Tous les plans de contrôle

Plan de contrôle DORA

Plan de contrôle DORA (règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier). 44 points de contrôle, chacun relié à l'article et à sa source officielle. Modèle Excel (plan de contrôle) et Word (rapport) gratuits. Vérifié le 2026-10-18.

Droit applicable

Règlement (UE) 2022/2554, non modifié, directement applicable depuis le 17 janvier 2025 (art. 64), complété notamment par les règlements délégués (UE) 2024/1774, 2024/1772, 2024/1773, 2025/301 et 2025/1190 et par le règlement d'exécution (UE) 2024/2956. Selon la FAQ de l'ACPR, le calendrier du projet de loi « Résilience » est sans conséquence sur ces exigences, et le registre d'informations lui est remis chaque année au plus tard le 31 mars (données au 31 décembre précédent) : prochaine remise le 31 mars 2027.

Qui est soumis

Entités financières de l'art. 2 § 1, points a) à t) : établissements de crédit, de paiement et de monnaie électronique (y compris exemptés), prestataires de services d'information sur les comptes, entreprises d'investissement, prestataires de services sur crypto-actifs, émetteurs de jetons se référant à des actifs, DCT, CCP, plates-formes de négociation, référentiels centraux et des titrisations, gestionnaires de FIA, sociétés de gestion, assureurs, intermédiaires d'assurance, IRP, agences de notation, administrateurs d'indices critiques, etc., hors exclusions de l'art. 2 § 3.

Textes de référence

Les 44 points de contrôle

Gouvernance

  1. DORA-01 (Critique) : Dans un cadre de gouvernance et de contrôle interne assurant une gestion efficace et prudente du risque TIC, l'organe de direction définit, approuve, supervise et répond de la mise en œuvre du cadre de gestion du risque TIC, en assume la responsabilité ultime, fixe des stratégies visant des normes élevées de disponibilité, authenticité, intégrité et confidentialité des données, définit les rôles des fonctions TIC et approuve la stratégie de résilience, tolérance au risque TIC comprise. DORA, art. 5 § 1 et § 2, points a) à d), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 5 : gouvernance et organisation. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  2. DORA-02 (Élevée) : L'organe de direction approuve, supervise et examine périodiquement la politique de continuité des activités de TIC et les plans de réponse et de rétablissement, approuve et examine périodiquement les plans internes d'audit des TIC, les audits des TIC et leurs modifications significatives, et alloue et réexamine le budget nécessaire à la résilience opérationnelle numérique, sensibilisation et formation comprises. DORA, art. 5 § 2, points e) à g), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 5 : gouvernance et organisation. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  3. DORA-03 (Élevée) : L'organe de direction approuve et examine périodiquement la politique d'utilisation des services TIC fournis par des prestataires tiers et met en place des canaux de notification l'informant des accords conclus, des changements significatifs prévus chez les prestataires, de leurs incidences sur les fonctions critiques ou importantes et, au minimum, des incidents majeurs liés aux TIC et des mesures prises. DORA, art. 5 § 2, points h) et i), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 5 : gouvernance et organisation. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  4. DORA-04 (Moyenne) : L'entité institue un rôle de suivi des accords conclus avec des prestataires tiers de services TIC, ou désigne un membre de la direction générale chargé de superviser l'exposition aux risques correspondante et la documentation pertinente. DORA, art. 5 § 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 5 : gouvernance et organisation. Applicabilité : Hors microentreprises (moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€, art. 3, point 60) et hors entités du cadre simplifié de l'art. 16 § 1
  5. DORA-05 (Élevée) : Les membres de l'organe de direction maintiennent activement à jour des connaissances et compétences suffisantes pour comprendre et évaluer le risque lié aux TIC et son incidence sur les opérations, notamment en suivant régulièrement une formation spécifique proportionnée à ce risque. DORA, art. 5 § 4, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 5 : gouvernance et organisation. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  6. DORA-06 (Élevée) : L'entité élabore des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, intégrés aux programmes de formation sous forme de modules obligatoires destinés à tous les employés et aux membres de la direction, d'une complexité proportionnée à leurs fonctions, en y incluant le cas échéant les prestataires tiers de services TIC. DORA, art. 13 § 6, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 13 : apprentissage et évolution. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)

