Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Depuis le 17 janvier 2025, il est obligatoire dans tous les États membres de l'UE : le Digital Operational Resilience Act, ou DORA. Pour les banques, les compagnies d'assurance, les entreprises d'investissement et des dizaines d'autres acteurs financiers, cela signifie : un cadre juridique fondamentalement nouveau pour la sécurité informatique et la résilience opérationnelle numérique – directement applicable, sans acte de transposition national, avec des sanctions sévères en cas de non-respect.

Ce qui était auparavant considéré en Allemagne comme une circulaire administrative – BAIT pour les banques, VAIT pour les assureurs – a été remplacé par un règlement de l'UE nettement plus concret, contraignant et strict. Teichmann a analysé systématiquement le règlement DORA dans plusieurs articles scientifiques. Le message pour la pratique est clair : considérer DORA comme une simple mise à jour des exigences informatiques existantes revient à sous-estimer l'ampleur du changement.

Qu'est-ce que DORA et pourquoi a-t-il été créé ?

Le Digital Operational Resilience Act (règlement UE 2022/2554) est le résultat d'un constat de longue date : le secteur financier est d'une importance systémique et, en même temps, technologiquement dépendant comme aucun autre. Une panne informatique majeure chez une grande banque ou un prestataire de services de paiement central peut menacer la stabilité de l'ensemble du système financier. La réglementation précédente était fragmentée : exigences nationales divergentes, lignes directrices sectorielles, normes hétérogènes. DORA crée pour la première fois un cadre européen harmonisé et contraignant pour la résilience opérationnelle numérique de l'ensemble du secteur financier (Teichmann, Digital Operational Resilience Act – EU-wide uniform IT security rules for financial institutions, BB 2025, p. 2760–2770).

L'urgence politique était réelle : la Banque centrale européenne a mis en garde dans sa Revue de la stabilité financière de 2022 contre l'augmentation des cyber-risques et le besoin croissant d'investissements dans la sécurité informatique. Les cyberattaques étatiques dans le cadre de conflits géopolitiques, les attaques de ransomwares contre les infrastructures d'importance systémique et la dépendance croissante au cloud computing ont clairement montré que les réglementations nationales ponctuelles ne suffisaient plus.

DORA poursuit un double objectif : à titre préventif, les entreprises financières doivent mettre en œuvre des cadres de gestion des risques TIC robustes pour éviter les incidents ou en limiter l'impact. À titre réactif, des processus harmonisés de gestion des incidents et de crise doivent garantir une action rapide et coordonnée en cas d'urgence (Teichmann, BB 2025, p. 2760–2770).

Qui est concerné : Presque tout le secteur financier

Le champ d'application de DORA est remarquablement vaste. Sont concernés plus de 20 types d'entreprises financières, dont les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les entreprises d'assurance et de réassurance, les sociétés de gestion de fonds d'investissement, les dépositaires centraux de titres, les contreparties centrales, les prestataires de services sur crypto-actifs selon MiCA, les agences de notation de crédit ainsi que les plates-formes de négociation et autres infrastructures de marché financier (Teichmann, BB 2025, p. 2760–2770).

Particulièrement important : DORA ne s'adresse pas seulement aux entreprises financières elles-mêmes, mais cible également, à travers la gestion des tiers, leurs prestataires de services informatiques – fournisseurs de cloud, exploitants de centres de données, éditeurs de logiciels. Les prestataires tiers critiques de TIC peuvent même être soumis à une surveillance européenne directe. Il s'agit là de l'une des innovations les plus marquantes de DORA : pour la première fois, l'ensemble de la chaîne d'approvisionnement informatique est réglementé de manière systémique.

En Allemagne, les directives VAIT, KAIT et ZAIT ont été abrogées avec effet au 17 janvier 2025. Les directives BAIT restent en vigueur à titre transitoire jusqu'à la fin de l'année 2026 pour certains petits établissements. Pour la grande majorité des institutions financières, DORA est d'ores et déjà le cadre réglementaire principal (Teichmann, DORA – Partie 1 : Un cadre juridique unifié pour la sécurité informatique et la cybersécurité, ZRFC 2025, p. 172–175).

Les cinq piliers de DORA

Premier pilier : Gestion des risques TIC. Le cœur de DORA est l'obligation de mettre en place un cadre complet de gestion des risques TIC. Toutes les entreprises financières doivent identifier, analyser, évaluer, traiter et surveiller les risques TIC en continu. Cela comprend une stratégie TIC intégrée à la stratégie globale de l'entreprise, des responsabilités claires au niveau de la direction, une gestion systématique des vulnérabilités, le chiffrement des données, la segmentation des réseaux et la gestion des pare-feux. Nouveauté significative : DORA exige explicitement que les systèmes hérités (legacy) et les nouvelles technologies fassent l'objet d'examens approfondis – le règlement reconnaissant que de nombreuses institutions financières fonctionnent avec des infrastructures informatiques obsolètes et érigeant la gestion des risques de ces anciens systèmes en obligation explicite.

Deuxième pilier : Notification des incidents majeurs liés aux TIC. DORA introduit un processus de notification harmonisé en trois étapes pour les incidents TIC majeurs. Une notification initiale doit être adressée à la BaFin dans les quatre heures suivant la classification. Une notification intermédiaire doit suivre dans les 72 heures, et un rapport final dans un délai d'un mois. Ce qui qualifie un incident de majeur est défini par DORA à l'aide de critères concrets : nombre de clients touchés, durée de l'interruption d'activité, préjudice de réputation, impact financier. DORA prévaut en tant que lex specialis – la déclaration à la BaFin remplace en principe la déclaration NIS-2 au BSI (Teichmann, BB 2025, p. 2760–2770).

