Audit DORA — Conformité au Règlement UE 2022/2554 (banque, mutuelle, fintech)

#Pourquoi l'audit DORA est devenu urgent en 2026

DORA — Digital Operational Resilience Act, formellement Règlement UE 2022/2554 — est entré en application le 17 janvier 2025. Plus d'année de grâce. Les contrôles ACPR sur la conformité DORA des établissements supervisés sont effectifs depuis 2025 et montent en intensité tout au long de 2026. Le retour terrain de nos missions chez 4 fintechs et 1 banque mutualiste est sans ambiguïté : les superviseurs ne se contentent plus de la documentation, ils veulent voir les registres tiers, les rapports d'incidents réels, les preuves de tests de résilience.

Les sanctions sont calibrées pour faire mal. Pour les entités essentielles au sens de DORA, les amendes peuvent atteindre 2 % du chiffre d'affaires mondial annuel ou 10 millions d'euros — le montant le plus élevé étant retenu. Au-delà du chiffre, la sanction réputationnelle est immédiate : un rapport ACPR public signalant un manquement DORA gèle les projets stratégiques, fait fuir les institutionnels et alerte les agences de notation. Concrètement, on ne peut plus se permettre d'être en retard.

Une nuance honnête : la conformité DORA n'est pas une cible binaire. C'est un programme continu. L'objectif d'un audit n'est pas seulement de cocher des cases pour l'ACPR — c'est de bâtir une résilience opérationnelle qui sert l'entreprise. Les institutions qui ont pris DORA au sérieux dès 2023-2024 nous rapportent un effet positif inattendu : meilleure visibilité sur leur stack tech, meilleure gestion des fournisseurs cloud, réduction du temps moyen de résolution d'incident IT. La conformité bien faite devient un avantage opérationnel.

#Les 5 piliers DORA — Ce que l'auditeur vérifie réellement

#Pilier 1 : Gouvernance et gestion des risques IT (Article 5 à 16)

L'organe de direction (conseil d'administration, directoire selon structure) est personnellement responsable de la gestion des risques IT. C'est une bascule majeure pour les établissements habitués à déléguer ces sujets au RSSI. DORA impose une cartographie complète des actifs IT, une politique de gestion des risques approuvée annuellement, des indicateurs de tolérance au risque, une revue par l'audit interne. Ce qu'on vérifie en audit : existence et validation formelle de la politique, fréquence et qualité des comités sécurité, formation effective de l'organe de direction (preuves de présence, supports), traçabilité décisionnelle.

Écueil fréquent : la politique existe sur papier mais l'organe de direction ne sait pas la défendre devant un superviseur. Notre méthode inclut systématiquement une session de formation 2 heures avec le COMEX et un mock interview ACPR.

#Pilier 2 : Gestion et notification des incidents IT (Article 17 à 23)

DORA harmonise les obligations de notification des incidents IT majeurs. Pour un incident majeur, l'établissement doit transmettre à l'ACPR : une notification initiale dans les 24 heures suivant la qualification, un rapport intermédiaire sous 72 heures, un rapport final sous un mois. Les critères de qualification d'un incident majeur sont précisés par les RTS (Regulatory Technical Standards) publiés par l'ABE/EIOPA — ils combinent impact sur les clients, durée, étendue géographique, criticité économique.

En audit, on regarde : procédure documentée de qualification d'incident, chaîne d'escalade testée (idéalement par exercice), templates de notification ACPR pré-remplis et validés juridiquement, intégration outil SIEM (Wazuh, Splunk, Sentinel) avec workflow d'alerte. Erreur courante chez les fintechs : avoir un excellent outillage technique de détection mais aucune procédure formalisée de notification réglementaire — un incident arrive et personne ne sait qui notifie quoi à qui.

#Pilier 3 : Tests de résilience opérationnelle et TLPT (Article 24 à 27)

Tous les acteurs concernés par DORA doivent mener un programme de tests de résilience opérationnelle adapté à leur taille et profil de risque : tests de vulnérabilité, scans, revues code, tests d'intrusion classiques, tests de continuité. Pour les entités significatives (banques d'importance systémique, grands assureurs, infrastructures de marché), s'ajoute une obligation spécifique : les TLPT (Threat Led Penetration Tests), conduits tous les 3 ans selon le framework TIBER-EU adapté DORA.

