DORA en 2026 : où en sont les acteurs financiers ?
Sommaire
- 1. DORA en bref : de quoi parle-t-on ?
- 2. Les 5 piliers de DORA
- 2.1. 1. La gestion des risques liés aux TIC
- 2.2. 2. La gestion, la classification et la déclaration des incidents
- 2.3. 3. Les tests de résilience opérationnelle numérique
- 2.4. 4. La gestion des risques liés aux prestataires tiers de services TIC
- 2.5. 5. Le partage d’informations sur les cybermenaces
- 3. Ce qui s’est passé depuis le 17 janvier 2025
- 3.1. Une première remise des registres d’information laborieuse
- 3.2. Des déclarations d’incidents nombreuses, des délais encore mal tenus
- 3.3. 19 prestataires TIC critiques désignés par les autorités européennes
- 3.4. Les tests d’intrusion fondés sur la menace (TLPT) encadrés
- 3.5. En France : de l’accompagnement à une supervision renforcée en 2026
- 4. DORA et NIS 2 : quelle articulation ?
- 5. Comment se mettre en conformité DORA en 2026 ?
- 6. DORA, un accélérateur pour les métiers de la GRC
- 7. Se former à la GRC et à la conformité avec le Bac+5 Responsable cybersécurité
- 8. FAQ : DORA en 2026
- 8.1. Depuis quand DORA s’applique-t-il ?
- 8.2. Qui est concerné par DORA ?
- 8.3. Qu’est-ce que le registre d’informations DORA ?
- 8.4. Quel est le délai pour déclarer un incident majeur ?
- 8.5. Quelle différence entre DORA et NIS 2 ?
- 9. Pour aller plus loin
Le Digital Operational Resilience Act (DORA), le règlement européen sur la résilience opérationnelle numérique du secteur financier, s’applique depuis le 17 janvier 2025. Près de deux ans plus tard, la phase de découverte est terminée : les banques, assureurs, sociétés de gestion et prestataires de services de paiement ont remis leurs premiers registres d’information, déclaré leurs premiers incidents majeurs, et les autorités européennes ont désigné les prestataires TIC jugés critiques pour le secteur.
En 2026, la question n’est donc plus « faut-il se préparer à DORA ? », mais « où en sont réellement les acteurs financiers, et que vont regarder les superviseurs ? ». Cet article fait le point sur ce qui s’est passé depuis l’entrée en application, rappelle les cinq piliers du règlement, détaille les priorités de mise en conformité pour 2026 et montre pourquoi DORA a fait exploser la demande de profils en gouvernance, risques et conformité (GRC).
DORA en bref : de quoi parle-t-on ?
Le règlement (UE) 2022/2554 a été adopté le 14 décembre 2022 et publié au Journal officiel de l’Union européenne le 27 décembre 2022. Son article 64 fixe la date d’application au 17 janvier 2025. Comme tout règlement européen, il est directement applicable dans chaque État membre, sans transposition.
Son objectif : garantir que les entités financières sont capables de résister à un incident informatique grave (cyberattaque, panne d’un prestataire cloud, défaillance d’un système critique), d’y répondre et de s’en remettre. Selon l’ACPR, DORA fixe des exigences communes à 20 catégories différentes d’entités financières, ce qui limite la fragmentation réglementaire dans ce domaine (source : ACPR, état des lieux huit mois après l’entrée en vigueur de DORA). Plusieurs anciennes lignes directrices sectorielles (cloud, risque TIC) ont d’ailleurs été supprimées ou fortement réduites au profit de ce cadre unique.
Le règlement repose sur un principe de proportionnalité : les microentreprises et certaines entités de petite taille bénéficient d’un cadre simplifié de gestion des risques TIC (source : AMF, dossier DORA). En France, la supervision est assurée par l’ACPR, adossée à la Banque de France, pour les banques et les assurances, et par l’AMF pour les acteurs des marchés financiers.
Les 5 piliers de DORA
DORA s’organise autour de cinq grands blocs d’obligations, qui structurent aujourd’hui tous les programmes de conformité.
1. La gestion des risques liés aux TIC
Chaque entité doit disposer d’un cadre de gestion des risques TIC documenté, porté par l’organe de direction, qui reste responsable en dernier ressort. Concrètement : une stratégie de résilience opérationnelle numérique, l’identification et la classification des actifs et des risques (revue au moins une fois par an), une politique de sécurité de l’information, une politique de continuité d’activité TIC testée régulièrement, des procédures de sauvegarde et de restauration, et des plans de communication de crise (source : AMF, dossier DORA).
