DORA (Règlement UE 2022/2554)

DORA (Digital Operational Resilience Act) est le règlement européen sur la résilience opérationnelle numérique du secteur financier, en vigueur depuis le 17 janvier 2025. Il s'applique à environ 22 000 entités financières (banques, mutuelles, assurances, gestionnaires d'actifs) et leurs prestataires TIC critiques. L'Article 9 impose le chiffrement bout-en-bout des données au repos et en transit, la MFA, et un audit trail complet. L'ACPR intensifie ses contrôles en 2026. Sanctions : 10 M€ ou 5% CA. Ce que le règlement change pour un éditeur qui n'est pas une banque : DORA s'applique aux entités financières, mais son article 28 leur impose de contractualiser avec leurs prestataires informatiques et de tenir un registre d'information les décrivant. L'obligation redescend donc mécaniquement sur les éditeurs de logiciels, les hébergeurs et les prestataires de services numériques, qui doivent fournir à leurs clients financiers des éléments qu'ils n'avaient jamais eu à produire : localisation des données, chaîne de sous-traitance, conditions de réversibilité, droits d'audit. Le calendrier est passé, ce qui déplace la question. Le texte s'applique depuis le 17 janvier 2025 et les registres devaient être transmis aux autorités nationales avant le 15 avril 2025 ; les contrôles ont commencé au second semestre. Un éditeur sollicité aujourd'hui ne prépare donc pas une échéance, il répond à un client déjà en défaut ou sur le point de l'être, ce qui raccourcit considérablement les cycles de décision. L'erreur d'interprétation la plus fréquente consiste à lire DORA comme un référentiel technique. Il ne prescrit ni algorithme ni longueur de clé : il exige une politique écrite, fondée sur une analyse de risque, et la capacité à démontrer que les choix faits sont proportionnés et réexaminés. Ce qui coûte cher en audit n'est presque jamais la cryptographie, c'est l'incapacité à produire la documentation qui l'entoure.