Les TLPT sont une bête particulière : test offensif sur environnement de production, mené par des testeurs externes accrédités, sur la base de scénarios de menaces réels (TI — Threat Intelligence) fournis par un Threat Intelligence Provider également accrédité, sous supervision de la cellule TLPT de l'autorité (en France : ACPR conjoint Banque de France). Durée typique : 12-16 semaines de préparation, 12 semaines de Red Team, 4-6 semaines de remédiation et rapport. Budget : 250-10400 k€ pour un TLPT complet selon scope. Nehos accompagne sur la phase préparation et coordination (pas accrédité TLPT comme red team primaire — pour cette partie, on travaille avec Synacktiv, Wavestone Cyber, Sopra Steria ou équivalent selon préférences client).

#Pilier 4 : Gestion des risques tiers critiques (Article 28 à 44)

C'est probablement le pilier le plus structurant pour les équipes achats et juridique. DORA impose : (1) un registre des accords contractuels avec tous les prestataires de services TIC, mis à jour annuellement et transmis à l'ACPR sur demande, (2) une distinction claire entre prestataires critiques (fonctions critiques ou importantes) et non critiques, (3) des clauses contractuelles standardisées DORA Article 30 obligatoires (droits d'audit, sortie d'urgence, sous-traitance encadrée, localisation des données, sécurité, continuité), (4) une stratégie multi-fournisseur pour éviter la concentration sur un seul prestataire cloud (typiquement AWS ou Azure), (5) un test de réversibilité documenté.

Aux États membres s'ajoute le CTPP (Critical Third Party Providers) : pour les très grands prestataires cloud servant plusieurs entités financières (Microsoft, AWS, Google), supervision directe européenne par les ESA. Implication concrète : les fournisseurs cloud doivent eux-mêmes se mettre en conformité.

En audit, on vérifie pour chaque sous-traitant critique : présence dans le registre, complétude des clauses Article 30, plan de continuité documenté côté fournisseur, droits d'audit exerçables (et exercés au moins une fois), tests de réversibilité réalisés. Pour les contrats cloud type AWS/Azure/GCP, on regarde aussi les addendums DORA spécifiques publiés par les hyperscalers.

#Pilier 5 : Partage d'informations sur les cybermenaces (Article 45)

Le pilier 5 est volontaire et moins contraignant. Il encourage les acteurs financiers à participer à des arrangements de partage d'informations sur les cybermenaces (TLP, ISAC sectoriels). En audit, on note la participation à un ISAC (France-Banque-ISAC, FS-ISAC européen), à des exercices Cyber Posture France de l'ANSSI, et à des réseaux d'échange entre RSSI bancaires.

#Qui est concerné — Le périmètre DORA

DORA s'applique à un périmètre large d'acteurs financiers européens et de leurs prestataires TIC. Périmètre principal : établissements de crédit (banques au sens du Code monétaire et financier), établissements de paiement et de monnaie électronique, prestataires de services d'investissement, gestionnaires d'OPCVM et de FIA, dépositaires centraux de titres, contreparties centrales, plateformes de négociation, sociétés d'assurance et de réassurance, mutuelles, institutions de retraite professionnelle, prestataires AISP et PISP, agences de notation de crédit, administrateurs d'indices de référence critiques.

Des proportionnalités existent selon la taille. Les microentreprises (moins de 10 salariés et CA inférieur à 32 M€) bénéficient d'allègements. Les entités significatives au sens de chaque réglementation sectorielle ont au contraire des obligations renforcées (TLPT obligatoires notamment).

Dans nos missions 2025-2026, voici la répartition observée : 32 % fintechs AISP/PISP, 24 % banques mutualistes régionales, 18 % mutuelles santé et prévoyance, 12 % sociétés de gestion d'actifs, 8 % courtiers grossistes, 6 % autres (établissements de paiement, plateformes). Le cas le plus complexe en termes de scope reste la banque mutualiste régionale qui combine activités bancaires, assurance, gestion d'actifs.

#Méthode Nehos audit DORA

Notre méthode en quatre temps, calibrée par retour d'expérience sur 18 missions secteur financier régulé.