2. La gestion, la classification et la déclaration des incidents
Les incidents liés aux TIC doivent être détectés, classés selon des critères harmonisés (règlement délégué (UE) 2024/1772) et, lorsqu’ils sont majeurs, déclarés à l’autorité compétente selon un calendrier strict : notification initiale, rapport intermédiaire, puis rapport final. Les cybermenaces importantes peuvent également être notifiées à titre volontaire.
3. Les tests de résilience opérationnelle numérique
Toutes les entités doivent mettre en œuvre un programme de tests proportionné : analyses de vulnérabilités, revues de code, tests de scénarios, tests de continuité. Les entités les plus importantes doivent en plus réaliser, au moins tous les trois ans, des tests d’intrusion fondés sur la menace (TLPT), conformément à l’article 26 du règlement.
4. La gestion des risques liés aux prestataires tiers de services TIC
C’est le pilier qui a le plus mobilisé les équipes. Les entités doivent analyser leurs prestataires avant contractualisation, intégrer des clauses contractuelles obligatoires, prévoir des stratégies de sortie et tenir un registre d’informations recensant tous les accords contractuels portant sur des services TIC. Au niveau européen, un cadre de supervision directe des prestataires TIC critiques complète le dispositif.
5. Le partage d’informations sur les cybermenaces
DORA encourage les entités financières à échanger entre elles des renseignements sur les menaces, les indicateurs de compromission et les tactiques des attaquants, dans des dispositifs de confiance qui respectent la confidentialité des données.
Ce qui s’est passé depuis le 17 janvier 2025
Une première remise des registres d’information laborieuse
La première campagne de remise des registres d’information s’est tenue au printemps 2025. En France, l’ACPR indique que 84 % des entités ont effectué une remise sur le portail OneGate, mais que pour seulement 39 % d’entre elles le registre a pu être traité au niveau européen (source : ACPR, état des lieux DORA). En cause : un calendrier très serré, des règles de validation modifiées en cours de campagne, un format de fichier inhabituel (xBRL-CSV) et une faible participation à l’exercice de test à blanc organisé en amont.
Le message du superviseur est clair : le registre n’est pas un simple reporting annuel. Il doit être tenu à jour en continu, croisé avec l’inventaire des actifs TIC et la cartographie des dépendances, et servir à évaluer le risque de concentration sur certains fournisseurs.
Des déclarations d’incidents nombreuses, des délais encore mal tenus
Les premiers mois de reporting ont généré un nombre important de notifications, principalement de la part d’établissements de crédit et d’assureurs. D’après les chiffres arrêtés par l’ACPR au 23 août 2025 :
- un tiers était impliqué dans 57 % des incidents déclarés, en partie à cause d’un incident ayant touché un prestataire commun à plusieurs entités ;
- 82 % des notifications étaient justifiées au regard de DORA, selon une analyse préliminaire ;
- dans 63 % des cas, l’incident était déjà clos au moment de la notification initiale.
Surtout, l’ACPR relève que les délais réglementaires sont « encore rarement respectés » : un incident doit être notifié au plus tard 4 heures après sa classification comme majeur, et au plus tard 24 heures après sa détection (article 5 du règlement délégué (UE) 2025/301). Elle pointe aussi des champs obligatoires mal renseignés et des erreurs dans l’application des critères de classification (source : ACPR, état des lieux DORA).
19 prestataires TIC critiques désignés par les autorités européennes
Le 18 novembre 2025, les trois autorités européennes de surveillance (EBA, EIOPA et ESMA) ont publié la première liste des prestataires tiers critiques de services TIC (CTPP), établie notamment à partir des registres d’information transmis par les entités financières. Elle compte 19 fournisseurs, parmi lesquels Amazon Web Services, Google Cloud, Microsoft, Oracle, SAP, IBM, Orange, Capgemini, Accenture, Equinix ou Deutsche Telekom (source : ESMA, communiqué des AES et liste officielle des CTPP).
Ces prestataires sont désormais soumis à la surveillance directe d’un superviseur principal européen, qui peut leur adresser des recommandations et, en cas de non-coopération, leur infliger des astreintes journalières pouvant atteindre 1 % de leur chiffre d’affaires quotidien moyen mondial, pendant six mois au maximum (article 35 du règlement DORA). Attention : cette désignation ne décharge pas les banques ou les assureurs de leur propre responsabilité vis-à-vis de leurs fournisseurs.
