.
Ce que les deux réglementations partagent
Les institutions financières soumises aux deux réglementations peuvent bénéficier d'une approche intégrée :
- Base commune : Les deux réglementations partagent des objectifs de résilience cyber
- DORA plus prescriptif : DORA complète NIS2 avec des exigences spécifiques au secteur financier
- Conformité combinée : Un SMSI ISO 27001 couvre une large partie des deux réglementations
- Resiplan : Notre plateforme SaaS adresse simultanément NIS2 et DORA
Les cinq piliers de DORA
Gouvernance et gestion des risques TIC
Établir un cadre robuste de gestion des risques liés aux technologies de l'information et de la communication
- Cadre de gestion des risques TIC documenté
- Responsabilité de l'organe de direction
- Identification et classification des actifs
- Stratégies de protection et de prévention
- Apprentissage et évolution continue
Gestion, classification et notification des incidents
Détecter, gérer et signaler les incidents liés aux TIC de manière efficace
- Processus de détection et surveillance
- Classification des incidents (majeurs/significatifs)
- Procédures de réponse aux incidents
- Reporting aux autorités compétentes
- Registre des incidents
- Communication aux clients si nécessaire
Tests de résilience opérationnelle
Tester régulièrement la capacité à résister, répondre et se rétablir
- Programme de tests approprié
- Tests d'évaluation des vulnérabilités
- Analyses de scénarios
- Tests de compatibilité
- Tests de performance
- TLPT (Threat-Led Penetration Testing) pour entités critiques
Risques liés aux prestataires TIC tiers
Gérer les risques découlant de la dépendance aux prestataires de services TIC
- Stratégie de gestion des tiers TIC
- Registre des prestataires TIC tiers
- Évaluation avant contractualisation
- Clauses contractuelles obligatoires
- Surveillance continue des prestataires
- Stratégie de sortie et de substitution
- Oversight des prestataires TIC tiers critiques
Partage d'informations
Échanger des renseignements et des informations sur les cybermenaces
- Participation aux communautés de partage
- Échange de cyber threat intelligence
- Indicateurs de compromission (IoC)
- Tactiques, techniques et procédures (TTP)
- Alertes et avertissements
- Configuration de mesures de protection
Les entités financières concernées
Établissements de crédit
Banques et institutions financières proposant des services bancaires
Entreprises d'investissement
Sociétés de bourse, gestionnaires d'actifs
Entreprises d'assurance
Compagnies d'assurance et de réassurance
Infrastructures de marché
Plateformes de trading, chambres de compensation
Gestionnaires de fonds
OPCVM, FIA, fonds de pension
Prestataires de services sur cryptoactifs
Plateformes d'échange, custodians
Prestataires de services de paiement
Émetteurs de monnaie électronique, PSP
Agences de notation
Agences de notation de crédit
L'accompagnement DORA
Gap analysis DORA
Évaluation de votre niveau de conformité par rapport aux 5 piliers de DORA
Cadre de gestion des risques TIC
Élaboration d'un framework adapté à votre organisation
Programme de tests TLPT
Mise en place de tests de pénétration threat-led
Gestion des prestataires TIC
Stratégie et processus de gestion des prestataires critiques
Reporting et gouvernance
Mise en place des processus de reporting d'incidents
Resiplan pour DORA
Notre plateforme SaaS couvre les exigences DORA de continuité et résilience
Ressources
Situer votre institution au regard de DORA
Nos experts vous accompagnent dans votre mise en conformité DORA
Approfondir DORA
DORA vs NIS2 — Articulation
Comparatif détaillé et lex specialis pour banques, assurances, prestataires TIC critiques.
Audit de la chaîne d'approvisionnement
50 points pour auditer vos prestataires TIC critiques (DORA Pilier 4 + NIS2 art. 30, § 3, 4°).
ISO 27001:2022
Une base solide pour le pilier 1 de DORA (gestion des risques TIC), mais ni les tests TLPT ni le régime des prestataires tiers critiques n'y figurent.