--- title: "DORA: le guide complet 2026" description: Découvrez le règlement DORA sur la résilience numérique pour le secteur financier, ses obligations et ses différences avec ISO 27001 et NIS2. image: https://www.blog-qhse.com/hubfs/AdobeStock_73669739_modified-4.jpeg --- - [Qui sommes-nous ?](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - [Glossaire](https://www.blog-qhse.com/glossaire) - ![Langue du blog](https://www.blog-qhse.com/hubfs/Blog/icone/lang.svg) - [Anglais](https://www.blog-qhse.com/en) - [Français canadien](https://www.blog-qhse.com/ca) [![Logo Blog B. Le média des risques](https://www.blog-qhse.com/hubfs/Blog/Logo/Logo-B-v2.png) ![Logo Blog B. Le média des managers RSE & QHSE](https://www.blog-qhse.com/hubfs/2302063/Blog/images_blog_2025/logo_b.png)](https://www.blog-qhse.com) ![Recherchez un article](https://www.blog-qhse.com/hubfs/Blog/icone/search.svg) - [QHSE](https://www.blog-qhse.com/topic/qhse) - [RSE](https://www.blog-qhse.com/topic/rse-esg) - [Santé](https://www.blog-qhse.com/topic/sante) - [IT & Cyber](https://www.blog-qhse.com/topic/it-cyber) Menu - [QHSE](https://www.blog-qhse.com/topic/qhse) \+ - [Qualité](https://www.blog-qhse.com/topic/qualite) - [SST](https://www.blog-qhse.com/topic/sst) - [Environnement](https://www.blog-qhse.com/topic/environnement) - [Outils](https://www.blog-qhse.com/topic/outils) - [RSE](https://www.blog-qhse.com/topic/rse-esg) \+ - [Normes & Réglementation](https://www.blog-qhse.com/topic/reglementation-rse) - [Stratégies & Bonnes pratiques](https://www.blog-qhse.com/topic/strategie-rse) - [Innovations & Technologies](https://www.blog-qhse.com/topic/innovations-rse) - [Mesure & Performances](https://www.blog-qhse.com/topic/mesures-rse) - [Santé](https://www.blog-qhse.com/topic/sante) \+ - [Sanitaire](https://www.blog-qhse.com/topic/sanitaire) - [ESSMS](https://www.blog-qhse.com/topic/essms) - [IT & Cyber](https://www.blog-qhse.com/topic/it-cyber) \+ - [RGPD](https://www.blog-qhse.com/topic/rgpd) - [Souveraineté](https://www.blog-qhse.com/topic/souverainete) - [Conformité](https://www.blog-qhse.com/topic/conformite) - [Veille](https://www.blog-qhse.com/topic/veille) - [Qui sommes-nous ?](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - ##### [Glossaire](https://www.blog-qhse.com/glossaire) - Choisir une langue \+ - [Anglais](https://www.blog-qhse.com/en) - [Français canadien](https://www.blog-qhse.com/ca) - ![Recherchez un article](https://www.blog-qhse.com/hubfs/Blog/icone/search.svg) # DORA : comprendre le règlement européen sur la résilience opérationnelle numérique - Publié le 24/09/2026 - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time_white.svg) 5 min de lecture **Résumer cet article avec :** - [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/ChatGPT_Logo_1.png?width=20&height=20&name=ChatGPT_Logo_1.png) ChatGPT](https://chatgpt.com/?prompt=Fournis%20un%20résumé%20concis%20de%20cet%20article%20en%20bullet%20points.%20Puis,%20si%20pertinent,%20liste%20jusqu'à%20trois%20ressources%20complémentaires%20exclusivement%20issues%20de%20blog-qhse.com%20(aucun%20autre%20site).%20Titre%20:%20DORA%20:%20comprendre%20le%20règlement%20européen%20sur%20la%20résilience%20opérationnelle%20numérique%20—%20URL%20:https://www.blog-qhse.com/dora) - | - [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/mistral.png?width=20&height=20&name=mistral.png) Mistral](https://chat.mistral.ai/chat?q=Fournis%20un%20résumé%20concis%20de%20cet%20article%20en%20bullet%20points.%20Puis,%20si%20pertinent,%20liste%20jusqu'à%20trois%20ressources%20complémentaires%20exclusivement%20issues%20de%20blog-qhse.com%20(aucun%20autre%20site).%20Titre%20:%20DORA%20:%20comprendre%20le%20règlement%20européen%20sur%20la%20résilience%20opérationnelle%20numérique%20—%20URL%20:https://www.blog-qhse.com/dora) - | - [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/perplexity.png?width=20&height=20&name=perplexity.png) Perplexity](https://www.perplexity.ai/search?q=Fournis%20un%20résumé%20concis%20de%20cet%20article%20en%20bullet%20points.%20Puis,%20si%20pertinent,%20liste%20jusqu'à%20trois%20ressources%20complémentaires%20exclusivement%20issues%20de%20blog-qhse.com%20(aucun%20autre%20site).%20Titre%20:%20DORA%20:%20comprendre%20le%20règlement%20européen%20sur%20la%20résilience%20opérationnelle%20numérique%20—%20URL%20:https://www.blog-qhse.com/dora) - | - [![](https://www.blog-qhse.com/hs-fs/hubfs/Blog/icone/claude.png?width=20&height=20&name=claude.png) Claude](https://claude.ai/new?q=Fournis%20un%20résumé%20concis%20de%20cet%20article%20en%20bullet%20points.