Pour le secteur financier, la question n’est plus « est-ce qu’un incident IT majeur surviendra ? » mais « combien de temps nous faudra-t-il pour repartir ? ». C’est exactement le terrain sur lequel le règlement européen DORA (Digital Operational Resilience Act) déplace les exigences.
De quoi parle-t-on, concrètement ?
DORA impose aux entités financières — banques, assurances, sociétés de gestion, prestataires de paiement — de démontrer leur capacité à résister, réagir et se rétablir face à une perturbation de leur système d’information. Là où la conformité se concentrait hier sur la prévention, DORA met l’accent sur la résilience de bout en bout.
Quatre piliers structurent le règlement :
- Gestion des risques IT : cartographier ses actifs, ses dépendances et ses points de défaillance.
- Gestion et notification des incidents : détecter, classifier et déclarer les incidents majeurs dans des délais courts.
- Tests de résilience : éprouver régulièrement ses dispositifs, jusqu’aux tests d’intrusion avancés pour les acteurs les plus exposés.
- Gestion des prestataires tiers critiques : maîtriser sa chaîne de sous-traitance, en particulier les fournisseurs cloud.
Le vrai chantier : les dépendances
La plupart des organisations connaissent leurs applications. Beaucoup moins maîtrisent la carte complète de leurs dépendances : quel service repose sur quel fournisseur, quelle base, quelle région cloud ? C’est pourtant là que se cachent les angles morts d’un plan de reprise.
Un travail de cartographie sérieux répond à des questions simples mais redoutables : si ce fournisseur tombe, qu’est-ce qui s’arrête ? Combien de temps pour basculer ? Qui décide, et avec quelles données ?
Par où commencer
La conformité DORA n’est pas un projet « big bang ». L’approche qui fonctionne est progressive :
- Diagnostic de l’existant face aux exigences (gap analysis).
- Cartographie des actifs critiques et de leurs dépendances.
- Priorisation par le risque réel, et non par la longueur d’une checklist.
- Industrialisation des tests de résilience et de la détection d’incidents.
- Encadrement contractuel des prestataires critiques.
Transformer la contrainte en avantage
Bien menée, la mise en conformité DORA n’est pas qu’une obligation : c’est l’occasion de fiabiliser durablement sa production, de réduire ses incidents et de gagner la confiance de ses clients et régulateurs. La résilience devient un argument, pas seulement une case à cocher.
Chez Elevon, nous accompagnons les acteurs de la finance et de l’assurance sur exactement ces sujets : cartographie des dépendances, résilience cloud, DevSecOps et pilotage des programmes de mise en conformité.
Envie d’échanger sur votre trajectoire DORA ? Parlons-en.