Audit DORA — Conformité au Règlement UE 2022/2554 (banque, mutuelle, fintech)

#Pourquoi l'audit DORA est devenu urgent en 2026

DORA — Digital Operational Resilience Act, formellement Règlement UE 2022/2554 — est entré en application le 17 janvier 2025. Plus d'année de grâce. Les contrôles ACPR sur la conformité DORA des établissements supervisés sont effectifs depuis 2025 et montent en intensité tout au long de 2026.

Une chose est claire : les superviseurs ne se contentent plus de la documentation, ils veulent voir les registres tiers, les rapports d'incidents réels, les preuves de tests de résilience.

Les sanctions sont calibrées pour faire mal. Pour les entités essentielles au sens de DORA, des sanctions financières sont prévues, calibrées sur le chiffre d'affaires. Au-delà du chiffre, la sanction réputationnelle est immédiate : un rapport ACPR public signalant un manquement DORA gèle les projets stratégiques, fait fuir les institutionnels et alerte les agences de notation. Concrètement, on ne peut plus se permettre d'être en retard.

Une nuance honnête : la conformité DORA n'est pas une cible binaire. C'est un programme continu. L'objectif d'un audit n'est pas seulement de cocher des cases pour l'ACPR — c'est de bâtir une résilience opérationnelle qui sert l'entreprise. Les institutions qui ont pris DORA au sérieux dès 2023-2024 nous rapportent un effet positif inattendu : meilleure visibilité sur leur stack tech, meilleure gestion des fournisseurs cloud, réduction du temps moyen de résolution d'incident IT. La conformité bien faite devient un avantage opérationnel.

#Les 5 piliers DORA — Ce que l'auditeur vérifie réellement

#Pilier 1 : Gouvernance et gestion des risques IT (Article 5 à 16)

L'organe de direction (conseil d'administration, directoire selon structure) est personnellement responsable de la gestion des risques IT. C'est une bascule majeure pour les établissements habitués à déléguer ces sujets au RSSI. DORA impose une cartographie complète des actifs IT, une politique de gestion des risques approuvée annuellement, des indicateurs de tolérance au risque, une revue par l'audit interne.

Ce qu'on vérifie en audit : existence et validation formelle de la politique, fréquence et qualité des comités sécurité, formation effective de l'organe de direction (preuves de présence, supports), traçabilité décisionnelle.

Écueil fréquent : la politique existe sur papier mais l'organe de direction ne sait pas la défendre devant un superviseur. Notre méthode inclut systématiquement une session de formation 2 heures avec le COMEX et un mock interview ACPR.

#Pilier 2 : Gestion et notification des incidents IT (Article 17 à 23)

DORA harmonise les obligations de notification des incidents IT majeurs. Pour un incident majeur, l'établissement doit transmettre à l'ACPR : une notification initiale dans les 24 heures suivant la qualification, un rapport intermédiaire sous 72 heures, un rapport final sous un mois.

Les critères de qualification d'un incident majeur sont précisés par les RTS (Regulatory Technical Standards) publiés par l'ABE/EIOPA — ils combinent impact sur les clients, durée, étendue géographique, criticité économique.

En audit, on regarde : procédure documentée de qualification d'incident, chaîne d'escalade testée (idéalement par exercice), templates de notification ACPR pré-remplis et validés juridiquement, intégration outil SIEM (Wazuh, Splunk, Sentinel) avec workflow d'alerte. Erreur courante chez les fintechs : avoir un excellent outillage technique de détection mais aucune procédure formalisée de notification réglementaire — un incident arrive et personne ne sait qui notifie quoi à qui.

