Cybersécurité, gestion des accès, résilience opérationnelle DORA et PCA : audit, conseil, formation et réalisation pour la finance de marché

DORA, cadre de la résilience opérationnelle numérique

Champ, gouvernance et gestion du risque lié aux TIC

Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), est applicable depuis le 17 janvier 2025 ; son texte est consultable sur EUR-Lex. L'article 2 en liste les entités : établissements de crédit, entreprises d'investissement, plateformes de négociation, contreparties centrales, dépositaires centraux, gestionnaires de fonds d'investissement alternatifs, sociétés de gestion d'OPCVM (organisme de placement collectif en valeurs mobilières), prestataires de services sur crypto-actifs, entre autres. Les prestataires tiers de services TIC entrent aussi dans le champ du texte, par le régime de surveillance des prestataires critiques. Le principe de proportionnalité (article 4) et un cadre simplifié (article 16) adaptent les exigences aux petites entités.

Le chapitre II (articles 5 à 16) place la gestion du risque lié aux technologies de l'information et de la communication sous la responsabilité de l'organe de direction : il définit, approuve et supervise le cadre, et répond de sa mise en œuvre. Le cadre couvre l'identification des fonctions et des actifs, la protection, la détection, la réponse et le rétablissement, les sauvegardes, l'apprentissage après incident et la communication. Le règlement délégué (UE) 2024/1774 en précise les outils, les méthodes et les processus.

Incidents : classification et notification (articles 17 à 23)

Le chapitre III traite de la gestion, de la classification et de la notification des incidents liés aux TIC. L'article 17 impose un processus de gestion des incidents, l'article 18 leur classification, l'article 19 la notification des incidents majeurs et la notification volontaire des cybermenaces importantes. Les articles 20 à 22 portent sur l'harmonisation des modèles, la centralisation des déclarations et le retour des autorités, l'article 23 sur les incidents liés aux paiements. Les critères de classification sont fixés par le règlement délégué (UE) 2024/1772.

Les délais figurent dans le règlement délégué (UE) 2025/301 : notification initiale dans les quatre heures suivant la classification comme majeur et au plus tard vingt-quatre heures après la prise de connaissance, rapport intermédiaire dans les soixante-douze heures après la notification initiale, rapport final au plus tard un mois après le dernier rapport intermédiaire. En France, la déclaration s'adresse à l'ACPR (Autorité de contrôle prudentiel et de résolution) ou à l'AMF (Autorité des marchés financiers) selon la nature de l'entité. Sans journalisation fiable et sans astreinte organisée, ces délais ne se tiennent pas : c'est un sujet d'organisation avant d'être un sujet d'outil.

Tests de résilience et TLPT (articles 24 à 27)

Le chapitre IV impose un programme de tests de résilience. Selon l'article 24, les entités autres que les microentreprises testent au moins une fois par an les systèmes et applications qui soutiennent des fonctions critiques ou importantes. L'article 25 énumère des tests possibles : évaluations de vulnérabilité, analyses de composants open source, revues de code, tests fondés sur des scénarios, tests de performance, tests de bout en bout et tests d'intrusion.

L'article 26 prévoit, pour les entités que leur autorité identifie, des tests d'intrusion fondés sur la menace (TLPT) au moins tous les trois ans, sur les systèmes de production qui soutiennent des fonctions critiques ou importantes. Le règlement délégué (UE) 2025/1190 en fixe les critères d'identification, le périmètre et la méthode. L'article 27 exige des testeurs de la réputation, des compétences techniques, une assurance de responsabilité professionnelle et un rapport d'assurance ou d'audit indépendant sur la maîtrise des risques liés aux tests. En France, le guide TIBER-FR décrit la déclinaison du cadre TIBER-EU (Threat Intelligence-based Ethical Red Teaming, cadre européen de tests d'intrusion fondés sur la menace). Optédif n'opère aucun de ces tests.

