DORA : ce que le règlement exige et ce qu'apporte ISO 27001

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, appelé DORA (Digital Operational Resilience Act), s’applique depuis le 17 janvier 2025. C’est un règlement et non une directive : il s’applique directement dans tous les États membres, sans loi de transposition.

Son objectif est qu’une entité financière puisse résister à un incident informatique grave, y répondre et reprendre son activité, y compris quand l’incident survient chez l’un de ses prestataires.

Le règlement vise une vingtaine de catégories d’entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, sociétés de gestion, entreprises d’assurance et de réassurance, intermédiaires d’assurance, institutions de retraite professionnelle et infrastructures de marché. Les prestataires de services TIC de ces entités (hébergeurs, fournisseurs cloud, éditeurs, infogéreurs) sont concernés à leur tour, par les contrats qui les lient à leurs clients financiers.

Les exigences sont proportionnées à la taille, au profil de risque et à la nature des activités de chaque entité. Les plus petites relèvent d’un cadre de gestion des risques simplifié.

En France, le contrôle revient à l’ACPR pour les banques, les assurances et les établissements de paiement, et à l’AMF pour les acteurs des marchés financiers.

Pour les entités qu’il couvre, DORA prime sur la directive NIS2 : c’est le texte de référence du secteur financier pour la gestion des risques numériques et la notification des incidents.

La gestion des risques liés aux TIC. L’entité doit disposer d’un cadre documenté de gestion des risques informatiques, approuvé par son organe de direction, qui en porte la responsabilité. Ce cadre couvre l’identification des actifs, la protection, la détection, la réponse aux incidents, les sauvegardes et la reprise d’activité. Il est revu au moins une fois par an.

La gestion et la notification des incidents. Les incidents liés aux TIC sont classés selon des critères harmonisés au niveau européen. Un incident jugé majeur est notifié à l’autorité compétente selon un calendrier serré : notification initiale dans les quatre heures suivant sa classification et au plus tard 24 heures après sa détection, rapport intermédiaire sous 72 heures, rapport final sous un mois.

Les tests de résilience opérationnelle numérique. L’entité conduit un programme de tests : évaluations de vulnérabilités, tests de scénarios, tests de performance, revues de code source. Les entités désignées par leur autorité réalisent en outre, au moins tous les trois ans, des tests de pénétration fondés sur la menace (TLPT), menés sur leurs systèmes de production.

La gestion du risque lié aux prestataires TIC. L’entité tient un registre d’informations recensant tous ses contrats de services TIC et le transmet à son autorité. Les contrats portant sur des fonctions critiques ou importantes contiennent des clauses imposées par le règlement. L’entité prévoit des stratégies de sortie et analyse son risque de concentration sur un même fournisseur.

Le partage d’informations. Les entités financières peuvent échanger entre elles des renseignements sur les cybermenaces, dans un cadre de confiance. Ce pilier est facultatif.

ISO/IEC 27001 certifie un système de management de la sécurité de l’information : une démarche fondée sur l’appréciation des risques, l’engagement de la direction et l’amélioration continue. C’est la logique du premier pilier de DORA.

ISO 22301 certifie un système de management de la continuité d’activité : bilan d’impact sur l’activité, plans de continuité et de reprise, exercices réguliers. Elle répond à la partie « réponse et rétablissement » du règlement.

Une organisation certifiée ISO 27001 et ISO 22301 a donc construit une part importante du socle demandé par DORA. Elle n’est pas conforme pour autant. Le règlement ne prévoit aucune certification, et ses exigences de notification, de tests et de gestion contractuelle vont au-delà de ce que demandent les deux normes.

DORA crée un cadre de surveillance européen pour les prestataires TIC jugés critiques pour le système financier, en particulier les grands fournisseurs cloud. Ils sont désignés par les autorités européennes de supervision (ABE, AEAPP et AEMF) et placés sous la surveillance d’un superviseur principal, qui peut mener des inspections, émettre des recommandations et infliger des astreintes.

Les autres prestataires sont concernés par l’intermédiaire de leurs clients financiers, qui doivent les évaluer avant de signer, inscrire le contrat au registre, imposer les clauses prévues par le règlement (niveaux de service, localisation des données, droit d’audit, assistance en cas d’incident, conditions de résiliation) et les suivre pendant toute la durée du contrat. Le prestataire reçoit donc des questionnaires, des demandes de preuves et parfois des audits.

Un certificat ISO 27001 délivré sous accréditation donne au client une preuve tierce du système de management de son prestataire, sur un périmètre défini et vérifié chaque année par un audit de surveillance. Il ne remplace pas l’évaluation que DORA impose au client, mais il en allège une partie. Les hébergeurs et fournisseurs cloud qui servent le secteur financier y ajoutent souvent les extensions ISO 27017 et 27018.

DORA attend des preuves documentées : un cadre de gestion des risques approuvé par la direction, des rapports de revue, un registre d’informations à jour, des résultats de tests, des rapports d’incidents. L’autorité compétente contrôle sur pièces et sur place.

Un certificat ISO 27001 ne figure pas parmi les pièces exigées par le règlement. Il apporte autre chose : la démonstration qu’un système de management fonctionne réellement, évalué par un tiers indépendant selon une méthode reconnue, avec des écarts identifiés et traités. L’auditeur de certification vérifie la conformité à la norme, pas au règlement. Dans un dossier DORA, le certificat est un élément de contexte solide, pas une réponse en soi.

Pour une entité financière, un système de management certifié structure la gestion des risques TIC et offre une base évaluée chaque année par un organisme extérieur. ISO 22301 y ajoute une preuve de la continuité d’activité, que le règlement place au centre de la résilience opérationnelle.

Pour un prestataire TIC, le certificat est une réponse standardisée aux exigences de sécurité de ses clients financiers. Le périmètre inscrit sur le certificat indique précisément quels services et quels sites ont été évalués.

Dans les deux cas, la portée du certificat compte. Un certificat dont le périmètre exclut les systèmes qui soutiennent des fonctions critiques ou importantes apporte peu face aux exigences du règlement.

Certi-Trust certifie les systèmes de management ISO 27001 sous accréditation COFRAC n° 4-0612, portée consultable sur cofrac.fr. Nous certifions également les systèmes de management de la continuité d’activité selon ISO 22301.

Nous intervenons comme organisme d’évaluation : nous ne conseillons ni sur la mise en conformité DORA ni sur la conception de votre système de management, conformément à ISO/IEC 17021-1.

Pour aller plus loin : la certification ISO 27001, la certification ISO 22301, les entités concernées par NIS2 et les certifications des hébergeurs et du cloud.

Depuis quand DORA s’applique-t-il ?
Le règlement est entré en vigueur le 16 janvier 2023 et s’applique depuis le 17 janvier 2025. Les normes techniques qui en précisent les exigences ont été adoptées par la Commission européenne au cours de cette période.

DORA impose-t-il une certification ?
Non. Le règlement fixe des obligations de résultat et de documentation, sans exiger de certification. ISO 27001 et ISO 22301 couvrent une partie de ces obligations et en apportent une preuve évaluée par un tiers.

Un prestataire informatique est-il soumis à DORA ?
Indirectement, par les contrats qui le lient à ses clients financiers. Seuls les prestataires désignés comme critiques par les autorités européennes de supervision sont soumis directement à une surveillance.

DORA ou NIS2 pour un établissement financier ?
DORA prime sur NIS2 pour les entités qu’il couvre. Les deux textes partagent une même logique de gestion des risques liés aux technologies de l’information.