Les tests d’intrusion fondés sur la menace (TLPT) encadrés
Les normes techniques sur les TLPT ont été publiées au Journal officiel le 18 juin 2025 (règlement délégué (UE) 2025/1190). Elles précisent les critères d’identification des entités concernées, les conditions de recours à des testeurs internes et la méthodologie de chaque phase, en s’appuyant sur le cadre européen TIBER-EU. Pour les entités identifiées, ces tests de type « red team » sur des systèmes en production sont suivis par l’autorité compétente.
En France : de l’accompagnement à une supervision renforcée en 2026
L’ACPR a présenté 2025 comme une année d’accompagnement : présentations auprès de la place, plus de 700 questions traitées par le support technique, entretiens bilatéraux et FAQ mise à jour à plusieurs reprises. Elle annonce en revanche une supervision progressivement renforcée à compter de 2026, avec des priorités de contrôle fixées à partir des réponses au questionnaire transsectoriel sur la mise en œuvre de DORA, de la qualité des registres et des notifications d’incidents majeurs, des analyses transversales et des contrôles sur place pour les entités les plus à risque (source : ACPR, état des lieux DORA).
Côté sanctions, l’article 50 du règlement impose aux États membres de doter les autorités de pouvoirs de surveillance, d’enquête et de sanction. Les entités qui abordent 2026 avec des registres incomplets ou des processus d’incident non testés s’exposent donc à des constats lors des prochains contrôles.
DORA et NIS 2 : quelle articulation ?
DORA et la directive NIS 2 poursuivent le même objectif, renforcer la cybersécurité en Europe, mais avec des périmètres différents. Pour le secteur financier, la règle est simple : DORA est la lex specialis de NIS 2. Les banques et infrastructures de marché qui seraient entités essentielles ou importantes au sens de NIS 2 ne sont soumises qu’aux dispositions de DORA pour la gestion du risque cyber et la notification des incidents (source : ACPR, état des lieux DORA).
En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité doit transposer NIS 2, la directive REC et la directive qui accompagne DORA. Adopté par le Sénat en mars 2025, il a vu son examen en séance publique à l’Assemblée nationale de nouveau reporté début octobre 2026, sans nouvelle date à ce stade (source : Leto, 6 octobre 2026). Ce retard ne change rien pour DORA, directement applicable, mais il maintient l’incertitude pour les milliers d’entreprises non financières visées par NIS 2, dont une partie travaille pour le secteur financier. Pour une vue d’ensemble de ces textes, consultez notre article que dit la loi sur la cybersécurité (NIS 2, CRA, DORA).
Comment se mettre en conformité DORA en 2026 ?
Pour les entités déjà engagées, 2026 est l’année du passage d’une conformité « documentaire » à une conformité démontrable. Les priorités qui ressortent des retours du superviseur :
- Industrialiser le registre d’informations : outil interne, gouvernance projet, remises de test sur l’environnement d’homologation avant chaque campagne, mise à jour à chaque nouveau contrat.
- Tester la chaîne de déclaration des incidents : détection, classification selon les critères du règlement délégué 2024/1772, notification dans les 4 heures, accréditations OneGate à jour, exercices réguliers.
- Revoir les contrats TIC : clauses obligatoires, droits d’audit, localisation des données, stratégies de sortie, en particulier avec les prestataires désignés critiques.
- Cartographier les fonctions critiques ou importantes et les dépendances aux tiers, pour mesurer le risque de concentration.
- Dérouler le programme de tests : scans, tests de continuité, scénarios de crise, et préparation des TLPT pour les entités concernées.
- Impliquer la direction : formation des dirigeants, reporting régulier au conseil d’administration, budget dédié à la résilience.
- Boucler le retour d’expérience : chaque incident majeur doit conduire à revoir le cadre de gestion des risques TIC, la politique de continuité et les actions de sensibilisation.
DORA, un accélérateur pour les métiers de la GRC
DORA n’est pas qu’un sujet juridique : sa mise en œuvre repose sur des profils capables de faire le lien entre la technique, le risque et la réglementation. Depuis 2025, les établissements financiers, les cabinets de conseil et les prestataires TIC eux-mêmes recherchent notamment :
- des consultants et responsables GRC, qui pilotent les programmes de conformité DORA, NIS 2 ou ISO 27001 ;
- des risk managers IT et cyber, chargés de l’analyse des risques TIC, de la classification des actifs et de la gestion du risque de concentration ;
- des analystes risques tiers, qui évaluent les prestataires, tiennent le registre d’informations et suivent les clauses contractuelles ;
- des auditeurs et contrôleurs internes spécialisés en sécurité des systèmes d’information ;
- des RSSI et responsables de la continuité d’activité, en première ligne lors des incidents majeurs et des tests de résilience.
