Cybersécurité, gestion des identités et résilience opérationnelle DORA : audit, conseil, formation et réalisation pour la banque

Le cadre réglementaire et normatif de la cybersécurité bancaire

DORA, le règlement (UE) 2022/2554

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, connu sous le sigle DORA, est applicable depuis le 17 janvier 2025. Il vise les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement et d'autres entités financières. Étant un règlement, il s'applique directement, sans transposition en droit français. Il repose sur cinq blocs : la gestion du risque lié aux technologies de l'information et de la communication (TIC), la classification et la notification des incidents, les tests de résilience, la maîtrise du risque lié aux prestataires de services TIC et le partage d'informations sur les menaces.

La responsabilité du dispositif revient à l'organe de direction de l'entité, qui définit, approuve et supervise le cadre de gestion du risque TIC. Les exigences sont proportionnées : une entité de petite taille applique un cadre simplifié, une grande banque un cadre complet. En France, l'ACPR contrôle l'application du règlement pour les établissements de crédit et de paiement ; l'AMF (Autorité des marchés financiers) le fait pour les sociétés de gestion et les prestataires relevant de sa compétence. Le texte officiel est publié sur EUR-Lex, et l'AMF en propose une présentation par blocs.

Les normes techniques et le registre des prestataires

Le règlement renvoie à de nombreux actes de niveau 2. Le règlement délégué (UE) 2024/1774 précise le cadre de gestion du risque TIC, y compris le cadre simplifié. Le règlement délégué (UE) 2024/1772 fixe les critères de classification des incidents, le règlement délégué (UE) 2025/301 le contenu et les délais des notifications, et le règlement d'exécution (UE) 2025/302 les modèles à utiliser. Pour un incident majeur, la notification se fait en trois temps : une notification initiale, un rapport intermédiaire, puis un rapport final.

Les articles 24 à 27 organisent les tests : programme de tests de résilience pour toutes les entités, et tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans pour les entités que les autorités désignent selon des critères, précisés par le règlement délégué (UE) 2025/1190. Côté prestataires, le règlement délégué (UE) 2024/1773 traite de la politique contractuelle, et le règlement délégué (UE) 2025/532 de la sous-traitance de services TIC. Le règlement d'exécution (UE) 2024/2956 fixe les modèles du registre d'informations sur les accords contractuels avec les prestataires TIC, que l'entité tient à jour et remet chaque année à son autorité selon les modalités qu'elle publie : pour l'ACPR, l'instruction 2025-I-12. Les autorités européennes de supervision ont par ailleurs publié le 18 novembre 2025 la liste des prestataires TIC critiques soumis à leur surveillance directe.

NIS 2 : où en est la transposition française

La directive (UE) 2022/2555, dite NIS 2, devait être transposée avant le 17 octobre 2024. En France, la transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, déposé en octobre 2024 selon la procédure accélérée, adopté par le Sénat en mars 2025 puis par la commission spéciale de l'Assemblée nationale. À la date de rédaction de cette page, le 23 octobre 2026, nous n'avons pas trouvé trace d'une adoption définitive : l'examen en séance publique, prévu les 7 et 9 octobre 2026, a été retiré de l'ordre du jour, sans nouvelle date arrêtée. Le texte n'est donc pas encore en vigueur à notre connaissance.

Pour un établissement financier, l'enjeu pratique est limité : DORA est le texte sectoriel qui encadre la gestion du risque TIC et la notification des incidents des entités financières, et la directive en tient compte. NIS 2 peut en revanche concerner d'autres entités d'un groupe. Nous vous invitons à vérifier l'état du dossier législatif sur le site de l'Assemblée nationale avant toute décision.

