DORA en pratique : ce que les acteurs financiers doivent vraiment démontrer pendant une crise cyber

DORA n’est pas un énième cadre de gestion des risques

Le règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA) est entré en application dans l’Union européenne en janvier 2025. Pour les banques, assureurs, sociétés de gestion, établissements de paiement et prestataires informatiques critiques qui les servent, c’est un changement structurel : les régulateurs ne veulent plus voir des politiques, ils veulent voir une résilience opérationnelle démontrée sous stress.

Autrement dit, DORA ne demande pas « avez-vous un plan ? », il demande « êtes-vous réellement capable d’exécuter ce plan quand la moitié de vos systèmes sont chiffrés un dimanche à 3h du matin ? »

Ce n’est pas du tout la même question.

Les cinq piliers DORA en langage clair

Pilier	Ce que cela signifie en opérations
Gestion du risque ICT	Un registre des risques vivant, porté par le conseil d’administration, mis à jour en continu.
Notification d’incidents	Notification des incidents majeurs au régulateur dans des délais stricts, avec des champs structurés et un suivi.
Tests de résilience opérationnelle	TLPT (Threat-Led Penetration Testing) régulier pour les entités significatives, plus exercices tabletop et tests de reprise.
Risque tiers ICT	Inventaire complet des prestataires critiques, garanties contractuelles, stratégies de sortie et analyse de concentration.
Partage d’informations	Coopération volontaire avec les pairs et les autorités pour anticiper les menaces émergentes.

Tous ces piliers convergent vers la même réalité opérationnelle pendant une vraie crise : le régulateur finira par demander des preuves.

Ce que « preuves » signifie vraiment

Les régulateurs n’acceptent pas les captures d’écran. Sous DORA, les preuves doivent être :

• Horodatées - chaque action, chaque décision, chaque notification, à la seconde près.
• Inaltérables - des journaux qui ne peuvent pas être réécrits silencieusement a posteriori.
• Reconstructibles - vous pouvez rejouer la crise chronologiquement, heure par heure, rôle par rôle.
• Indépendantes - si vos outils collaboratifs ont été compromis, les preuves restent intactes parce qu’elles vivent ailleurs.

Ce dernier point est celui que les institutions sous-estiment le plus. Si votre réponse à incident tourne sur le même tenant Microsoft 365 ou sur le même partage que votre environnement de production, un seul rançongiciel peut détruire à la fois vos opérations et les preuves dont vous avez besoin pour démontrer votre réponse.

Trois capacités concrètes à bâtir dès maintenant

Si vous êtes RSSI, COO ou responsable des risques dans un établissement financier, concentrez-vous sur trois capacités opérationnelles :

1. Communications de crise hors bande

Votre cellule de crise doit pouvoir se réunir, échanger, partager des documents et assigner des tâches sans dépendre de l’IT sous attaque. Cela implique une plateforme dédiée, hébergée hors de votre périmètre de production, accessible depuis des appareils personnels et protégée par une gestion d’identité indépendante.

2. Pistes de décision auditables

Chaque instruction émise pendant la crise - « isoler les contrôleurs de domaine », « notifier l’ACPR », « activer l’assurance », « communiquer aux clients à 9h » - doit être capturée automatiquement avec auteur, horodatage et contexte. Le but n’est pas la surveillance ; c’est de pouvoir reconstruire la chronologie quand le régulateur et le conseil le demandent.

3. Notifications pré-rédigées et adaptées aux juridictions

Les délais de notification DORA sont courts. Les banques opérant dans plusieurs juridictions doivent aussi traiter en parallèle le RGPD, NIS2, les régulateurs sectoriels et les notifications contractuelles aux clients. Des modèles pré-rédigés, mappés aux scénarios et juridictions, font gagner des heures quand chaque minute compte.

Comment PanicSafe soutient la conformité DORA

PanicSafe a été conçu précisément pour ce cahier des charges. Il fournit une cellule de crise activable instantanément, indépendante de l’IT, avec chat, vidéo et stockage de documents chiffrés de bout en bout ; une main courante automatique et immuable qui produit exactement le type de piste horodatée que DORA attend ; et un moteur de playbooks structurés qui s’aligne avec la classification des incidents et les flux de notification. Pour nos partenaires dans le secteur financier, cela raccourcit l’écart entre avoir un programme DORA et être démontrablement résilient.

En conclusion

Les institutions qui passeront le contrôle DORA sans difficulté ne sont pas celles qui ont les politiques de risque les plus épaisses - ce sont celles dont les équipes savent gérer une crise avec discipline, traçabilité et indépendance. Le travail pour bâtir cette capacité se fait avant que l’alarme ne sonne, pas après. Échangez avec notre équipe si vous souhaitez confronter votre dispositif actuel aux attentes opérationnelles de DORA.