Troisième pilier : Tests de résilience opérationnelle. DORA introduit des tests obligatoires et réguliers de résilience opérationnelle numérique. Toutes les entreprises financières doivent réaliser des tests de résilience de base au moins une fois par an : analyses de vulnérabilité, tests réseau, vérification de la sécurité physique, tests basés sur des scénarios. Pour les institutions d'importance systémique, s'y ajoute un élément crucial : des tests d'intrusion basés sur la menace (Threat-Led Penetration Testing, TLPT), qui doivent être menés au moins tous les trois ans par des testeurs externes accrédités sur la base de scénarios de menace actualisés (Teichmann, DORA – Partie 2 : Gestion des risques TIC, tests de résilience et contrôle des tiers, ZRFC 2025, p. 273–278).

Quatrième pilier : Gestion du risque lié aux prestataires tiers de TIC. C'est peut-être l'innovation la plus impactante pour la pratique. DORA exige des entreprises financières qu'elles gèrent systématiquement l'ensemble de leur dépendance vis-à-vis des prestataires informatiques externes – avec des exigences minimales pour les contrats, une surveillance continue, des stratégies de sortie et des analyses de concentration des risques. Les contrats avec les prestataires de TIC devront à l'avenir comporter des clauses obligatoires : description complète des services, indicateurs de performance, exigences de sécurité, droits d'audit pour l'entreprise financière et l'autorité de contrôle, ainsi que des règles de continuité d'activité et de sortie. Les contrats existants doivent être adaptés en conséquence. Pour les prestataires TIC qualifiés de critiques, DORA crée un outil inédit : une surveillance européenne directe exercée par l'ABE, l'AEAPP ou l'AEMF (Teichmann, ZRFC 2025, p. 273–278).

Cinquième pilier : Partage d'informations. DORA encourage explicitement les entreprises financières à échanger entre elles des informations sur les cybermenaces, dans des limites juridiques clairement définies. Les informations sur les menaces, les schémas d'attaque et les enseignements tirés des incidents doivent être partagés afin de renforcer la résilience de l'ensemble du secteur.

Gouvernance : La résilience informatique devient une affaire de direction

Un principe central de DORA est la responsabilité explicite de l'organe de direction. Celui-ci assume la responsabilité finale de la gestion des risques TIC. Il doit définir et approuver la stratégie TIC, posséder des compétences suffisantes en matière de risques informatiques et suivre des formations régulières. Un membre du conseil d'administration qui déclarerait ne rien comprendre à la sécurité informatique ne répond plus aux exigences de DORA (Teichmann, DORA – Partie 3 : Responsabilité de gouvernance et risques de conformité, ZRFC 2025, p. 279–283).

Teichmann analyse que les exigences de gouvernance de DORA, combinées au droit général des sociétés, peuvent engager la responsabilité civile personnelle des dirigeants si les obligations en matière de TIC ont été négligées de manière systématique et que des dommages en découlent (Teichmann, ZRFC 2025, p. 279–283).

Ce que les professionnels doivent faire maintenant

DORA n'est pas une nouveauté absolue pour de nombreuses institutions financières – son contenu recoupe largement les directives BAIT, MaRisk et les orientations de l'ABE. La différence décisive réside dans le caractère contraignant et le niveau de détail. Ce qui n'était auparavant formulé que sous forme d'attentes de l'autorité de contrôle dispose désormais de la force d'un règlement d'application directe assorti de sanctions immédiates.

Concrètement, les institutions financières doivent principalement combler trois lacunes. La première concerne la gestion des tiers : les contrats existants avec les prestataires informatiques doivent être audités et adaptés pour être conformes à DORA – en particulier les contrats de cloud, qui manquent souvent de droits d'audit suffisants et de clauses de sortie. La deuxième lacune concerne le régime de tests : les tests d'intrusion selon la norme TLPT sont nouveaux pour de nombreux établissements et nécessitent une préparation organisationnelle. La troisième lacune concerne la planification d'urgence : DORA exige explicitement que des scénarios tels que les événements climatiques, les attaques internes et les pannes d'électricité à grande échelle soient pris en compte dans les plans de continuité d'activité – des exigences que de nombreux concepts de PCA actuels ne couvrent pas (Teichmann, ZRFC 2025, p. 273–278).

Conclusion : DORA n'est pas une simple case à cocher – c'est une évolution culturelle

DORA est bien plus qu'une simple réglementation supplémentaire à valider passivement. C'est un mandat donné à l'ensemble du secteur financier européen consistant à appréhender la sécurité informatique et la résilience opérationnelle numérique comme une mission hautement stratégique – et non comme un simple sujet technique secondaire.

Les recherches de Teichmann démontrent que les institutions financières qui prennent DORA au sérieux et l'appliquent rigoureusement renforcent leur résistance aux cyberattaques, sécurisent leurs relations avec les autorités de contrôle et, en fin de compte, inspirent une plus grande confiance à leurs clients et partenaires commerciaux. DORA ne marque pas une fin en soi, mais le début d'une nouvelle ère de résilience numérique réglementée dans le secteur financier.

Toutes les sources font référence à des publications scientifiques du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est documentée dans la liste des publications (à jour en mai 2026).