Ces fonctions figurent parmi les métiers qui recrutent le plus en cybersécurité en 2026, avec des rémunérations attractives dès les premières années d’expérience, comme le détaille notre dossier sur les salaires en cybersécurité en 2026.
Se former à la GRC et à la conformité avec le Bac+5 Responsable cybersécurité
À la CSB.SCHOOL, école de cybersécurité à Lyon, la gouvernance, la gestion des risques et la conformité réglementaire sont au cœur du Bac+5 Responsable cybersécurité (RNCP38463). Les étudiants y travaillent l’analyse de risques avec la méthode EBIOS RM, la mise en place d’un système de management de la sécurité de l’information selon ISO 27001, et préparent la certification CISSP. Les grands textes européens, DORA, NIS 2 ou le Cyber Resilience Act, sont étudiés à partir de cas concrets, avec une pédagogie à 80 % pratique.
La formation se déroule en alternance, au rythme de 2 semaines à l’école et 5 semaines en entreprise, ce qui permet d’appliquer directement ces compétences dans une banque, un assureur, un cabinet de conseil ou une ESN. Les frais de scolarité sont pris en charge par l’OPCO de l’entreprise. L’école est labellisée SecNumEdu par l’ANSSI et certifiée Qualiopi, et accueille ses étudiants sur son campus de Charbonnières-les-Bains, dans l’ouest lyonnais. Le sujet fait aussi partie de la vie de l’école : en février 2025, un CSB.TALKS animé par Frédéric Caubert, expert en risques opérationnels et conformité réglementaire, était consacré à la mise en conformité DORA.
Vous préférez commencer par un Bac+3 ? Le Bachelor Spécialiste en cybersécurité (RNCP42503, admission à Bac+2) pose les bases techniques indispensables. Les inscriptions pour la rentrée d’octobre 2027 sont ouvertes.
FAQ : DORA en 2026
Depuis quand DORA s’applique-t-il ?
Le règlement (UE) 2022/2554 est entré en vigueur en janvier 2023 et s’applique depuis le 17 janvier 2025. Il est directement applicable dans tous les États membres, sans loi de transposition. Une clause de réexamen est prévue au 17 janvier 2028.
Qui est concerné par DORA ?
Une vingtaine de catégories d’entités financières : établissements de crédit, entreprises d’assurance et de réassurance, entreprises d’investissement, sociétés de gestion, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, infrastructures de marché, etc. Les prestataires TIC désignés comme critiques sont, eux, soumis à une surveillance européenne directe.
Qu’est-ce que le registre d’informations DORA ?
C’est un inventaire de tous les accords contractuels qu’une entité financière a conclus pour des services TIC fournis par des tiers. Il est transmis à l’autorité compétente (l’ACPR en France), qui le fait remonter aux autorités européennes. Il a notamment servi à désigner les 19 prestataires critiques en novembre 2025.
Quel est le délai pour déclarer un incident majeur ?
La notification initiale doit intervenir au plus tard 4 heures après la classification de l’incident comme majeur, et au plus tard 24 heures après sa détection. Elle est suivie d’un rapport intermédiaire puis d’un rapport final. En France, les déclarations passent par le portail OneGate de l’ACPR.
Quelle différence entre DORA et NIS 2 ?
NIS 2 est une directive transversale qui couvre de nombreux secteurs et doit être transposée en droit national. DORA est un règlement spécifique au secteur financier, directement applicable. Pour la gestion du risque cyber et la déclaration des incidents, DORA prime sur NIS 2 pour les entités financières.
Pour aller plus loin
Gouvernance, conformité et gestion des risques sont au cœur du Bac+5 Responsable cybersécurité de la CSB.SCHOOL, l’école de cybersécurité CSB.SCHOOL, à Lyon : EBIOS RM, ISO 27001 et CISSP sont préparés pendant la formation, en alternance.
À lire aussi :
Continuez votre lecture
Le marché de la cybersécurité : Opportunités, tendances et défis en 2025
Classement 2025 des écoles de cybersécurité en France
