Conformité DORA
Sans engagement
DORA : les règles de sécurité informatique du secteur financier, expliquées et mises en place simplement
DORA est un règlement européen qui renforce la sécurité informatique du secteur financier. Il concerne les banques, mais aussi les courtiers, les mutuelles, les cabinets et leurs prestataires informatiques. Nous vous aidons à comprendre ce qu’il attend de vous et à le mettre en place de façon proportionnée.
Pour qui
Courtiers, mutuelles, sociétés de gestion et prestataires du secteur
Ce que vous obtenez
Une position claire sur votre statut au regard de DORA
Rythme
Calendrier réaliste après l’analyse d’écart, puis revue annuelle
Tarif
Sur devis, après le cadrage
DORA s’applique, et les demandes arrivent
Depuis le 17 janvier 2025, le règlement européen DORA est applicable. Vous êtes courtier en assurance, mutuelle, société de gestion, ou prestataire informatique d’un acteur financier, et vous recevez des demandes nouvelles : annexes contractuelles, questionnaires de sécurité, demandes de plan de continuité, tests à prévoir.
Le texte est long, technique, et pensé d’abord pour de grandes structures. Vous avez besoin de savoir ce qui s’applique à votre taille, ce que vos partenaires peuvent légitimement vous demander, et comment y répondre sans mobiliser toute votre équipe.
DORA en quelques mots
DORA, pour Digital Operational Resilience Act, est un règlement européen sur la résilience opérationnelle numérique du secteur financier. La résilience, c’est la capacité à continuer de fonctionner, ou à redémarrer vite, malgré une panne ou une cyberattaque. Comme il s’agit d’un règlement et non d’une directive, il s’applique directement dans tous les pays de l’Union, sans loi de transposition.
Il s’articule autour de cinq grands piliers :
- la gestion des risques liés aux technologies de l’information et de la communication (TIC) ;
- la gestion, la classification et la notification des incidents liés aux TIC ;
- les tests de résilience opérationnelle numérique ;
- la gestion des risques liés aux prestataires TIC tiers ;
- le partage d’informations sur les menaces.
Qui est concerné par la conformité DORA ?
Les entités financières
Banques, établissements de paiement, entreprises d’assurance et de réassurance, sociétés de gestion, et certains intermédiaires d’assurance. Le règlement prévoit un principe de proportionnalité : les exigences sont adaptées à la taille et au profil de risque. Les intermédiaires d’assurance et de réassurance (courtiers, agents, intermédiaires à titre accessoire) qui sont des microentreprises ou des PME peuvent être exclus du champ de DORA (article 2) ; nous vérifions votre cas. Au sens européen, une PME compte moins de 250 salariés et réalise au plus 50 millions d’euros de chiffre d’affaires ou 43 millions d’euros de bilan. D’autres petites structures, comme les petites entreprises d’investissement non interconnectées ou certains établissements de paiement et de monnaie électronique exemptés, appliquent un cadre allégé (article 16). Nous vérifions votre situation au cas par cas.
Les prestataires TIC du secteur financier
Hébergeurs, éditeurs de logiciels, infogéreurs, prestataires de maintenance : si vous fournissez des services informatiques à une entité financière, celle-ci doit encadrer contractuellement votre relation, évaluer vos risques et pouvoir vous auditer. Vous êtes donc directement sollicité, même si DORA ne vous vise pas en tant qu’entité financière.
Les cabinets qui travaillent avec le secteur
Cabinets d’expertise comptable, de conseil ou de gestion qui traitent des données ou des processus pour des acteurs financiers peuvent également recevoir des exigences de leurs clients. Voir notre page dédiée aux experts-comptables.
Ce que nous faisons pour votre conformité DORA
Le fondateur de CyberIris a été RSSI d’une mutuelle. Il connaît de l’intérieur les attentes du secteur financier en matière de sécurité, de contrôle et de relations avec les prestataires. Nous mettons cette expérience au service de structures de taille humaine.
- Nous déterminons votre position : entité financière, prestataire TIC, ou partenaire indirect.
- Nous réalisons une analyse d’écart entre vos pratiques et les exigences des cinq piliers.
- Nous construisons ou complétons votre cadre de gestion des risques TIC et votre registre des prestataires.
- Nous préparons votre procédure de classification et de notification des incidents.
- Nous vous aidons à relire et négocier les clauses contractuelles DORA, côté client ou côté prestataire.
- Nous organisons des tests de résilience adaptés, comme un test d’intrusion ou un exercice de restauration de sauvegarde.