#Pilier 3 : Tests de résilience opérationnelle et TLPT (Article 24 à 27)

Tous les acteurs concernés par DORA doivent mener un programme de tests de résilience opérationnelle adapté à leur taille et profil de risque : tests de vulnérabilité, scans, revues code, tests d'intrusion classiques, tests de continuité. Pour les entités significatives (banques d'importance systémique, grands assureurs, infrastructures de marché), s'ajoute une obligation spécifique : les TLPT (Threat Led Penetration Tests), conduits tous les 3 ans selon le framework TIBER-EU adapté DORA.

Les TLPT sont une bête particulière : test offensif sur environnement de production, mené par des testeurs externes accrédités, sur la base de scénarios de menaces réels (TI — Threat Intelligence) fournis par un Threat Intelligence Provider également accrédité, sous supervision de la cellule TLPT de l'autorité (en France : ACPR conjoint Banque de France).

Un TLPT se déroule en plusieurs mois : préparation, red team, remédiation et rapport. Nehos accompagne sur la phase préparation et coordination (nous ne sommes pas accrédité TLPT comme red team primaire : pour cette partie, nous travaillons avec un prestataire accrédité choisi avec vous). Son budget est celui du prestataire accrédité, sur devis.

#Pilier 4 : Gestion des risques tiers critiques (Article 28 à 44)

C'est probablement le pilier le plus structurant pour les équipes achats et juridique. DORA impose : (1) un registre des accords contractuels avec tous les prestataires de services TIC, mis à jour annuellement et transmis à l'ACPR sur demande, (2) une distinction claire entre prestataires critiques (fonctions critiques ou importantes) et non critiques, (3) des clauses contractuelles standardisées DORA Article 30 obligatoires (droits d'audit, sortie d'urgence, sous-traitance encadrée, localisation des données, sécurité, continuité), (4) une stratégie multi-fournisseur pour éviter la concentration sur un seul prestataire cloud (typiquement AWS ou Azure), (5) un test de réversibilité documenté.

Aux États membres s'ajoute le CTPP (Critical Third Party Providers) : pour les très grands prestataires cloud servant plusieurs entités financières (Microsoft, AWS, Google), supervision directe européenne par les ESA. Implication concrète : les fournisseurs cloud doivent eux-mêmes se mettre en conformité.

En audit, on vérifie pour chaque sous-traitant critique : présence dans le registre, complétude des clauses Article 30, plan de continuité documenté côté fournisseur, droits d'audit exerçables (et exercés au moins une fois), tests de réversibilité réalisés. Pour les contrats cloud type AWS/Azure/GCP, on regarde aussi les addendums DORA spécifiques publiés par les hyperscalers.

#Pilier 5 : Partage d'informations sur les cybermenaces (Article 45)

Le pilier 5 est volontaire et moins contraignant. Il encourage les acteurs financiers à participer à des arrangements de partage d'informations sur les cybermenaces (TLP, ISAC sectoriels). En audit, on note la participation à un ISAC (France-Banque-ISAC, FS-ISAC européen), à des exercices Cyber Posture France de l'ANSSI, et à des réseaux d'échange entre RSSI bancaires.

#Qui est concerné — Le périmètre DORA

DORA s'applique à un périmètre large d'acteurs financiers européens et de leurs prestataires TIC. Périmètre principal : établissements de crédit (banques au sens du Code monétaire et financier), établissements de paiement et de monnaie électronique, prestataires de services d'investissement, gestionnaires d'OPCVM et de FIA, dépositaires centraux de titres, contreparties centrales, plateformes de négociation, sociétés d'assurance et de réassurance, mutuelles, institutions de retraite professionnelle, prestataires AISP et PISP, agences de notation de crédit, administrateurs d'indices de référence critiques.

Des proportionnalités existent selon la taille. Les microentreprises (moins de 10 salariés et chiffre d'affaires ou bilan annuel ne dépassant pas 2 M€) bénéficient d'allègements. Les entités significatives au sens de chaque réglementation sectorielle ont au contraire des obligations renforcées (TLPT obligatoires notamment).

Le cas le plus complexe en termes de scope est généralement la banque mutualiste régionale qui combine activités bancaires, assurance, gestion d'actifs.