Cadre de gestion du risque TIC

  1. DORA-07 (Critique) : L'entité dispose d'un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, intégré au système global de gestion des risques, comprenant au moins les stratégies, politiques, procédures, protocoles et outils nécessaires pour protéger tous les actifs informationnels et de TIC, y compris les composantes physiques (locaux, centres de données). Elle fournit à l'autorité compétente, à sa demande, des informations complètes sur ce risque et ce cadre. DORA, art. 6 § 1 à 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 6 : cadre de gestion du risque lié aux TIC. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  2. DORA-08 (Élevée) : La gestion et la surveillance du risque TIC sont confiées à une fonction de contrôle d'une indépendance appropriée, avec une séparation adéquate des fonctions de gestion du risque TIC, de contrôle et d'audit interne (trois lignes de défense ou modèle équivalent). Le cadre fait l'objet d'audits internes réguliers par des auditeurs compétents et indépendants, et un processus de suivi formel garantit la correction en temps utile des constatations d'importance critique de l'audit des TIC. DORA, art. 6 § 4, 6 et 7, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 6 : cadre de gestion du risque lié aux TIC. Applicabilité : Hors microentreprises (moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€, art. 3, point 60) et hors entités du cadre simplifié de l'art. 16 § 1
  3. DORA-09 (Élevée) : Le cadre est documenté et réexaminé au moins une fois par an (périodiquement pour les microentreprises), ainsi qu'après un incident majeur lié aux TIC et selon les instructions des autorités ou les conclusions des tests et audits. Il est amélioré en permanence. Le rapport de réexamen est présenté à l'autorité à sa demande, dans un format électronique interrogeable et avec le contenu fixé par le règlement délégué 2024/1774. DORA, art. 6 § 5 ; règlement délégué (UE) 2024/1774, art. 27, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 6 : cadre de gestion du risque lié aux TIC. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  4. DORA-10 (Élevée) : Le cadre comprend une stratégie de résilience opérationnelle numérique qui explique comment il soutient la stratégie d'entreprise, fixe la tolérance au risque TIC, définit des objectifs de sécurité de l'information avec indicateurs clés de performance et de risque, décrit l'architecture TIC de référence, les mécanismes de détection et de prévention, la situation de résilience, les tests prévus et une stratégie de communication sur les incidents. DORA, art. 6 § 8, points a) à h), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 6 : cadre de gestion du risque lié aux TIC. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  5. DORA-11 (Critique) : L'entité identifie, classe et documente les fonctions métiers, rôles et responsabilités s'appuyant sur les TIC, les actifs qui les soutiennent et leurs dépendances (classification revue au moins une fois par an) ; identifie en continu les sources de risque TIC et revoit au moins une fois par an les scénarios de risque ; inventorie les actifs, y compris critiques, et les processus dépendant de prestataires tiers ; tient ces inventaires à jour. DORA, art. 8 § 1, 2, 4, 5 et 6, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 8 : identification. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  6. DORA-12 (Élevée) : L'entité procède à une évaluation des risques à chaque modification importante de l'infrastructure, des processus ou des procédures affectant ses fonctions ou actifs TIC, et au moins une fois par an à une évaluation spécifique du risque sur tous les systèmes TIC hérités, ainsi qu'avant et après la connexion de technologies, d'applications ou de systèmes. DORA, art. 8 § 3 et 7, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 8 : identification. Applicabilité : Hors microentreprises (moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€, art. 3, point 60) et hors entités du cadre simplifié de l'art. 16 § 1
  7. DORA-13 (Élevée) : L'entité réalise un examen post-incident après tout incident majeur ayant perturbé ses activités principales (causes, respect des procédures, célérité de la réponse, analyse technico-légale, remontée, communication), intègre en continu les enseignements des tests et incidents dans l'évaluation du risque TIC, suit l'évolution de ce risque, et les responsables TIC rendent compte au moins une fois par an à l'organe de direction avec des recommandations. DORA, art. 13 § 2 à 5, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 13 : apprentissage et évolution. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)