%20Puis,%20si%20pertinent,%20liste%20jusqu'à%20trois%20ressources%20complémentaires%20exclusivement%20issues%20de%20blog-qhse.com%20(aucun%20autre%20site).%20Titre%20:%20DORA%20:%20comprendre%20le%20règlement%20européen%20sur%20la%20résilience%20opérationnelle%20numérique%20—%20URL%20:https://www.blog-qhse.com/dora) [![Accueil](https://www.blog-qhse.com/hubfs/Blog/icone/home-white.svg)](https://www.blog-qhse.com/) \> DORA: le guide complet 2026 ![Drapeaux de l’Union européenne flottant au vent sur de hauts mâts devant un bâtiment moderne en verre, sous un ciel partiellement nuageux. Vue en contre-plongée mettant en évidence les symboles européens et l’architecture institutionnelle.](https://www.blog-qhse.com/hs-fs/hubfs/AdobeStock_73669739_modified-4.jpeg?width=400&name=AdobeStock_73669739_modified-4.jpeg) [![Frédéric Rémi](https://www.blog-qhse.com/hs-fs/hubfs/frederic.png?width=75&height=75&name=frederic.png)](https://www.blog-qhse.com/author/frédéric-rémi) [Frédéric Rémi](https://www.blog-qhse.com/author/frédéric-rémi) Expert en gestion unifiée des risques et cybersécurité// ![Sommaire](https://www.blog-qhse.com/hubfs/Blog/icone/summary.svg) Sommaire ![](https://www.blog-qhse.com/hubfs/Blog/icone/close.svg) Date de mise à jour **24/09/2026** DORA: le guide complet 2026 8:04 ## En résumé **DORA est le règlement européen qui impose aux acteurs financiers de gérer leurs risques numériques, tester leur capacité de résilience et maîtriser les risques liés à leurs fournisseurs TIC (technologies d'information et communication).** **Les 5 obligations à retenir** \- Gérer les risques TIC \- Déclarer les incidents majeurs \- Tester la résilience numérique \- Superviser les prestataires critiques \- Mettre en place une gouvernance adaptée  **DORA (Digital Operational Resilience Act) est un règlement européen qui impose aux entités financières de gérer leurs risques liés aux TIC (Technologie de l'Information et de la Communication), de tester leur capacité de résilience numérique, de signaler leurs incidents majeurs et de superviser leurs prestataires technologiques critiques.**   Le secteur financier européen s'est numérisé à un rythme inédit : banque en ligne, paiements instantanés, cloud, intelligence artificielle. Cette dépendance croissante aux technologies de l'information et de la communication (TIC) s'accompagne d'une exposition accrue aux cyberattaques, aux pannes informatiques et à la concentration des risques chez un petit nombre de prestataires technologiques. Ces incidents ne sont plus de simples problèmes techniques, ils peuvent menacer la stabilité financière elle-même.   Cet article explique ce qu'est le règlementement DORA, qui il concerne, quelles obligations il impose, comment s'y préparer, et en quoi il se distingue de NIS2 et de l'ISO 27001.   ## Qu'est-ce que DORA ? **DORA (Digital Operational Resilience Act) est un règlement européen qui impose aux entités financières de gérer leurs risques liés aux TIC, de tester leur capacité de résilience numérique, de signaler leurs incidents majeurs et de superviser leurs prestataires technologiques critiques.** Contrairement à une directive, un règlement s'applique directement dans tous les États membres, sans loi de transposition nationale. >   > > | Élément | Description | > | --- | --- | > | **Nom complet** | ***Digital Operational Resilience Act ou *** | > | **Référence** | Règlement (UE) 2022/2554 du 14 décembre 2022 | > | **Type de texte** | Règlement européen (application directe) | > | **Domaine** | Résilience opérationnelle numérique | > | **Secteur concerné** | Finance (banques, assurances, gestion d'actifs, paiement, crypto-actifs) | > | **Entrée en application** | 17 janvier 2025 | > | **Objectif** | Garantir la capacité des entités financières à résister, répondre et se rétablir face aux incidents TIC | > >   ## Pourquoi le règlement DORA a-t-il été créé ? ### La transformation numérique du secteur financier La banque et l'assurance reposent aujourd'hui sur des architectures largement dématérialisées via les applications mobiles, plateformes de trading, souscription en ligne, intelligence artificielle pour le scoring ou la détection de fraude. Cette bascule s'est accompagnée d'un recours massif au cloud et à des chaînes de sous-traitance technologique de plus en plus longues, ce qui démultiplie les surfaces d'exposition au risque.   ### Une exposition croissante aux cyberattaques Le secteur financier reste une cible privilégiée : rançongiciels paralysant des systèmes bancaires, compromissions d'identifiants, attaques par la chaîne d'approvisionnement logicielle ou attaques visant directement les infrastructures de marché.   Une indisponibilité de quelques heures sur un système de paiement peut avoir des répercussions bien au-delà de l'établissement touché.   ### Le besoin d'un cadre harmonisé au niveau européen Avant le règlement DORA, la gestion du risque TIC dans la finance européenne était fragmentée. En effet, chaque État membre, voire chaque régulateur sectoriel, appliquait ses propres exigences. DORA vient harmoniser ces règles pour l'ensemble du Marché Unique, homogénéiser les pratiques de gestion des risques, renforcer la résilience collective du secteur et donner aux superviseurs des outils communs, y compris à l'égard des prestataires technologiques.   > ## Qui est concerné par DORA ? DORA s’applique à un large éventail d’**entités financières réglementées dans l’Union européenne**, ainsi qu’à certains acteurs de l’écosystème numérique financier. Le règlement couvre notamment les banques, assurances, établissements de paiement, entreprises d’investissement, sociétés de gestion et prestataires de services sur crypto-actifs. Les exigences sont toutefois appliquées selon un **principe de proportionnalité**, en fonction notamment de la taille, du profil de risque et de la complexité des activités.   Les principales catégories d’acteurs concernées sont :   - **Les banques et établissements de crédit** : les établissements de crédit entrent directement dans le champ d’application de DORA et doivent intégrer la résilience opérationnelle numérique à leur dispositif de gestion des risques. - **Les assurances et réassurances** : les entreprises d’assurance et de réassurance sont concernées, ainsi que certaines catégories d’intermédiaires d’assurance, sous réserve des exclusions et critères prévus par le règlement. - **Les établissements de paiement et de monnaie électronique** : DORA encadre leur gestion du risque TIC et prévoit l’articulation de certaines obligations avec le cadre réglementaire applicable aux services de paiement. - **Les entreprises d’investissement et sociétés de gestion** : le périmètre comprend notamment les entreprises d’investissement, les sociétés de gestion d’OPCVM et les gestionnaires de fonds d’investissement alternatifs. - **Les prestataires de services sur crypto-actifs** : les prestataires autorisés au titre du cadre européen applicable aux crypto-actifs font également partie des entités financières couvertes par DORA. - **D’autres infrastructures et acteurs des marchés financiers** sont également concernés, notamment les contreparties centrales, dépositaires centraux de titres, plateformes de négociation, référentiels centraux ou encore certains prestataires de services de financement participatif. Enfin, les **prestataires tiers de services TIC** occupent une place centrale dans DORA, mais leur situation doit être distinguée de celle des entités financières : les entités financières doivent maîtriser les risques liés à leurs prestataires TIC, tandis que les **prestataires tiers critiques de services TIC** peuvent être soumis au cadre européen de supervision prévu par DORA.   > **💡 Bon à savoir** > > > > **Les fintechs ne constituent pas, à elles seules, une catégorie juridique spécifique dans DORA.** Une fintech est concernée lorsqu’elle relève de l’une des catégories d’entités financières visées par le règlement. ## Les cinq piliers du règlement DORA DORA structure ses exigences autour de cinq piliers complémentaires.   ![Avis des experts](https://www.blog-qhse.com/hubfs/Blog/icone/star.svg) Infographie #### Les 5 Pilliers du Règlement DORA Télécharger gratuitement votre infographie. Vous confirmez accepter le traitement de vos données personnelles par BluKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communications. Vous pouvez vous désinscrire à tout moment. ![Les 5 Pilliers du Règlement DORA](https://www.blog-qhse.com/hubfs/Infographies%20IRM/DORA_5pilliers.png)   ### 1. Gestion des risques liés aux TIC Chaque entité doit mettre en place un cadre de gouvernance et de contrôle interne dédié au risque TIC : identification des risques, évaluation de leurs impacts potentiels et déploiement de mesures de maîtrise. Cela suppose un inventaire à jour des actifs numériques, une analyse de risques formalisée et des contrôles de sécurité proportionnés aux enjeux.   ### 2. Gestion et notification des incidents Les entités financières doivent détecter, enregistrer, qualifier et, le cas échéant, déclarer tout incident TIC majeur aux autorités compétentes, qu'il s'agisse d'une indisponibilité de service, d'une perte d'intégrité des données ou d'une compromission.   ### 3. Tests de résilience opérationnelle numérique Un programme de tests périodiques doit vérifier la capacité réelle de l'organisation à résister à un incident : audits techniques, tests de vulnérabilité et, pour les entités les plus systémiques, tests de pénétration fondés sur la menace (TLPT).   ### 4. Gestion des risques liés aux prestataires TIC C'est l'un des points les plus structurants du règlement : due diligence avant contractualisation, clauses contractuelles obligatoires, supervision continue des prestataires et attention particulière à la dépendance au cloud.   ### 5. Partage d'informations sur les cybermenaces DORA encourage les entités financières à participer à des dispositifs d'échange d'informations et de renseignement sur les menaces, dans un objectif de détection précoce et de résilience collective sectorielle.   ## Quelles sont les obligations concrètes imposées par DORA ? DORA impose aux entités financières de **prévenir, détecter, gérer et surmonter les incidents liés aux TIC** à travers des obligations concrètes de gouvernance, de gestion des risques, de notification des incidents, de tests de résilience et de maîtrise des prestataires TIC.   En pratique, les organisations seront tenues de : - **mettre en place un cadre de gouvernance du risque TIC**, avec des responsabilités clairement définies et une implication directe de l’organe de direction ; - **identifier et cartographier les actifs, systèmes et dépendances TIC**, notamment ceux qui soutiennent des fonctions critiques ou importantes ; - **formaliser la gestion des incidents TIC**, de leur détection et classification jusqu’à la notification des incidents majeurs aux autorités compétentes ; - **mettre en œuvre un programme de tests de résilience opérationnelle numérique**, adapté au niveau de risque et régulièrement actualisé ; - **encadrer les relations avec les prestataires de services TIC**, en intégrant notamment dans les contrats les exigences prévues par DORA, dont celles de l’article 30 ; - **tenir à jour un registre d’informations sur les accords contractuels avec les prestataires TIC** et être en mesure de le communiquer aux autorités compétentes selon les modalités prévues par le règlement. La conformité DORA repose ainsi sur un principe central : **transformer la gestion du risque TIC en un dispositif continu, documenté, testé et piloté au niveau de l’organisation**.   ## DORA et la gestion des prestataires TIC DORA impose aux entités financières de **maîtriser les risques liés à leurs prestataires de services TIC tout au long de la relation contractuelle**. Cela implique notamment d’identifier les dépendances critiques, d’évaluer les risques avant la contractualisation, d’encadrer les contrats, de surveiller les prestataires et de prévoir des stratégies de sortie.   ### Pourquoi DORA renforce-t-il la gestion des prestataires TIC ? Le recours croissant au **cloud, aux logiciels et aux services informatiques externalisés** augmente la dépendance du secteur financier à des prestataires parfois communs à de nombreuses organisations. Une défaillance ou une cyberattaque touchant un fournisseur peut ainsi perturber simultanément plusieurs entités financières.   DORA traite donc le **risque lié aux tiers TIC comme une composante à part entière du risque TIC,** puisque l’externalisation d’un service ne transfère pas la responsabilité de sa maîtrise au prestataire.   ### Que faut-il vérifier chez ses prestataires TIC ? Avant de conclure un contrat de services TIC, puis pendant toute la durée de la relation, l’entité financière doit **évaluer et surveiller les risques associés au prestataire**, avec une vigilance renforcée lorsque le service soutient une fonction critique ou importante.   