Prestataires tiers de services TIC et article 30

Principes, registre d'informations et risque de concentration

Le chapitre V (articles 28 à 44) traite du risque lié aux prestataires tiers. L'article 28 pose que l'entité reste pleinement responsable de ses obligations lorsqu'elle recourt à un prestataire. Elle tient un registre d'informations de tous ses accords contractuels sur les services TIC, qui distingue ceux soutenant des fonctions critiques ou importantes, et en rend compte à son autorité au moins une fois par an ; les modèles figurent dans le règlement d'exécution (UE) 2024/2956 et l'ACPR publie les modalités de remise pour ses assujettis. L'entité prévoit aussi des stratégies de sortie documentées et testées.

L'article 29 demande, avant de contracter pour une fonction critique ou importante, d'évaluer le risque de concentration : prestataire difficilement substituable, contrats multiples avec un même prestataire ou des prestataires étroitement liés, chaînes de sous-traitance longues ou situées en pays tiers. Le règlement délégué (UE) 2025/532 précise les éléments à évaluer en cas de sous-traitance.

Les clauses contractuelles de l'article 30

L'article 30 fixe les dispositions contractuelles clés. Pour tous les services TIC, le contrat décrit les services et les conditions de sous-traitance, les pays où les données sont traitées et conservées, la disponibilité, l'authenticité, l'intégrité et la confidentialité des données, l'accès aux données et leur restitution en cas d'insolvabilité ou de fin de contrat, les niveaux de service, l'assistance en cas d'incident (sans coût supplémentaire ou à un coût prédéterminé), la coopération avec les autorités, les droits de résiliation et les préavis, ainsi que la participation du prestataire aux programmes de sensibilisation et de formation de l'entité.

Pour les services qui soutiennent des fonctions critiques ou importantes, s'ajoutent des objectifs de performance quantitatifs et qualitatifs précis, des délais de préavis et des obligations de signalement, la mise en œuvre et le test de plans de continuité, la participation aux TLPT, des droits illimités d'accès, d'inspection et d'audit, et des stratégies de sortie avec une période de transition obligatoire. Une mission d'assistance technique qui constitue un service TIC pour une entité financière peut donc porter ces clauses. Nous le mentionnons dans nos propositions sans le promettre : la qualification du contrat relève de l'entité et de ses juristes.

Prestataires critiques, externalisation et cloud

L'article 31 permet aux autorités européennes de supervision de désigner les prestataires tiers critiques, soumis à un cadre de surveillance propre (articles 32 à 44). La première liste de prestataires désignés a été publiée le 18 novembre 2025. Ce statut ne dispense aucune entité de sa propre analyse : elle reste responsable de chaque contrat.

Les orientations de l'EBA (European Banking Authority, Autorité bancaire européenne) sur l'externalisation (EBA/GL/2019/02), applicables depuis le 30 septembre 2019, ont encadré le recours au cloud pour les établissements ; pour les services TIC, DORA est désormais le texte de référence. L'EBA a publié le 18 septembre 2026 de nouvelles orientations sur la gestion du risque lié aux tiers, avec une période transitoire de deux ans. Dans le même mouvement, l'ESMA (European Securities and Markets Authority, Autorité européenne des marchés financiers) a restreint ses orientations de 2021 sur le cloud à certains dépositaires, DORA couvrant le reste. Les dates exactes d'application sont à lire dans les textes.

NIS 2, résilience des entités critiques, ANSSI et normes

NIS 2 et DORA : ne pas confondre

La directive (UE) 2022/2555 (NIS 2) fixe des mesures de cybersécurité et de notification pour de nombreux secteurs. DORA constitue, pour les entités financières qu'il vise, l'acte sectoriel de l'Union qui s'applique en priorité sur la gestion du risque TIC et la notification des incidents : une société de gestion soumise à DORA ne cumule pas les deux régimes sur ces points. NIS 2 reste utile pour comprendre l'environnement, notamment celui des prestataires, par exemple des infrastructures numériques, qui peuvent relever de la directive tout en étant prestataires TIC d'une entité financière.