Normes, méthodes et qualifications

Plusieurs référentiels volontaires structurent le travail. La norme ISO/IEC 27001, dans son édition de 2022, définit les exigences d'un système de management de la sécurité de l'information ; la norme ISO/IEC 27005 traite de la gestion des risques liés à la sécurité de l'information, et la norme ISO (International Organization for Standardization, Organisation internationale de normalisation) 22301 du management de la continuité d'activité. La certification à ces normes est prononcée par des organismes de certification accrédités, jamais par un conseil. La méthode EBIOS Risk Manager, publiée par l'ANSSI en octobre 2018, conduit l'analyse de risque en cinq ateliers, du cadrage et du socle de sécurité jusqu'au traitement du risque. Elle est décrite sur le site de l'ANSSI.

L'ANSSI qualifie par ailleurs les prestataires d'audit de la sécurité des systèmes d'information (PASSI), sur la base d'un référentiel dont la version 2.2 distingue deux niveaux de qualification. Les certifications de personnes comme CISM (Certified Information Security Manager, certification de l'ISACA), délivrée par l'ISACA (Information Systems Audit and Control Association, association professionnelle de l'audit des systèmes d'information), ou CISSP (Certified Information Systems Security Professional, certification d'ISC2), délivrée par ISC2 (International Information System Security Certification Consortium), sont prononcées par ces organismes après examen et justification d'une expérience.

Enjeux d'un établissement et de ses prestataires

Gouvernance, rôles et lignes de défense

Dans une banque, la sécurité du système d'information relève de plusieurs fonctions. La direction générale et l'organe de direction arrêtent la stratégie de résilience et le niveau de risque accepté. Le responsable de la sécurité des systèmes d'information, souvent en deuxième ligne, définit la politique et en contrôle l'application. La direction des systèmes d'information l'exécute au quotidien. Le contrôle permanent, le contrôle périodique et l'audit interne vérifient l'ensemble. Cette organisation prolonge l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, qui traite du risque informatique et de la continuité d'activité, et qui a été modifié à plusieurs reprises, dernièrement par un arrêté du 29 juillet 2026.

La difficulté courante n'est pas l'absence de politique, mais l'écart entre le document et la pratique : un registre des actifs incomplet, des rôles flous entre deuxième ligne et exploitation, des indicateurs qui ne remontent pas jusqu'à l'organe de direction. C'est souvent à cet endroit qu'un regard extérieur est utile, à condition qu'il reste un regard : la décision, elle, appartient à l'établissement.

Identités, détection et gestion des incidents

La majorité des incidents commence par un accès : un compte compromis, un droit qui n'a pas été retiré, un compte d'administration partagé. La gestion des identités et des accès (IAM), la gestion des accès à privilèges, l'authentification forte, les annuaires et les protocoles comme OAuth 2 constituent donc le socle technique. La détection s'appuie sur la journalisation et sur des outils de corrélation (SIEM) alimentés par les applications critiques, avec des cas d'usage de détection que l'on peut décrire avec le référentiel MITRE ATT&CK.

La gestion des incidents suppose une chaîne claire : détection, qualification, classification selon les critères du règlement délégué (UE) 2024/1772, notification à l'autorité, communication aux clients lorsque leurs intérêts sont touchés, analyse après incident. Un incident de sécurité qui touche des données personnelles relève aussi du règlement (UE) 2016/679, qui prévoit une notification à la CNIL (Commission nationale de l'informatique et des libertés) dans les conditions de son article 33 ; les deux régimes se superposent et il faut les articuler dans la procédure. Le secret bancaire, posé par l'article L. 511-33 du code monétaire et financier, s'applique à tout intervenant qui accède aux environnements.