Cette évaluation porte notamment sur : - **le niveau de sécurité et de résilience** du prestataire ; - **les dispositifs de continuité et de reprise d’activité** ; - **les lieux où les services sont fournis et les données traitées ou stockées** ; - **la gestion et la notification des incidents TIC** ; - **le recours à la sous-traitance** et les risques associés à la chaîne de prestataires ; - **la capacité à auditer et contrôler le prestataire** ; - **les conditions de résiliation et la stratégie de sortie**, afin de limiter les risques de dépendance et d’interruption de service. Les contrats doivent parallèlement intégrer les **clauses exigées par le règlement DORA**, avec des dispositions supplémentaires lorsque les services TIC soutiennent une fonction critique ou importante.   ### Qu’est-ce qu’un prestataire tiers critique au sens de DORA ? DORA instaure également un régime spécifique pour certains **prestataires tiers de services TIC considérés comme critiques (CTPP)** pour le secteur financier européen. Leur désignation repose notamment sur leur importance systémique, le nombre et la nature des entités financières qui dépendent de leurs services ainsi que leur degré de substituabilité.   Ces prestataires font l’objet d’un **cadre européen de supervision**, piloté par les autorités européennes de surveillance. L’objectif est de maîtriser les risques de concentration et les dépendances susceptibles d’avoir des conséquences dépassant une seule entité financière.   DORA instaure ainsi une double logique : **chaque entité financière reste responsable de la maîtrise de ses risques liés aux tiers TIC, tandis que les prestataires considérés comme critiques font l’objet d’une surveillance renforcée à l’échelle européenne.**   ## DORA et la cybersécurité : quelles mesures techniques mettre en place ? DORA n’impose pas une liste unique de technologies de cybersécurité : les entités financières doivent mettre en place des **mesures techniques proportionnées à leurs risques TIC**, afin de protéger leurs systèmes, détecter les incidents et assurer la continuité et le rétablissement des activités.   En pratique, ce dispositif peut notamment s’appuyer sur : - **le contrôle des accès**, selon le principe du moindre privilège, afin de limiter chaque utilisateur aux ressources nécessaires à ses fonctions ; - **l’authentification multifacteur (MFA)** pour renforcer la sécurité des accès aux systèmes et environnements sensibles ; - **des sauvegardes régulières, sécurisées et testées**, associées à des procédures de restauration permettant de vérifier la capacité de reprise ; - **des solutions de détection et de réponse (EDR/XDR)** pour identifier et traiter rapidement les activités suspectes ; - **une gestion structurée des vulnérabilités et des correctifs**, reposant notamment sur l’identification, l’évaluation, la priorisation et le traitement des vulnérabilités ; - **une surveillance continue des événements de sécurité**, par exemple au moyen d’un SOC (Security Operation Center ou Centre des Opérations de Sécurité), afin de détecter rapidement les anomalies et d’alimenter le processus de gestion des incidents. L’enjeu n’est donc pas d’accumuler les outils de cybersécurité, mais de construire un **dispositif cohérent de prévention, de détection, de réponse et de rétablissement**, adapté aux risques et aux activités de l’organisation.   ## DORA, NIS2 et ISO 27001 : quelles différences ? Ces trois textes partagent une même logique de gestion des risques, mais diffèrent par leur nature, leur portée et leur caractère obligatoire.   | Critère | DORA | NIS2 | ISO 27001 | | --- | --- | --- | --- | | **Nature** | Règlement européen | Directive européenne | Norme internationale | | **Public cible** | Secteur financier | Secteurs essentiels et importants | Toutes organisations | | **Gestion des risques** | Oui | Oui | Oui | | **Fournisseurs TIC** | Exigence très forte | Exigence modérée | Variable selon le SMSI | | **Certification** | Non | Non | Oui (facultative) | | **Caractère obligatoire** | Oui | Oui | Non |   ### DORA vs NIS2 Les deux textes partagent une même philosophie de gestion des risques et de notification des incidents, mais leurs périmètres diffèrent. Le règlement DORA s'applique spécifiquement aux entités financières et fait office de *lex specialis,* c'est-à-dire qu'il s'applique en priorité, tandis que [NIS2](https://www.blog-qhse.com/nis2) couvre un spectre bien plus large de secteurs essentiels et importants (énergie, santé, transport, etc.). Ainsi, une entité financière relevant aussi de NIS2 applique en pratique DORA en priorité pour ce qui concerne la résilience numérique.   ### DORA vs ISO 27001 La différence est avant tout de nature. Le règlement DORA est une obligation réglementaire contraignante, tandis que l'ISO 27001 est un référentiel de management de la sécurité de l'information, à adoption volontaire et certifiable.   L'un ne dispense pas de l'autre, mais un système de management de la sécurité de l'information (SMSI) déjà conforme à l'ISO 27001 facilite grandement la mise en conformité DORA.   ### Comment les combiner ? L'approche la plus efficace consiste à bâtir une démarche intégrée en s'appuyant sur la structure d'un SMSI certifié ISO 27001 pour organiser la gouvernance et les contrôles, tout en s'assurant que les exigences spécifiques de DORA (gestion des prestataires, tests de résilience, notification des incidents) sont explicitement couvertes, complétées si besoin par les apports du [CRA (Cyber Resilience Act)](https://www.blog-qhse.com/cyber-resilience-act) sur la sécurité des produits numériques.   ## Comment préparer son organisation à DORA ? Pour préparer son organisation à DORA, il faut commencer par **évaluer son niveau de conformité**, identifier les écarts avec les exigences du règlement, puis construire un plan de remédiation couvrant la gouvernance, la gestion des risques TIC et le pilotage des prestataires.     ![Avis des experts](https://www.blog-qhse.com/hubfs/Blog/icone/star.svg) Infographie #### Votre conformité DORA en 6 étapes clés Télécharger gratuitement votre infographie. Vous confirmez accepter le traitement de vos données personnelles par BluKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communications. Vous pouvez vous désinscrire à tout moment. ![Conformité DORA en 6 étapes clés](https://www.blog-qhse.com/hubfs/Infographies%20IRM/DORA_conformit%C3%A9%20en%206%20%C3%A9tapes%20cl%C3%A9s.png)   La démarche peut être structurée en **cinq étapes clés** : 1. **Réaliser un diagnostic de maturité DORA :** Évaluer les dispositifs existants (gouvernance du risque TIC, gestion des incidents, tests de résilience, continuité d’activité et gestion des prestataires) afin de mesurer leur niveau d’alignement avec les exigences du règlement. 2. **Identifier et prioriser les écarts de conformité :** À partir du diagnostic, cartographier les écarts pour chaque pilier de DORA et les hiérarchiser selon leur criticité, leur impact et l’effort nécessaire pour les corriger. 3. **Structurer la gouvernance du risque TIC :** Définir clairement les rôles et responsabilités, formaliser les processus de décision et assurer l’implication de l’organe de direction dans le pilotage de la résilience opérationnelle numérique. 4. **Renforcer la gestion des prestataires TIC :** Recenser les accords contractuels dans le registre d’informations, identifier les prestataires soutenant des fonctions critiques ou importantes et vérifier que les contrats intègrent les exigences applicables de DORA, notamment celles prévues à l’article 30. 5. **Construire et piloter un plan de remédiation :** Transformer les écarts identifiés en actions concrètes, avec des responsables, des échéances, des priorités et des indicateurs de suivi permettant de mesurer l’avancement de la mise en conformité. La préparation à DORA ne s’arrête toutefois pas à la clôture du plan de remédiation. La **résilience opérationnelle numérique doit être pilotée dans la durée**, à travers des contrôles, des tests et une actualisation régulière des dispositifs.  ## Quelles sont les erreurs les plus fréquentes dans la mise en conformité DORA ? La mise en conformité DORA ne se limite pas à renforcer la cybersécurité. Elle suppose une approche globale de la **résilience opérationnelle numérique**, intégrant la gouvernance, les prestataires TIC, la gestion des incidents et les tests de résilience.   Plusieurs erreurs peuvent fragiliser la démarche : - **Limiter DORA à la cybersécurité :** Le règlement dépasse la seule sécurité informatique : gouvernance du risque TIC, continuité d'activité, gestion des incidents, surveillance des prestataires et tests de résilience font partie intégrante du dispositif. - **Négliger les fournisseurs TIC :** La gestion du risque lié aux prestataires constitue un pilier de DORA. Une cartographie incomplète des fournisseurs, des contrats insuffisamment encadrés ou un suivi trop ponctuel peuvent créer des angles morts dans la maîtrise du risque TIC. - **Sous-estimer le reporting des incidents :** La notification des incidents TIC majeurs répond à des délais réglementaires précis : notification initiale, rapport intermédiaire puis rapport final. L'organisation doit donc