#Méthode Nehos audit DORA

Notre méthode en quatre temps.

Phase 1 — Audit 360° (3 à 5 semaines selon le scope) : revue documentaire (politiques, procédures, registres), entretiens avec les parties prenantes (organe de direction, RSSI, DPO, Achats, Juridique, IT Ops), analyse écarts par pilier, scoring quantitatif (matrice criticité × effort), restitution chiffrée avec plan d'action priorisé. Livrables : rapport d'audit, matrice de conformité par article DORA, gap list priorisée, devis détaillé phase 2.

Phase 2 — Plan de mise en conformité priorisé (1-2 semaines) : roadmap d'actions sur 12 à 26 semaines selon taille, validation avec direction conformité + RSSI + COMEX, identification des actions internes (équipe client) vs externes (Nehos + partenaires), planning prévisionnel des contrôles ACPR.

Phase 3 — Mise en œuvre (12 à 26 semaines) : implémentation des actions techniques (outillage SIEM, monitoring tiers, automatisation registre), documentation (politiques, procédures, plans), formation (organe de direction, équipes opérationnelles, mock interviews superviseur), accompagnement contractuel (renégociation clauses Article 30 avec sous-traitants critiques).

Phase 4 — Accompagnement TLPT et MCO (selon scope) : pour les entités significatives, préparation TLPT en partenariat avec red team accréditée. Pour toutes les entités : MCO conformité annuelle (audit annuel obligatoire, mise à jour registre, accompagnement contrôles ACPR ad hoc).

#Nehos comme sous-traitant TIC d'un établissement régulé

Quand Nehos intervient chez un établissement régulé, nous devenons nous-mêmes un sous-traitant TIC, qui peut être qualifié de critique selon les fonctions confiées. Les clauses de l'article 30 de DORA (droits d'audit, sortie d'urgence, sous-traitance encadrée, localisation des données, sécurité, continuité) se discutent au contrat avec vos équipes achats et juridique.

Nous tenons un registre de nos propres sous-traitants TIC (hébergeur, modèles d'IA, analytics) et acceptons les audits de nos clients pour les missions sensibles.

#Articulation DORA avec les autres réglementations 2025-2027

DORA n'arrive pas seule. Pour le secteur financier français, la convergence réglementaire 2025-2027 comprend également : AI Act (Règlement UE 2024/1689, en application 1er août 2026, scoring crédit et assurance vie classés haut risque), DSP3 + FIDA (publication finale Q3 2026, open finance étendu), NIS2 (transposition FR octobre 2024, cadre cybersécurité critique), RGPD (toujours), réglementation ACPR/AMF sectorielle (notes IA générative, robo-advisors, gestion conduit risk).

Notre angle : on traite DORA + AI Act + NIS2 dans un programme intégré quand l'établissement le souhaite, parce qu'une part importante des actions techniques se recoupent (gouvernance, gestion incidents, traçabilité, audit). Cela évite de refaire plusieurs fois le même travail. Voir notre méthode AI Act Compliance Nehos™ pour le volet IA.

#Tarification — programme DORA à partir de 15 000 € HT

Le budget d'un programme de conformité DORA dépend du profil de l'établissement (hors TLPT). Chaque programme est chiffré sur devis, en 48 h après un premier échange.

• Fintech AISP/PISP série A-B : programme DORA à partir de 15 000 € HT selon le nombre de sous-traitants critiques et la maturité initiale. Durée 14-22 semaines.
• Mutuelle santé régionale : sur devis. Durée 18-28 semaines.
• Banque mutualiste régionale : sur devis, selon le périmètre (banque seule ou banque + assurance + gestion). Durée 24-40 semaines.
• TLPT (si applicable, prestataire accrédité externe) : en sus, sur devis du prestataire accrédité.

Devis détaillé sous 48 heures après un premier échange.