Prestataires TIC, continuité et tests

Un établissement reste pleinement responsable des fonctions qu'il confie à un tiers. DORA oblige à recenser tous les accords contractuels sur des services TIC dans le registre, à distinguer ceux qui soutiennent des fonctions critiques ou importantes, à évaluer le prestataire avant de contracter, à y inclure des clauses minimales et à prévoir une stratégie de sortie. Pour les prestations non TIC, les orientations de l'ABE (Autorité bancaire européenne) sur l'externalisation (EBA/GL/2019/02) restent le texte de référence à la date de rédaction. Les achats, la sécurité, le juridique et le contrôle interne doivent travailler ensemble, ce qui est rarement le cas à la première cartographie. Selon le rapport annuel 2025 de l'ACPR, près de 200 incidents majeurs ont été notifiés à l'autorité en 2025, dont environ 60 % impliquaient un prestataire informatique.

La continuité d'activité complète le dispositif : analyse d'impact sur l'activité, plans de continuité et de reprise, sauvegardes, exercices de crise. Les tests de résilience, qu'il s'agisse d'analyses de vulnérabilités, de revues de configuration, de scénarios de crise ou, pour les entités concernées, de TLPT (Threat-Led Penetration Testing, test d'intrusion fondé sur la menace), doivent être confiés à des testeurs indépendants selon l'article 24 du règlement. Un test n'a de valeur que si ses constats sont suivis : le plan de remédiation est donc aussi important que le rapport.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons votre dispositif de façon documentaire et d'architecture : lecture des politiques, de la cartographie, du registre des prestataires, des rapports d'incident et de tests, entretiens avec les équipes, revue des configurations que vous nous montrez. Nous conseillons sur la gouvernance, la politique de sécurité, le pilotage des prestataires et l'articulation avec la continuité d'activité. Nous concevons avec vos équipes les politiques, les plans de continuité, les procédures d'incident et les architectures d'accès. Nous déployons des solutions d'identité, de supervision et d'authentification, dans les environnements et avec les accès que nous définissons ensemble. Nous menons des audits blancs de préparation à un audit de surveillance, à une certification ISO/IEC 27001 ou à une revue interne. Nos livrables sont traçables, argumentés et présentables à l'ACPR, à l'audit interne ou à la direction.

Nous intervenons en intra-entreprise, sur site ou à distance, au forfait ou en récurrent, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis. Sur les prestations qui touchent aux données de clients, nous respectons le secret bancaire, la confidentialité et les accès définis par l'établissement. La formation, en intra-entreprise, vient en complément. L'article 13, paragraphe 6, du règlement fait de la sensibilisation à la sécurité des TIC et de la formation à la résilience opérationnelle numérique une composante de la formation de tout le personnel et de la direction : nous concevons et animons ces formations, et l'établissement reste seul responsable de son dispositif.

Ce que nous ne faisons pas

• Nous ne prononçons aucune conformité à DORA, à NIS 2 ou à une norme ISO : cette appréciation revient à votre établissement, au superviseur ou à l'organisme de certification accrédité.
• Nous ne sommes pas qualifiés PASSI et nous n'exécutons ni test d'intrusion ni audit qualifié par l'ANSSI. Nous cadrons, nous lisons les rapports et nous suivons la remédiation.
• Nous ne délivrons aucune certification de personnes : CISM relève de l'ISACA, CISSP d'ISC2 et ISO/IEC 27001 Lead Implementer de PECB (Professional Evaluation and Certification Board, organisme de certification). Nos formations ne valent pas qualification, et nous n'organisons pas les examens.
• Nous ne représentons pas votre établissement face à l'ACPR ou à l'AMF, et nous ne signons aucune notification d'incident en son nom : l'établissement conserve la responsabilité de ses fonctions de contrôle et de ses décisions.
• Nous n'exploitons pas vos solutions de sécurité à votre place et nous ne mettons pas de personnel à disposition : nos intervenants travaillent sous l'encadrement d'Optédif, sur des livrables définis.

Références officielles

Le règlement (UE) 2022/2554 et ses actes délégués sont publiés sur EUR-Lex, présentés par l'AMF et mis en œuvre en France par l'ACPR. La surveillance des prestataires critiques est décrite par l'ABE. La méthode EBIOS Risk Manager et le référentiel PASSI sont publiés par l'ANSSI.