- Nous renforçons les mesures techniques : surveillance par un SOC managé, sauvegarde externalisée immuable hébergée en France, protection des postes.
Comment ça se passe
1
Cadrage
Nous identifions votre rôle au regard de DORA et les demandes déjà reçues de vos partenaires.
2
Analyse d’écart
Nous comparons votre organisation aux exigences, pilier par pilier, avec un audit de cybersécurité si nécessaire.
3
Plan d’action
Vous recevez une feuille de route priorisée et proportionnée à votre taille.
4
Mise en œuvre
Nous rédigeons les documents, mettons en place les mesures et préparons les preuves attendues.
5
Pilotage continu
Revue annuelle, suivi des prestataires, tests réguliers : un RSSI externalisé peut prendre ce rôle.
Ce que vous obtenez
- Une position claire sur votre statut au regard de DORA.
- Un rapport d’écart pilier par pilier.
- Un cadre de gestion des risques TIC documenté.
- Un registre de vos prestataires TIC et une méthode pour les évaluer.
- Une procédure de gestion et de notification des incidents.
- Des réponses argumentées aux questionnaires et annexes contractuelles de vos partenaires.
Tarif
Sur devis
Le prix varie selon votre statut (entité financière ou prestataire), la taille de votre structure et le niveau de documentation existant. Devis après le cadrage.
Pour qui
- Courtiers et intermédiaires en assurance.
- Mutuelles et institutions de prévoyance.
- Sociétés de gestion et conseillers financiers.
- Prestataires informatiques, éditeurs et hébergeurs travaillant pour le secteur financier.
- Cabinets d’expertise comptable et de conseil en relation avec des acteurs financiers.
Votre activité relève aussi d’autres textes ? Consultez notre page accompagnement NIS2 ou la vue d’ensemble de notre accompagnement conformité cybersécurité. Nous intervenons partout en France, depuis nos agences des Hauts-de-France et de Savoie, voir nos zones d’intervention.
David et son équipe son de très bons conseils et seront à vos côtés pour organiser et mettre en œuvre votre protection cyber adaptée à vos besoins. Je recommande à tous points de vues.
Questions fréquentes sur la conformité DORA
Vos questions
DORA est-il déjà applicable ?
Oui. Le règlement DORA s’applique depuis le 17 janvier 2025 dans tous les pays de l’Union européenne, sans transposition nationale.
Je suis courtier en assurance, suis-je concerné ?
Les intermédiaires d’assurance figurent parmi les entités visées, mais certaines petites structures peuvent être exclues ou bénéficier d’un régime allégé selon leur taille. Nous vérifions votre situation précise lors du cadrage.
Je suis prestataire informatique d’une mutuelle, que va-t-on me demander ?
Votre client doit encadrer contractuellement votre prestation : niveaux de service, localisation des données, droit d’audit, gestion des incidents, plan de sortie. Il vous demandera aussi des preuves de vos mesures de sécurité. Nous vous aidons à y répondre.
Quelle différence entre DORA et NIS2 ?
NIS2 couvre de nombreux secteurs, DORA est spécifique au secteur financier et plus détaillé. Pour une entité financière, DORA prime sur NIS2 sur les sujets qu’il traite. Notre page NIS2 détaille l’autre texte.
DORA impose-t-il des tests d’intrusion ?
Toutes les entités doivent tester leur résilience de façon proportionnée. Les tests avancés fondés sur la menace ne concernent que les entités les plus importantes. Pour une PME, des tests d’intrusion ciblés et des exercices de restauration sont souvent adaptés.
Combien de temps faut-il pour se mettre en conformité ?
Cela dépend de votre point de départ. Comme le règlement est déjà applicable, nous commençons par les mesures prioritaires, puis complétons progressivement. Nous vous donnons un calendrier réaliste après l’analyse d’écart.
Pouvez-vous remplacer notre fonction de contrôle des risques TIC ?
Nous pouvons tenir ce rôle de façon externalisée, en lien avec votre direction, dans le cadre d’un RSSI à temps partagé. La responsabilité finale reste celle de votre organe de direction, comme le prévoit DORA.
Un premier échange gratuit
Laissez-nous vos coordonnées, nous vous rappelons pour un premier échange gratuit et sans engagement.
- Votre message est lu personnellement
- Nous vous rappelons dans la journée (jours ouvrés)
- Prestataire référencé sur Cybermalveillance.gouv.fr
Avançons sur DORA, simplement
Expliquez-nous votre situation et les demandes reçues. Nous vous aidons à prioriser.
Ou appelez-nous au 06 30 39 95 06.