Protection et continuité

  1. DORA-14 (Moyenne) : L'entité utilise et tient à jour des systèmes, protocoles et outils de TIC adaptés à l'ampleur de ses opérations, fiables, dotés d'une capacité suffisante pour traiter les données avec exactitude et absorber les pics de volume, et suffisamment résilients pour faire face aux situations de tensions sur les marchés. DORA, art. 7, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 7 : systèmes, protocoles et outils de TIC. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  2. DORA-15 (Critique) : L'entité assure un suivi permanent de la sécurité et du fonctionnement des systèmes TIC, met en œuvre des politiques et outils de sécurité garantissant la résilience et la disponibilité des systèmes, notamment ceux soutenant des fonctions critiques ou importantes, et élabore et documente une politique de sécurité de l'information protégeant la disponibilité, l'authenticité, l'intégrité et la confidentialité des données, y compris celles des clients. DORA, art. 9 § 1, 2 et 4, point a), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 9 : protection et prévention. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  3. DORA-16 (Élevée) : L'entité instaure une gestion solide des réseaux, conçue pour permettre une déconnexion instantanée ou segmentée limitant la contagion ; limite l'accès physique et logique aux actifs au strict nécessaire par des politiques de droits d'accès ; met en œuvre des mécanismes d'authentification forte et des mesures de protection des clés de chiffrement fondés sur la classification des données et l'évaluation du risque. DORA, art. 9 § 4, points b) à d), et deuxième alinéa, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 9 : protection et prévention. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  4. DORA-17 (Élevée) : L'entité met en œuvre des politiques, procédures et contrôles documentés de gestion des changements dans les TIC (logiciels, matériels, micrologiciels, systèmes, paramètres de sécurité), fondés sur une évaluation des risques, afin que tous les changements soient consignés, testés, évalués, approuvés, mis en œuvre et vérifiés de manière contrôlée. Le processus est approuvé par la structure hiérarchique appropriée et comporte des protocoles spécifiques. DORA, art. 9 § 4, point e), et troisième alinéa, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 9 : protection et prévention. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  5. DORA-18 (Élevée) : L'entité dispose de stratégies documentées en matière de correctifs et de mises à jour. Le règlement délégué 2024/1774 précise les procédures de gestion des vulnérabilités et des correctifs, dont des scans automatisés au moins hebdomadaires des actifs soutenant des fonctions critiques ou importantes, et des délais d'installation des correctifs avec procédure de remontée. DORA, art. 9 § 4, point f) ; règlement délégué (UE) 2024/1774, art. 10, EUR-Lex : Règlement délégué (UE) 2024/1774, article 10 : gestion des vulnérabilités et des correctifs. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  6. DORA-19 (Élevée) : L'entité met en place des mécanismes de détection rapide des activités anormales, des problèmes de performance et des incidents liés aux TIC, ainsi que des points uniques de défaillance, avec plusieurs niveaux de contrôle, des seuils d'alerte, des critères de déclenchement de la réponse et des alertes automatiques. Elle y consacre des ressources suffisantes et teste régulièrement ces mécanismes. DORA, art. 10 § 1 à 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 10 : détection. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  7. DORA-20 (Critique) : L'entité se dote d'une politique de continuité des activités de TIC intégrée à sa politique globale de continuité, mise en œuvre par des plans documentés garantissant la continuité des fonctions critiques ou importantes, y compris externalisées. Elle réalise une analyse des incidences sur les activités en cas de graves perturbations et tient un registre facile d'accès des activités menées avant et pendant les perturbations. DORA, art. 11 § 1, 2, 4, 5 et 8, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 11 : réponse et rétablissement. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  8. DORA-21 (Élevée) : L'entité teste les plans de continuité et de réponse et rétablissement des TIC au moins une fois par an et en cas de modification substantielle des systèmes soutenant des fonctions critiques ou importantes, teste ses plans de communication de crise et réexamine ses plans au vu des résultats. Hors microentreprises, les tests incluent des scénarios de cyberattaque et de basculement vers les capacités redondantes. DORA, art. 11 § 6, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 11 : réponse et rétablissement. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  9. DORA-22 (Élevée) : Les plans de réponse et de rétablissement des TIC font l'objet de revues indépendantes de l'audit interne, et l'entité dispose d'une fonction de gestion de crise qui définit, lors de l'activation des plans, des procédures claires de communication interne et externe. DORA, art. 11 § 3 et 7, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 11 : réponse et rétablissement. Applicabilité : Hors microentreprises (moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€, art. 3, point 60) et hors entités du cadre simplifié de l'art. 16 § 1
  10. DORA-23 (Critique) : L'entité définit et documente des politiques et procédures de sauvegarde (périmètre des données, fréquence minimale selon la criticité) et des procédures de restauration et de rétablissement, met en place des systèmes de sauvegarde activables sans compromettre la sécurité, teste périodiquement ces procédures et, lorsqu'elle restaure avec ses propres systèmes, utilise des systèmes séparés physiquement et logiquement du système source. DORA, art. 12 § 1 à 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 12 : politiques et procédures de sauvegarde, procédures et méthodes de restauration et de rétablissement. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  11. DORA-24 (Élevée) : L'entité fixe pour chaque fonction des objectifs de délai et de point de rétablissement tenant compte de sa criticité, effectue après un incident les contrôles et rapprochements garantissant l'intégrité des données, et maintient des capacités TIC redondantes adéquates (les microentreprises en évaluent la nécessité selon leur profil de risque). DORA, art. 12 § 4, 6 et 7, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 12 : politiques et procédures de sauvegarde, procédures et méthodes de restauration et de rétablissement. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)
  12. DORA-25 (Moyenne) : L'entité met en place des plans de communication de crise favorisant une divulgation responsable des incidents majeurs ou vulnérabilités majeures aux clients, contreparties et, le cas échéant, au public, des politiques de communication interne et externe distinguant le personnel impliqué, et désigne au moins une personne chargée de la stratégie de communication sur les incidents et de l'information du public et des médias. DORA, art. 14, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 14 : communication. Applicabilité : Hors cadre simplifié (art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP)

