Le règlement sur la résilience opérationnelle numérique (DORA) est en vigueur dans toute l’UE depuis janvier 2025, et il a changé le sens du mot « résilience » pour les institutions financières. Pendant des années, la résilience opérationnelle a été traitée surtout comme une question de continuité et de reprise après sinistre. DORA la redéfinit comme une discipline permanente, testable et portée au niveau du conseil d’administration — avec des attentes explicites sur la façon dont les entreprises gèrent le risque technologique et les tiers dont elles dépendent.

La forme de l’obligation

DORA organise ses exigences autour de quelques thèmes interconnectés :

  • Gestion du risque informatique — un cadre structuré pour identifier le risque technologique, s’en protéger, le détecter et s’en rétablir.
  • Notification des incidents — une classification cohérente et une notification rapide des incidents majeurs liés aux TIC.
  • Tests de résilience — des tests réguliers des systèmes, allant jusqu’aux tests d’intrusion fondés sur la menace pour les entreprises les plus importantes.
  • Risque lié aux tiers — une gestion et une surveillance actives des prestataires TIC dont dépend une entreprise, plutôt que de se fier au contrat et de détourner le regard.
  • Partage d’informations — une coopération sur les cybermenaces à l’échelle du secteur.
DORA considère la résilience comme une chose que l’on démontre en continu, et non que l’on affirme dans un document de politique.

Pourquoi c’est un défi d’ingénierie et de processus

Il est tentant de lire DORA comme un programme de conformité, mais l’essentiel de son poids porte sur la manière dont les systèmes sont réellement construits et exploités. Une résilience testable exige une véritable observabilité, une reprise fiable et des pratiques d’ingénierie de la qualité qui tiennent sous tension. La notification des incidents exige une détection et une classification qui ne fonctionnent que si la supervision sous-jacente est solide. Et la gestion du risque lié aux tiers exige de comprendre votre véritable carte des dépendances — y compris les prestataires derrière vos prestataires.

À quoi ressemble une bonne pratique

  • Une carte des dépendances qui reflète la réalité, incluant les tiers TIC critiques et le risque de concentration.
  • Une résilience conçue et testée comme une propriété d’ingénierie, et non décrite dans un classeur.
  • Une détection et une notification des incidents intégrées à la même supervision qui tourne au quotidien.
  • Une responsabilité et une gouvernance claires, afin que la résilience ait un propriétaire plutôt que d’être l’affaire de tous et de personne.

Les entreprises qui traitent DORA comme une occasion de renforcer réellement la façon dont elles construisent et exploitent leur technologie — plutôt que comme un exercice de reporting — sont celles qui en tirent une valeur durable, bien au-delà de la réglementation elle-même.