01 ·
Gestion du risque ICT
Un cadre documenté de gestion du risque ICT approuvé par l'organe de direction : la responsabilité incombe au conseil, pas seulement à l'IT. Cartographie des actifs, protection, détection, réponse et rétablissement.
DORA : la résilience se mesure, elle ne se déclare pas.
DORA impose aux entités financières une résilience opérationnelle numérique démontrable : risque ICT gouverné par le conseil, incidents majeurs notifiés en quelques heures, tests guidés par la menace réelle. Une attaque contre le secteur financier n'est pas un événement de bilan : c'est quelqu'un, avec un nom et des TTP connues.
Cadre réglementaire
Règl. (UE) 2022/2554
RTS 2025/301
TIBER-EU
ESAs · EBA · ESMA · EIOPA
Supervision France
ACPR
AMF
Les cinq piliers DORA
Cinq obligations, une exigence implicite : la capacité opérationnelle.
DORA ne demande pas des politiques : il demande de détecter, classifier, notifier, tester et superviser. Chaque pilier présuppose une opération qui fonctionne réellement, 24·7·365.
02 ·
Notification des incidents
Classification des incidents ICT et notification des incidents majeurs au superviseur : 4 heures après la classification, rapport intermédiaire à 72 heures, rapport final sous 1 mois. Modèles harmonisés (RTS 2025/301).
03 ·
Tests de résilience
Un programme de tests proportionné au risque, jusqu'aux TLPT fondés sur TIBER-EU au moins tous les 3 ans pour les entités importantes : des scénarios construits sur les acteurs qui ciblent réellement le secteur.
04 ·
Risque ICT des tiers
Registre des contrats ICT, clauses obligatoires, stratégies de sortie, supervision européenne directe des prestataires critiques. La résilience de votre fournisseur devient une partie de la vôtre.
05 ·
Partage d'informations
Échange volontaire de cyber threat intelligence entre entités financières : IOC, TTP, alertes sectorielles. La défense du secteur est collective ou n'est pas.
Proof · les délais que DORA présuppose
Notifier en 4 heures exige de détecter en minutes.
4h
notification initiale
après classification (≤24h après détection)
après classification (≤24h après détection)
<15 min
TTD médian Fortgale
de la télémétrie à l'alerte
de la télémétrie à l'alerte
<30 min
TTC médian Fortgale
de la détection à l'action de l'analyste
de la détection à l'action de l'analyste
287
groupes adverses et outils
d'attaque suivis par la CTI
d'attaque suivis par la CTI
Périmètre
Qui est concerné par DORA.
Plus de 20 catégories d'entités financières : banques, entreprises d'investissement, assureurs et réassureurs, établissements de paiement et de monnaie électronique, gestionnaires de fonds, plateformes de négociation, prestataires de services sur crypto-actifs, plus les prestataires ICT critiques désignés. Contrairement à NIS2, DORA est un règlement : identique dans toute l'UE, sans transposition nationale, applicable depuis le 17 janvier 2025.
Après DORA · 2026
Après DORA : les demandes 2026 de la BCE, des ESAs et des superviseurs nationaux.
DORA reste la base : aucune des communications de 2026 ne crée une norme nouvelle. Elles demandent en revanche de démontrer, avec une échéance et un responsable désigné, que les dispositifs tiennent aussi face à des attaques qui utilisent l'intelligence artificielle.
07/07/2026 ·
BCE · lettre « Addressing AI-enabled cybersecurity threats »
Adressée aux dirigeants des banques importantes : plan d'action remis aux Joint Supervisory Teams au plus tard le 31/10/2026. La phase suivante est en cours : analyse horizontale de la BCE et suivi des JST ; l'IT Risk Questionnaire est reporté à février 2027.
17/07/2026 ·
Superviseurs nationaux · Banca d'Italia et IVASS
En Italie, la Banca d'Italia (banques moins importantes et intermédiaires supervisés) et l'IVASS (assureurs et réassureurs) ont publié leurs propres communications le 17/07/2026, selon la même logique : résilience face aux menaces dopées à l'IA, évaluée par l'organe de direction, avec un plan, un responsable et un rapport au superviseur au plus tard le 31/12/2026, en complément de DORA. En France, l'ACPR et l'AMF restent les interlocuteurs pour les notifications et les contrôles au titre de DORA.
07/07/2026 ·
CERS · Alerte ESRB/2026/3
Le Comité européen du risque systémique classe le risque cyber systémique comme « severe » : le secteur doit se préparer à un incident disruptif, pas débattre de sa probabilité.