Cadre simplifié

  1. DORA-26 (Critique) : Les entités de l'art. 16 § 1 mettent en place un cadre de gestion du risque TIC solide et documenté, surveillent en permanence la sécurité de leurs systèmes, utilisent des outils résilients et actualisés, détectent et traitent rapidement les incidents et recensent leurs principales dépendances aux prestataires. Le cadre est réexaminé périodiquement et après un incident majeur ; le rapport de réexamen est remis à l'autorité à sa demande. DORA, art. 16 § 1, deuxième alinéa, points a) à e), et § 2 ; règlement délégué (UE) 2024/1774, art. 28 et 41, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 16 : cadre simplifié de gestion du risque lié aux TIC. Applicabilité : Entités de l'art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP
  2. DORA-27 (Élevée) : Les entités de l'art. 16 § 1 assurent la continuité des fonctions critiques ou importantes par des plans de continuité et des mesures de réponse et de rétablissement incluant sauvegarde et restauration, les testent régulièrement (au moins une fois par an pour la sauvegarde et la restauration, ou à chaque modification majeure du plan, selon le règlement délégué 2024/1774), intègrent les enseignements des tests et incidents et forment personnel et direction selon leur profil de risque. DORA, art. 16 § 1, deuxième alinéa, points f) à h) ; règlement délégué (UE) 2024/1774, art. 39 et 40, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 16 : cadre simplifié de gestion du risque lié aux TIC. Applicabilité : Entités de l'art. 16 § 1 : petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, établissements exemptés (dir. 2013/36/UE), petites IRP

Incidents et cybermenaces

  1. DORA-28 (Critique) : L'entité établit un processus de gestion des incidents liés aux TIC pour les détecter, les gérer et les notifier ; elle enregistre tous les incidents et les cybermenaces importantes, identifie et traite leurs causes originelles. Le processus prévoit des indicateurs d'alerte précoce, la classification des incidents, les rôles à activer, les plans de communication et l'information des dirigeants et de l'organe de direction sur les incidents majeurs. DORA, art. 17, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 17 : processus de gestion des incidents liés aux TIC
  2. DORA-29 (Élevée) : L'entité classe les incidents selon les critères de l'art. 18 (clients et transactions, durée, répartition géographique, pertes de données, criticité des services, conséquences économiques). Un incident est majeur s'il touche des services critiques et atteint le seuil d'accès malveillant non autorisé ou au moins deux autres seuils du règlement délégué 2024/1772 ; les incidents récurrents (deux en six mois, même cause) sont évalués chaque mois, sauf microentreprises et entités de l'art. 16 § 1. DORA, art. 18 § 1 et 2 ; règlement délégué (UE) 2024/1772, art. 8 et 9, EUR-Lex : Règlement délégué (UE) 2024/1772, article 8 : incidents majeurs
  3. DORA-30 (Critique) : L'entité déclare les incidents majeurs à l'autorité compétente : notification initiale le plus tôt possible et au plus tard 4 h après la classification comme majeur et 24 h après en avoir eu connaissance (ou 4 h après une classification tardive), rapport intermédiaire au plus tard 72 h après la notification initiale, rapport final au plus tard un mois après le dernier rapport intermédiaire. Si un délai ne peut être tenu, elle en informe l'autorité au plus tard à son expiration, motifs à l'appui. DORA, art. 19 § 1 et 4, et art. 23 ; règlement délégué (UE) 2025/301, art. 5, EUR-Lex : Règlement délégué (UE) 2025/301, article 5 : délais pour la notification initiale et pour les rapports intermédiaire et final
  4. DORA-31 (Élevée) : Lorsqu'un incident majeur a une incidence sur les intérêts financiers des clients, l'entité les informe sans retard injustifié de l'incident et des mesures prises pour en atténuer les effets. En cas de cybermenace importante, elle informe, le cas échéant, les clients susceptibles d'être affectés des mesures de protection qu'ils pourraient prendre. DORA, art. 19 § 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 19 : déclaration des incidents majeurs liés aux TIC et notification volontaire des cybermenaces importantes
  5. DORA-32 (Moyenne) : La participation à des dispositifs de partage d'informations sur les cybermenaces est facultative. Lorsque l'entité y participe, elle notifie aux autorités compétentes sa participation lors de la validation de son adhésion et, le cas échéant, la cessation de celle-ci lorsqu'elle prend effet. DORA, art. 45 § 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 45 : dispositifs de partage d'informations et de renseignements sur les cybermenaces. Applicabilité : Entités participant, sur une base volontaire, à un dispositif de partage d'informations sur les cybermenaces (art. 45 § 1)

