Un règlement de l'UE sur la résilience opérationnelle numérique du secteur financier, directement applicable dans chaque État membre depuis le 17 janvier 2025. Ses piliers sont la gestion des risques liés aux TIC (articles 5 à 16), la gestion et la notification des incidents liés aux TIC (17 à 23), les tests de résilience opérationnelle numérique (24 à 27), le risque lié aux prestataires tiers de TIC (28 à 44) et le partage d'informations (45). Des normes techniques de réglementation, telles que le règlement délégué (UE) 2024/1774 relatif au référentiel de gestion des risques liés aux TIC, apportent le détail.
À qui il s'adresse
Une vingtaine de types d'entités financières de l'UE, notamment les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les assureurs et les réassureurs. Les autorités européennes de surveillance supervisent également directement les prestataires tiers de services TIC critiques. Pour les entités financières, les règles du DORA prévalent sur les mesures équivalentes de la directive NIS2.
Comment l'évaluation est réalisée
Il n'existe pas de certification. Les autorités nationales compétentes, ainsi que la BCE pour les banques importantes, contrôlent la conformité. Les incidents majeurs liés aux TIC sont notifiés en plusieurs étapes (une notification initiale, des rapports intermédiaires et un rapport final), dans les délais fixés par les normes techniques. Les entités désignées par leur autorité doivent réaliser, au moins tous les trois ans, des tests d'intrusion fondés sur la menace (TLPT).
Décomptes : les articles qui s'imposent aux entités financières (5–14, 16–19, 24–30, 45), mis en correspondance au niveau du paragraphe.
DORA désigne ici les articles qui s'imposent aux entités financières, mis en correspondance de manière éditoriale au niveau du paragraphe. Les normes techniques qui apportent davantage de détails, comme le règlement délégué (UE) 2024/1774, ne sont pas mises en correspondance ; les sujets techniques qu'elles couvrent n'affichent donc aucun lien.
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.