Depuis le 17 janvier 2025, la réglementation européenne DORA (Digital Operational Resilience Act) est officiellement entrée en vigueur. Son ambition est claire : renforcer la résilience opérationnelle du secteur financier face aux cybermenaces. Et cette fois, il ne s’agit plus seulement de sécurité technique, mais d’une transformation profonde des pratiques, des outils… et des relations avec les prestataires.
Alors, que change vraiment ce nouveau texte ? Et surtout, quelles conséquences concrètes pour les institutions financières et leurs partenaires technologiques comme QuickSign ?
Retour sur notre tout premier webinaire de l’année, où juristes, experts cybersécurité et auditeurs ont confronté leurs points de vue.
DORA : une nouveauté ? Pas vraiment. Un tournant ? Assurément.
À première vue, DORA ne réinvente pas la roue. La gestion des risques liés à la cybersécurité, à la sous-traitance ou à la continuité d’activité est déjà bien connue des DSI et des RSSI. L’EBA avait posé des jalons dès 2019, le droit français avait introduit la notion de prestataires de services essentiels externalisés (PSEE), et les certifications comme ISO 27001 sont largement diffusées.
Mais avec DORA, ce n’est plus une simple recommandation. C’est une exigence réglementaire forte, transversale, et auditable, qui impose une gouvernance opérationnelle robuste, bien au-delà des outils.
Comme le résume Armel Trotin, fondatrice du cabinet LSTI :
“Ce n’est plus seulement une question de sécurité, mais de résilience : anticiper, absorber, réagir, et repartir vite.”
Ce que DORA impose concrètement (et pourquoi c’est structurant)
Accompagnée du cabinet LSTI, l’équipe QuickSign a passé au crible les grands piliers du règlement DORA. Chaque pilier impacte directement les services financiers… et par extension, leurs prestataires.
Premier axe : la gestion du risque lié aux prestataires.
DORA élargit considérablement le périmètre de responsabilité. Les établissements doivent désormais piloter toute leur chaîne de sous-traitance, y compris les sous-traitants de leurs sous-traitants. Cela implique des clauses contractuelles renforcées, des processus de due diligence, une logique de réversibilité et une vigilance accrue sur les conflits d’intérêts.
Deuxième exigence : la gestion des incidents IT.
Les institutions financières doivent être en mesure de détecter, classifier, notifier et résoudre un incident critique en moins de 4 heures. Chez QuickSign, cette logique est déjà intégrée dans une gouvernance industrielle : supervision temps réel, communication proactive avec les clients, exercices de crise réguliers…
Troisième volet : les tests de résilience.
DORA pousse les acteurs du secteur à évaluer leur capacité à encaisser une crise – qu’il s’agisse d’une attaque externe, d’un dysfonctionnement interne ou d’un enchaînement d’erreurs humaines. Cela implique de déployer des tests d’intrusion, des campagnes de phishing, des audits de configuration ou encore des exercices de red team.
Enfin, DORA impose une gouvernance intégrée.
Les différentes exigences ne doivent pas être traitées en silos, mais au sein d’un pilotage global. Chez QuickSign, cette démarche s’appuie sur les fondations de l’ISO 27001, qui structure l’ensemble de notre gouvernance cyber – en cohérence avec les volets RGPD et eIDAS également concernés.
DORA : contrainte ou levier stratégique ?
La mise en conformité DORA est un défi, c’est certain. Mais c’est aussi une opportunité majeure pour professionnaliser la sécurité, renforcer la relation de confiance entre prestataires et institutions financières, et démontrer une maîtrise fine des risques.
Comme le souligne Ahmed Boussadia, RSSI chez QuickSign :
“DORA, c’est un défi. Mais aussi une formidable opportunité pour industrialiser la sécurité.”
Vous souhaitez en savoir plus ? Regardez la vidéo :
Rédigé par Nicolas G.