Tests de résilience

  1. DORA-33 (Élevée) : L'entité établit, maintient et réexamine un programme de tests de résilience opérationnelle numérique fondé sur les risques et intégré au cadre de gestion du risque TIC, fait réaliser les tests par des parties indépendantes, internes ou externes, hiérarchise et corrige toutes les faiblesses relevées, et teste au moins une fois par an tous les systèmes et applications soutenant des fonctions critiques ou importantes. DORA, art. 24, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 24 : exigences générales applicables à la réalisation de tests de résilience opérationnelle numérique. Applicabilité : Hors microentreprises : moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€ (art. 3, point 60), qualification exclue pour plates-formes de négociation, CCP, référentiels centraux et DCT
  2. DORA-34 (Moyenne) : Le programme prévoit des tests appropriés, tels qu'évaluations de vulnérabilité, analyses de sources ouvertes, évaluations de la sécurité des réseaux, analyses d'écarts, examens de sécurité physique, examens du code source lorsque c'est possible, tests de scénarios, de performance, de bout en bout et d'intrusion. Les microentreprises combinent une approche par les risques et une planification stratégique des tests ; DCT et CCP évaluent les vulnérabilités avant tout déploiement ou redéploiement. DORA, art. 25, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 25 : test des outils et systèmes de TIC
  3. DORA-35 (Élevée) : L'entité désignée réalise au moins tous les trois ans un test d'intrusion fondé sur la menace (TLPT) sur des systèmes en production soutenant plusieurs ou toutes ses fonctions critiques ou importantes, dans le périmètre validé par l'autorité. Dans les huit semaines suivant la notification de l'autorité sur les rapports des équipes rouge et bleue, elle soumet le rapport de synthèse et fournit les plans de mesures correctives et la documentation ; elle notifie ensuite l'attestation reçue. DORA, art. 26 § 1, 2, 6 et 7 ; règlement délégué (UE) 2025/1190, art. 12 § 7 et art. 13 § 1, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 26 : tests avancés d'outils, de systèmes et de processus de TIC sur la base de tests d'intrusion fondés sur la menace. Applicabilité : Entités désignées par l'autorité (art. 26 § 8, troisième alinéa ; critères : règlement délégué 2025/1190, art. 2), hors microentreprises et entités de l'art. 16 § 1 ; liste non publique selon la FAQ de l'ACPR
  4. DORA-36 (Moyenne) : Les testeurs TLPT présentent les garanties de l'art. 27 § 1 (aptitude et réputation les plus élevées, expertise en renseignement sur les menaces et red team, certification ou code de conduite, assurance indépendante, assurance de responsabilité civile professionnelle). Les testeurs internes supposent l'approbation de l'autorité et un fournisseur de renseignements externe, et un testeur externe tous les trois tests ; les établissements de crédit importants n'utilisent que des testeurs externes. DORA, art. 27 et art. 26 § 8, premier et deuxième alinéas, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 27 : exigences applicables aux testeurs afin de réaliser des tests d'intrusion fondés sur la menace. Applicabilité : Entités désignées pour réaliser un TLPT (art. 26 § 8, troisième alinéa)

