Le DORA fait désormais partie de votre quotidien. Nous l'allégeons.

Le DORA est le règlement (UE) 2022/2554. Il est entré en vigueur le 16 janvier 2023 et s'applique depuis le 17 janvier 2025. Il harmonise les exigences de résilience opérationnelle numérique pour une vingtaine de types d'entités financières dans l'UE, des banques et assureurs aux établissements de paiement et prestataires de services sur crypto-actifs, et fait entrer directement les prestataires TIC tiers dans son champ d'application.

L'objectif : le secteur financier européen doit pouvoir détecter, gérer et se remettre de perturbations numériques graves sans mettre en péril la stabilité du système financier.

• Gestion des risques liés aux TIC : un dispositif documenté pour identifier, évaluer, gérer et surveiller le risque TIC.
• Gestion des incidents et signalement : les incidents TIC majeurs sont classifiés et signalés à l'autorité compétente dans les délais impartis.
• Tests de résilience numérique : des tests réguliers, jusqu'aux tests d'intrusion basés sur la menace (TLPT) pour les établissements importants.
• Gestion du risque lié aux prestataires TIC tiers : y compris le registre d'informations, le contenu contractuel minimal, le risque de concentration et les stratégies de sortie.
• Partage d'informations : échange volontaire de renseignements sur les cybermenaces entre entités financières.

Le 18 novembre 2025, les autorités européennes de surveillance ABE, AEMF et AEAPP ont désigné pour la première fois 19 prestataires TIC tiers comme critiques, des hyperscalers aux exploitants de réseaux et de centres de données, en passant par des fournisseurs spécialisés de données et services financiers. Depuis 2026, ces prestataires sont sous surveillance directe des AES, avec des contrôleurs principaux et des équipes d'examen conjointes.

Important pour les entités financières : la responsabilité opérationnelle reste de votre ressort. Si vous utilisez un prestataire critique, cette dépendance doit apparaître dans votre propre registre et votre évaluation du risque de concentration, et les enseignements de la surveillance des AES doivent alimenter votre propre gestion des risques TIC. Si un prestataire critique ne donne pas suite aux recommandations des autorités, les autorités nationales peuvent, en dernier recours, exiger des entités financières qu'elles suspendent ou mettent fin à l'utilisation de ses services.

Le registre d'informations documente tous les accords contractuels avec les prestataires TIC tiers, en signalant spécifiquement les services qui soutiennent des fonctions critiques ou importantes. Il est transmis chaque année aux AES via l'autorité de surveillance nationale.

Dès le premier cycle de transmission, les autorités ont relevé des faiblesses typiques : registres incomplets (pensez au shadow IT), plans de sortie manquants, et contrats encore en retard sur le contenu minimal des normes techniques. Pour les cycles en cours, la qualité des données est le facteur décisif. Un registre outillé, relié aux contrats, aux risques et aux fonctions, réduit considérablement les erreurs et l'effort nécessaire.

Une fois qu'un incident est classifié comme majeur, la notification initiale doit intervenir dans les quatre heures, et au plus tard 24 heures après sa détection. Elle est suivie d'un rapport intermédiaire au plus tard 72 heures après la notification initiale, puis d'un rapport final, incluant l'analyse des causes profondes, au plus tard un mois après le dernier rapport intermédiaire. Les délais sont stricts, c'est pourquoi un processus de signalement testé, outillé et doté de rôles clairs est décisif. La pratique le confirme : depuis l'entrée en application du DORA, plusieurs centaines d'incidents TIC majeurs ont été signalés rien qu'en Allemagne, dont une large part liée à des prestataires externes.

Le DORA est un règlement de l'UE, mais ses effets dépassent les frontières de l'UE. Les entreprises financières suisses ayant des filiales ou une activité commerciale dans l'UE sont concernées, tout comme les prestataires TIC suisses au service d'entités financières de l'UE : leurs clients exigent des contrats conformes au DORA, la capacité à fournir des preuves, et une coopération sur le registre d'informations. La pratique de surveillance suisse s'aligne elle aussi de plus en plus sur des principes de résilience opérationnelle comparables. Quiconque met en œuvre dès aujourd'hui la logique du DORA est bien positionné sur les deux marchés.

Le NIS2 est une directive au champ d'application large et transsectoriel, couvrant les entités essentielles et importantes. Le DORA est un règlement qui s'applique spécifiquement et directement au secteur financier. Pour les entités financières, le DORA prévaut sur le NIS2 en tant que régime sectoriel spécifique. De nombreuses organisations doivent néanmoins garder les deux référentiels à l'œil, par exemple dans des groupes comportant des entreprises financières et non financières. La SwissGRC® Platform cartographie les deux référentiels sur une seule plateforme, de sorte que les preuves ne doivent être produites qu'une seule fois.

La SwissGRC® Platform couvre les exigences du DORA comme un ensemble cohérent : un contrôle de conformité DORA avec suivi des mesures, la gestion des risques TIC et le SMSI, le registre d'informations au titre du DORA, une gestion des incidents de bout en bout avec processus de signalement, la gestion de la continuité d'activité, et la gestion du risque lié aux tiers, y compris les stratégies de sortie et les dépendances envers les prestataires critiques.

En tant que solution évolutive, elle grandit avec vous : commencez par les sujets DORA essentiels et étendez progressivement vos processus GRC à d'autres domaines. En option avec hébergement des données en Suisse, et accompagné par notre équipe, qui connaît le marché réglementé DACH pour l'avoir pratiqué pendant des années.