31/07/2026 ·
ESAs · Statement JC 2026 25
Gouvernance et supervision cohérente des risques des modèles d'IA de frontière : aucune obligation nouvelle, mais l'attente que l'usage de l'IA et les menaces dopées à l'IA s'inscrivent dans le cadre de gestion du risque ICT de DORA.
Les référentiels nationaux s'alignent aussi : en Italie, la Banca d'Italia a abrogé en février 2026 les sections ICT de la Circulaire 285 et renvoie directement à DORA. Les exigences se trouvent dans le règlement et ses RTS, pas dans des lignes directrices nationales.
Pilier 4 · tiers
Registre d'informations et prestataires ICT tiers.
L'article 28 de DORA impose à chaque entité financière un registre d'informations sur tous les accords contractuels avec des prestataires ICT tiers, tenu à jour et disponible pour l'autorité. Un service MDR, SOC ou CTI géré est un service ICT : Fortgale figure dans votre registre comme prestataire ICT tiers, et sa résilience devient une partie de la vôtre. Les clauses contractuelles de l'article 30 (description du service et des niveaux, localisation des données, droits d'accès et d'audit, assistance en cas d'incident, stratégie de sortie) sont reflétées dans le contrat de service ; les preuves sur l'organisation, les sites, la continuité et le traitement des données sont réunies dans le trust center, prêtes pour la due diligence préalable et la revue périodique.
Comment Fortgale soutient DORA
Trois capacités, trois piliers couverts.
Piliers 1-2
MDR · détection et notification
Détection et confinement en minutes, preuves et chronologie prêtes pour la notification en 4 heures. La classification repose sur des faits, pas sur des estimations.
Découvrir MDR →Piliers 3-5
CTI · scénarios et TLPT
Intelligence sur 287 groupes adverses et outils d'attaque suivis : scénarios threat-led pour les tests TIBER-EU et contribution au partage sectoriel.
Découvrir CTI →Secteur
Banque & Finance
La verticale Fortgale pour le secteur financier : acteurs actifs contre les banques européennes, cas documentés et architecture du service.
Vers la verticale →FAQ
Questions fréquentes sur DORA.
Qui est concerné par le règlement DORA ?
Les entités financières de l'UE : banques, entreprises d'investissement, assureurs, établissements de paiement et de monnaie électronique, gestionnaires de fonds, plateformes de négociation, prestataires crypto, plus les prestataires ICT critiques désignés. En France, la supervision relève de l'ACPR et de l'AMF, avec les ESAs (EBA, ESMA, EIOPA).
Quels sont les délais de notification d'un incident ICT majeur ?
Trois étapes (RTS 2025/301) : notification initiale dans les 4 heures suivant la classification comme majeur, au plus tard 24 heures après la détection ; rapport intermédiaire dans les 72 heures suivant la notification initiale ; rapport final sous 1 mois après le rapport intermédiaire, avec analyse complète des causes racines. Si un délai tombe en dehors des heures ouvrées, il est reporté à midi le jour ouvré suivant.
DORA remplace-t-il NIS2 pour les banques ?
DORA est lex specialis : sur les obligations qu'il couvre (risque ICT, notification, tests), il prévaut sur NIS2 pour les entités financières. Les fournisseurs non financiers de la chaîne restent dans le périmètre NIS2.
Que sont les TLPT ?
Des tests de pénétration fondés sur la menace, sur le cadre TIBER-EU : des scénarios construits sur les acteurs et les TTP qui ciblent réellement votre secteur. Au moins tous les 3 ans pour les entités importantes. Leur qualité dépend de la threat intelligence qui les alimente.
À quelle fréquence faut-il réaliser un TLPT ?
Au moins tous les 3 ans pour les entités financières désignées par leur autorité au titre de l'article 26 de DORA, sur des systèmes en production qui soutiennent des fonctions critiques ou importantes. Les critères de sélection, la méthode et les exigences envers les testeurs sont fixés par le RTS 2025/1190, sur le cadre TIBER-EU. L'autorité peut exiger une fréquence plus élevée.
DORA est-il déjà en vigueur ?
Oui, depuis le 17 janvier 2025, dans tous les États membres et sans transposition nationale. Les normes techniques sur la notification, les tests et les tiers sont opérationnelles.
Par où commencer
Connaître l'adversaire est le premier acte de la défense. L'arrêter à temps est le second.
Un assessment DORA clarifie la distance entre votre capacité opérationnelle et celle que le règlement présuppose. SOC européen basé à Milan depuis 2017, 24·7·365 : réponse sous un jour ouvré.