En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, n'était pas promulgué à la date de rédaction à notre connaissance. Il transposerait NIS 2 et la directive (UE) 2022/2557 sur la résilience des entités critiques, et adapterait le droit national à DORA. Pour les secteurs bancaire et des infrastructures de marchés financiers, la directive sur la résilience écarte une partie de ses obligations, ces secteurs relevant déjà d'exigences équivalentes. Le calendrier doit être suivi dans les textes officiels.

Référentiels de l'ANSSI et qualification des prestataires

L'ANSSI publie des guides et des méthodes largement utilisés, dont EBIOS (Expression des besoins et identification des objectifs de sécurité) Risk Manager, qui structure l'analyse de risques en cinq ateliers. Elle qualifie aussi des prestataires de services de confiance : PASSI (prestataire d'audit de la sécurité des systèmes d'information) pour l'audit de la sécurité des systèmes d'information, PRIS (prestataire de réponse aux incidents de sécurité) pour la réponse aux incidents, PDIS (prestataire de détection des incidents de sécurité) pour la détection des incidents, PACS pour l'accompagnement et le conseil en sécurité. Les référentiels d'exigences sont publiés sur son site. Optédif n'est qualifié pour aucune de ces activités. Lorsqu'un texte, un client ou un superviseur exige un prestataire qualifié, nous le disons et nous orientons vers un prestataire qualifié.

Normes ISO et certifications de personnes

La norme ISO/IEC 27001 (édition 2022, complétée en 2024 par un amendement sur le climat) fixe les exigences d'un système de management de la sécurité de l'information, l'ISO/IEC 27005 la gestion des risques associés, l'ISO 22301 (édition 2019) la continuité d'activité. La certification d'un organisme est prononcée par un organisme de certification accrédité, en France sous l'accréditation du COFRAC (Comité français d'accréditation). DORA ne se confond pas avec ces normes : s'y conformer ne vaut pas satisfaire le règlement, et inversement.

Les certifications de personnes suivent leur propre voie. Le CISA est délivré par l'ISACA (Information Systems Audit and Control Association, association professionnelle de l'audit des systèmes d'information) et le CISSP (Certified Information Systems Security Professional, certification de l'ISC2) par l'ISC2 (International Information System Security Certification Consortium, organisme de certification de la sécurité de l'information), après des examens que ces organismes organisent. Nos formations préparent aux domaines des référentiels, sans valoir examen ni certification. Il en va de même du test d'intrusion qualifié, réservé aux prestataires PASSI, et du TLPT, réservé aux testeurs de l'article 27.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons un dispositif de sécurité ou de résilience, de façon documentaire et organisationnelle. Nous conseillons sur la gouvernance, la cartographie des exigences et des prestataires, et la trajectoire de mise en œuvre. Nous concevons des politiques, des plans de continuité et des architectures d'accès. Nous déployons des outils d'identité, d'accès privilégiés, d'authentification forte et de supervision. Nous organisons des audits blancs et des exercices de crise. Nous apportons une assistance technique, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nous formons en intra-entreprise. Nos exemples reposent sur des données publiques ou de test.

Ce que nous ne faisons pas

• Nous n'exerçons aucune activité réglementée et ne formulons aucune consultation juridique : la lecture de DORA, de NIS 2 ou de la loi de transposition revient à vos juristes.
• Nous n'opérons aucun test d'intrusion ni aucun TLPT sur des systèmes de production, et nous ne sommes pas qualifiés par l'ANSSI.
• Nous ne délivrons aucune certification ISO/IEC 27001 ou ISO 22301, ni attestation de conformité à DORA ; nos audits ne remplacent pas ceux d'une autorité ou d'un organisme de certification.
• Nous ne délivrons ni CISA, ni CISSP : nos formations préparent aux matières, sans valoir examen.
• Nous n'accédons à aucune information confidentielle de marché : les missions portent sur l'organisation, les processus et les outils, avec des données de test.

Pour vérifier les textes

Consultez les sources officielles : le règlement DORA sur EUR-Lex, la page DORA de l'ACPR et le site de l'ANSSI.