Prestataires tiers TIC

  1. DORA-37 (Élevée) : L'entité adopte et réexamine régulièrement une stratégie en matière de risques liés aux prestataires tiers de services TIC, comprenant une politique relative aux services TIC soutenant des fonctions critiques ou importantes ; l'organe de direction examine régulièrement les risques correspondants et réexamine la politique au moins une fois par an (règlement délégué 2024/1773). DORA, art. 28 § 2 ; règlement délégué (UE) 2024/1773, art. 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 28 : principes généraux (prestataires tiers de services TIC). Applicabilité : Hors microentreprises (moins de 10 personnes et CA et/ou bilan annuel ≤ 2 M€, art. 3, point 60) et hors entités du cadre simplifié de l'art. 16 § 1
  2. DORA-38 (Critique) : L'entité tient et met à jour, aux niveaux de l'entité, sous-consolidé et consolidé, un registre d'informations de tous ses accords de services TIC, distinguant ceux soutenant des fonctions critiques, selon les modèles du règlement d'exécution 2024/2956 (LEI ou EUID). Elle déclare chaque année à l'autorité ses nouveaux accords (art. 28 § 3, al. 3) et lui remet le registre sur demande. Selon la FAQ de l'ACPR, le registre lui est remis chaque année au plus tard le 31 mars (données au 31 décembre). DORA, art. 28 § 3, alinéas 1 à 4 ; règlement d'exécution (UE) 2024/2956, art. 3 à 6 ; FAQ DORA de l'ACPR, Q-B3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 28 : principes généraux (prestataires tiers de services TIC)
  3. DORA-39 (Élevée) : L'entité informe en temps utile l'autorité compétente de tout projet d'accord portant sur des services TIC soutenant des fonctions critiques ou importantes, ainsi que lorsqu'une fonction est devenue critique ou importante. Dans l'attente d'une instruction, l'ACPR demande dans sa FAQ (hors supervision directe de la BCE) cette information au plus tard six semaines avant l'entrée en vigueur de la sous-traitance. DORA, art. 28 § 3, cinquième alinéa ; FAQ DORA de l'ACPR, Q-B11 (pratique de l'autorité), EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 28 : principes généraux (prestataires tiers de services TIC)
  4. DORA-40 (Élevée) : Avant de conclure un accord de services TIC, l'entité détermine s'il soutient une fonction critique ou importante, vérifie les conditions de surveillance, évalue tous les risques pertinents, dont le risque de concentration, exerce une diligence appropriée sur le prestataire et évalue les conflits d'intérêts. Elle ne contracte qu'avec des prestataires respectant des normes adéquates de sécurité de l'information. DORA, art. 28 § 4 et 5 ; règlement délégué (UE) 2024/1773, art. 5 et 6, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 28 : principes généraux (prestataires tiers de services TIC)
  5. DORA-41 (Moyenne) : Pour un accord soutenant des fonctions critiques ou importantes, l'entité évalue s'il conduirait à recourir à un prestataire difficilement substituable ou à multiplier les accords avec un même prestataire, compare les solutions alternatives, évalue les risques de la sous-traitance (notamment dans un pays tiers), le droit de l'insolvabilité applicable et, pour un prestataire d'un pays tiers, le respect des règles de protection des données. DORA, art. 29, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 29 : évaluation préliminaire du risque de concentration de TIC au niveau de l'entité
  6. DORA-42 (Élevée) : Les accords de services TIC peuvent être résiliés dans les cas de l'art. 28 § 7. Pour les services soutenant des fonctions critiques ou importantes, l'entité met en place des stratégies de sortie et des plans de sortie complets, documentés, testés et réexaminés, avec solutions alternatives, plans de transition et mesures d'urgence ; le règlement délégué 2024/1773 exige un plan de sortie documenté pour chaque accord concerné. DORA, art. 28 § 7 et 8 ; règlement délégué (UE) 2024/1773, art. 10, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 28 : principes généraux (prestataires tiers de services TIC)
  7. DORA-43 (Élevée) : Les droits et obligations sont consignés dans un document écrit unique, accords de niveau de service compris. Tout contrat de services TIC comporte au moins : description des services et conditions de sous-traitance, lieux de prestation et de traitement des données, protection et restitution des données, niveaux de service, assistance en cas d'incident, coopération avec les autorités, droits de résiliation et préavis, participation aux formations. DORA, art. 30 § 1 et 2, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 30 : principales dispositions contractuelles
  8. DORA-44 (Critique) : Les contrats portant sur des services soutenant des fonctions critiques ou importantes comportent en outre : niveaux de service avec objectifs quantitatifs et qualitatifs, préavis et obligations de notification du prestataire, plans d'urgence et mesures de sécurité testés, participation aux TLPT, droits illimités d'accès, d'inspection et d'audit (délégables pour une microentreprise) et période de transition obligatoire en cas de sortie. DORA, art. 30 § 3, EUR-Lex : Règlement (UE) 2022/2554 (DORA), article 30 : principales dispositions contractuelles

Ce que le plan ne couvre pas