Phase 1 — Audit 360° (3 à 5 semaines selon scope, 9 500-448 000 € HT) : revue documentaire (politiques, procédures, registres), entretiens 8-15 personnes (organe de direction, RSSI, DPO, Achats, Juridique, IT Ops), analyse écarts par pilier, scoring quantitatif (matrice criticité × effort), restitution chiffrée avec plan d'action priorisé. Livrables : rapport d'audit 80-150 pages, matrice de conformité par article DORA, gap list priorisée, devis détaillé phase 2.

Phase 2 — Plan de mise en conformité priorisé (1-2 semaines) : roadmap d'actions sur 12 à 26 semaines selon taille, validation avec direction conformité + RSSI + COMEX, identification des actions internes (équipe client) vs externes (Nehos + partenaires), planning prévisionnel des contrôles ACPR.

Phase 3 — Mise en œuvre (12 à 26 semaines) : implémentation des actions techniques (outillage SIEM, monitoring tiers, automatisation registre), documentation (politiques, procédures, plans), formation (organe de direction, équipes opérationnelles, mock interviews superviseur), accompagnement contractuel (renégociation clauses Article 30 avec sous-traitants critiques).

Phase 4 — Accompagnement TLPT et MCO (selon scope) : pour les entités significatives, préparation TLPT en partenariat avec red team accréditée. Pour toutes les entités : MCO conformité annuelle (audit annuel obligatoire, mise à jour registre, accompagnement contrôles ACPR ad hoc).

#Nehos comme sous-traitant critique DORA-ready

Quand Nehos intervient chez un établissement régulé, on devient nous-mêmes un sous-traitant TIC qui peut être qualifié critique selon les fonctions confiées. On a anticipé : Nehos remplit les exigences DORA pour être référencé sans réserve. Nos contrats acceptent les clauses standardisées DORA Article 30 sans négociation (droits d'audit, sortie d'urgence sous 90 jours, sous-traitance encadrée, localisation France, sécurité, continuité). On dispose d'un plan BCP/DRP documenté avec RTO 4 heures et RPO 1 heure sur les services critiques, certification ISO 27001 en cours (visée Q4 2026, audit blanc passé), politique de gestion des incidents alignée DORA, registre interne des sous-traitants TIC (notamment OVHcloud SecNumCloud, Mistral, Plausible) avec clauses miroirs. Pour les missions sensibles, nous acceptons les audits clients et les PenTests sur notre infrastructure et nos applications.

#Articulation DORA avec les autres réglementations 2025-2027

DORA n'arrive pas seule. Pour le secteur financier français, la convergence réglementaire 2025-2027 comprend également : AI Act (Règlement UE 2024/1689, en application 1er août 2026, scoring crédit et assurance vie classés haut risque), DSP3 + FIDA (publication finale Q3 2026, open finance étendu), NIS2 (transposition FR octobre 2024, cadre cybersécurité critique), RGPD (toujours), réglementation ACPR/AMF sectorielle (notes IA générative, robo-advisors, gestion conduit risk).

Notre angle : on traite DORA + AI Act + NIS2 dans un programme intégré quand l'établissement le souhaite, parce que 60-70 % des actions techniques se recoupent (gouvernance, gestion incidents, traçabilité, audit). Cela divise typiquement le budget total par 1,4 à 1,8 versus trois programmes séparés. Voir notre méthode AI Act Compliance Nehos™ pour le volet IA.

#Tarification — Budget DORA selon profil

Nos retours d'expérience 2024-2026 sur 18 missions secteur financier régulé donnent les fourchettes suivantes (budget total programme conformité DORA, hors TLPT).

• Fintech AISP/PISP série A-B (10-40 collabs) : 80 à 2880 k€ HT selon nombre de sous-traitants critiques et maturité initiale. Durée 14-22 semaines. Audit 9 500-240 000 €.
• Mutuelle santé régionale (50-200 collabs) : 120 à 4160 k€ HT. Durée 18-28 semaines. Audit 15 000-352 000 €.
• Banque mutualiste régionale (200-1500 collabs) : 280 à 10400 k€ HT selon périmètre (banque seule ou banque + assurance + gestion). Durée 24-40 semaines. Audit 22 000-448 000 €.
• TLPT (si applicable, prestataire accrédité externe) : 250 à 10400 k€ HT en sus, durée 30-34 semaines totale.

Devis détaillé sous 48 heures après brief validé. Démarrage typique sous 2-3 semaines après signature.