DORA et les banques : gestion des risques TIC, prestataires critiques et tests de résilience

Un règlement pleinement applicable depuis janvier 2025

Adopté le 14 décembre 2022, le règlement DORA (UE 2022/2554) est entré en vigueur le 16 janvier 2023 et s'applique intégralement depuis le 17 janvier 2025. Il concerne directement les établissements de crédit, mais aussi les établissements de paiement, les établissements de monnaie électronique et les entreprises d'investissement — soit une bonne partie de l'écosystème bancaire au sens large, aux côtés des assureurs et des prestataires de services sur crypto-actifs.

Pourquoi les banques sont en première ligne

Le secteur bancaire figure parmi les cibles les plus fréquentes des attaques de la chaîne d'approvisionnement : selon le Data Breach Investigations Report de Verizon, le secteur financier a été la deuxième cible la plus fréquente des attaques visant les chaînes de sous-traitance. Une enquête de la Commodity Futures Trading Commission menée en 2022 auprès de 130 institutions financières mondiales a montré que 74 % d'entre elles avaient subi au moins une attaque par ransomware sur l'année précédente. DORA vient structurer une réponse réglementaire harmonisée à ce constat.

Ce que DORA impose concrètement aux banques

• Un cadre de gestion du risque lié aux TIC, avec gouvernance, cartographie des systèmes critiques et politiques de gestion des vulnérabilités — l'Autorité bancaire européenne (EBA) a d'ailleurs amendé ses propres lignes directrices sur la gestion des risques TIC et de sécurité pour les mettre en cohérence avec DORA.
• Une obligation de notification des incidents TIC majeurs, avec une classification standardisée et des délais précis de remontée aux superviseurs.
• Deux niveaux de tests de résilience : des tests de base annuels (scans de vulnérabilité, tests de continuité) obligatoires pour tous les établissements, et des tests de pénétration fondés sur la menace (TLPT), réservés aux banques d'importance systémique, à réaliser tous les trois ans.
• Un encadrement strict des prestataires TIC tiers : évaluation du risque de concentration avant signature, clauses contractuelles obligatoires sur les droits d'audit, d'accès et les stratégies de sortie, prévues à l'article 30(2) du règlement, renforcées pour les fonctions « critiques ou importantes » comme le traitement des paiements ou l'authentification client.
• Une participation encouragée aux dispositifs de partage d'information sur les cybermenaces entre établissements.

La supervision directe des prestataires TIC critiques, désormais une réalité

Le 18 novembre 2025, les autorités européennes de surveillance (EBA, ESMA, EIOPA) ont publié la toute première liste des prestataires de services TIC désignés comme « critiques » au niveau européen. Conformément aux articles 31 à 44 du règlement, cette désignation déclenche une supervision directe du prestataire par l'une des trois autorités, avec des obligations renforcées : transmission régulière d'informations, participation à des tests de résilience numérique et respect d'exigences de sécurité spécifiques. Pour une banque, cela signifie que le choix d'un fournisseur cloud ou d'un éditeur de cœur bancaire ne relève plus seulement d'un arbitrage technique ou financier interne : c'est désormais un facteur de risque réglementaire à part entière.

Le calendrier réglementaire à connaître

• 14 décembre 2022 : adoption du règlement DORA par le Parlement et le Conseil européens.
• 17 janvier 2025 : entrée en application pleine et entière.
• 15 avril 2025 : remise du registre d'informations TIC aux autorités compétentes (ACPR en France), transmis ensuite à l'EBA, l'ESMA et l'EIOPA.
• Juillet 2025 : publication par les autorités européennes de surveillance d'un guide détaillé sur les activités de supervision des prestataires critiques.
• 18 novembre 2025 : publication de la première liste des prestataires TIC désignés critiques au niveau européen.

L'impact pour les équipes data, risque et IT des banques

Dans les faits, DORA pousse les banques à traiter leur dette technique et leur dépendance aux fournisseurs cloud comme un risque de premier plan, documenté et testé au même titre que le risque de crédit ou de marché. Les équipes data se retrouvent en première ligne : ce sont souvent elles qui pilotent les plateformes analytiques, les moteurs de scoring et les infrastructures cloud désormais soumises à cartographie systématique. Les banques qui avaient déjà engagé une démarche de gouvernance des données robuste avant 2025 abordent ces obligations avec un avantage structurel net sur celles qui découvrent l'ampleur de leur dépendance technologique au moment de constituer leur registre d'informations.

En résumé

DORA transforme la résilience numérique en obligation réglementaire à part entière pour les banques européennes, avec un calendrier déjà largement engagé : registre remis, premiers prestataires critiques désignés, tests TLPT en cours de déploiement pour les établissements systémiques. La question n'est plus de savoir si une banque doit s'y conformer, mais à quelle vitesse elle referme les écarts identifiés dans son propre registre.