disposer en amont d'un processus capable de détecter, classifier, documenter et transmettre rapidement les informations nécessaires. - **Ne pas tester régulièrement sa résilience :** Des procédures documentées ne suffisent pas : DORA impose un programme de tests destiné à vérifier concrètement la capacité de l'organisation à prévenir, détecter, gérer et surmonter les perturbations liées aux TIC. - **Cantonnner DORA aux équipes IT :** La résilience opérationnelle numérique est un enjeu de gouvernance. Sans implication de l'organe de direction et coordination entre IT, risques, conformité, métiers et achats, la démarche risque de rester fragmentée. Éviter ces erreurs permet de faire de DORA un véritable **levier de résilience opérationnelle**, capable de renforcer durablement la maîtrise des risques numériques.   ## Quels bénéfices au-delà de la conformité ? Se conformer aux exigences réglementaires n’est qu’une partie de l’enjeu. En structurant la gestion des risques, la continuité d’activité et le suivi des prestataires, l’organisation peut faire de sa démarche de conformité un **véritable levier de résilience opérationnelle**.    ### Réduction des risques opérationnels Une gestion structurée du risque TIC limite la fréquence et la gravité des incidents.   ### Amélioration de la continuité d'activité Des dispositifs testés régulièrement raccourcissent les délais de rétablissement après incident.   ### Renforcement de la confiance des clients Une résilience démontrée devient un argument de réassurance vis-à-vis des clients et des partenaires.   ### Meilleure maîtrise des fournisseurs La cartographie et le suivi des prestataires TIC réduisent les angles morts de la chaîne de valeur.   ### Résilience accrue face aux cyberattaques Au-delà de la conformité réglementaire, l'organisation gagne une capacité réelle à absorber et à surmonter les chocs, notamment numériques.   Au-delà de la conformité, l’enjeu est donc de construire une organisation **plus robuste face aux incidents et aux cybermenaces**. Une résilience numérique bien structurée permet à la fois de mieux anticiper les risques, de limiter leur impact et de renforcer la confiance de l’écosystème.    Pour aller plus loin [**Gestion des risques et résilience : comment renforcer la capacité d’adaptation de l’entreprise ?**](https://www.blog-qhse.com/gestion-des-risques-et-resilience)   ## De la conformité réglementaire à la résilience numérique    En 2026, le règlement DORA s’impose comme le cadre de référence de la résilience numérique dans le secteur financier européen. Après une première année d’application relativement tolérante, les superviseurs attendent désormais des dispositifs réellement opérationnels, testés et documentés.   Se conformer au règlement DORA ne relève pas d’une approche uniquement technique. Il faut mettre en place une gouvernance de bout en bout : cartographie des actifs et des fournisseurs, gestion des incidents, programme de tests de résilience et pilotage au plus haut niveau. Les organisations déjà structurées autour d’un SMSI ISO 27001, de NIS2 ou du CRA disposent d’une base solide pour avancer plus vite.   Au-delà de la conformité, DORA peut devenir un levier de performance : réduction des incidents, meilleure continuité d’activité, maîtrise des fournisseurs critiques et confiance renforcée. Le point de départ reste le même : réaliser un diagnostic de maturité pour bâtir un plan d’action priorisé.     [Pilotez la conformité multi-référentiels avec BlueKanGo](https://cta-eu1.hubspot.com/web-interactives/public/v1/track/click?encryptedPayload=AVxigLK2Qc658HlMojWDgjXiMS3TRkmYor7P0FeKtKzgLeU2muEZmMwhToFtKXy4F%2FnLW80frp8rFz1nbTO%2FvmZAcFaO6Ok%2F9aqrFnBSJVm8PEsl6ZH7e6O03L8ZbTR8t2uOy2TpwY0B5tTHw%2F7Gu4z9a%2FzHHKYyIv4xUCCkPEdH88sKKs20w3hYUZTEYoGkEN2hNytkJPlE&portalId=2302063) [![Guide](https://www.blog-qhse.com/hubfs/Blog/icone/book.svg) Livre blanc - Risques Cyber GRATUIT Comment piloter vos risques et votre conformité à l'ère de **NIS2, CRA et DORA** ? Unifiez votre conformité pour faire face aux nouvelles exigences réglementaires. Télécharger le guide ![Guide](https://www.blog-qhse.com/hs-fs/hubfs/Livre%20blanc%20BlueKanGo%20IRM-1.jpg?width=144&height=204&name=Livre%20blanc%20BlueKanGo%20IRM-1.jpg)](https://cta-eu1.hubspot.com/web-interactives/public/v1/track/click?encryptedPayload=AVxigLLxMdwVFhPh3%2FYKt5zDZwfFKfoOlHcLV3FHZ8SFNrjg6hC4RK3dMXBP6Mw%2B4%2BEUH4ovRTk23X3dJLD9VRmzyekKZirPKiLeC5VV7%2FlYboOGj7x6Ga8ZudmXr%2FqjnQXEwNoysvc1PZuIhz30Pc0H3lfNNcDSSvYUBlUl%2B4Dx6T9Py5qqEh8hB3NAWH7BIoqRzQ%3D%3D&portalId=2302063) . . . ## FAQ - ### Qu'est-ce que DORA ? DORA (Digital Operational Resilience Act) est le règlement européen 2022/2554 qui renforce la résilience opérationnelle numérique du secteur financier. Il impose aux organisations concernées de prévenir, détecter, gérer et signaler les incidents liés aux systèmes d'information et aux cybermenaces. - ### DORA est-il obligatoire ? Oui. DORA est un règlement européen directement applicable dans tous les États membres de l'Union européenne. Les entités concernées sont tenues de respecter ses exigences sans qu'une transposition nationale soit nécessaire. - ### Qui est concerné par DORA ? DORA s'applique à un large éventail d'acteurs financiers, notamment : - les banques ; - les compagnies d'assurance ; - les établissements de paiement ; - les établissements de monnaie électronique ; - les sociétés de gestion ; - les entreprises d'investissement ; - les fintechs réglementées ; - les prestataires de services sur crypto-actifs. Les obligations sont appliquées selon un principe de proportionnalité prenant en compte la taille, les activités et le niveau de risque de l'organisation. - ### Les fintechs sont-elles concernées par DORA ? Oui. Toute fintech exerçant une activité financière réglementée entre dans le champ d'application du règlement. Les mesures attendues sont adaptées à son profil de risque et à son niveau de maturité. - ### Les fournisseurs cloud et prestataires informatiques sont-ils concernés ? Oui. DORA encadre les prestataires TIC (Technologies de l'Information et de la Communication) qui fournissent des services aux acteurs financiers. Les fournisseurs soutenant des fonctions critiques ou importantes font l'objet d'exigences renforcées et certains peuvent être qualifiés de prestataires tiers critiques au niveau européen. - ### Quels sont les principaux piliers de DORA ? DORA repose sur cinq grands domaines : 1. la gouvernance et la gestion des risques TIC ; 2. la gestion et la déclaration des incidents ; 3. les tests de résilience opérationnelle numérique ; 4. la gestion des risques liés aux prestataires tiers ; 5. le partage d'informations sur les cybermenaces. Ces piliers structurent l'ensemble des obligations de conformité. - ### Quels tests de résilience DORA impose-t-il ? Les organisations doivent réaliser des évaluations régulières de leur niveau de sécurité, incluant des tests techniques, des analyses de vulnérabilité et des exercices de cybersécurité adaptés aux risques identifiés. Certaines entités doivent également mener des tests de pénétration fondés sur la menace (TLPT). - ### Comment réaliser un diagnostic de conformité DORA ? Un diagnostic DORA consiste à évaluer l'organisation au regard des exigences du règlement concernant : - la gouvernance ; - la gestion des risques ; - la sécurité des systèmes d'information ; - la gestion des incidents ; - la gestion des fournisseurs ; - les dispositifs de résilience. L'objectif est d'identifier les écarts de conformité et de définir un plan d'actions priorisé. - ### DORA impose-t-il la certification ISO 27001 ? Non. La certification ISO 27001 n'est pas une obligation réglementaire dans le cadre de DORA. En revanche, elle constitue une base reconnue pour structurer la gouvernance de la sécurité de l'information et faciliter la mise en conformité. - ### Quelle différence entre DORA et NIS2 ? DORA est spécifiquement destiné au secteur financier, tandis que NIS2 couvre un ensemble plus large de secteurs essentiels et importants. Pour les entités financières concernées, DORA constitue la référence principale en matière de résilience opérationnelle numérique. ![Frédéric Rémi](https://www.blog-qhse.com/hs-fs/hubfs/frederic.png?width=75&height=75&name=frederic.png) Frédéric Rémi Expert en gestion unifiée des risques et cybersécurité// ## ![Selection de la redaction](https://www.blog-qhse.com/hubfs/Blog/icone/selection.svg) Sélection de la rédaction - ### [Comment mettre en œuvre sa cartographie des risques en 5 étapes clés](https://www.blog-qhse.com/la-cartographie-des-risques) - [#QHSE #Qualite](https://www.blog-qhse.com/la-cartographie-des-risques) - ### [Le Plan de Continuité d’Activité : Comment mieux se préparer en vue d’une situation de crise ?](https://www.blog-qhse.com/le-plan-de-continuite-dactivite) - [#QHSE](https://www.blog-qhse.com/le-plan-de-continuite-dactivite) - ### [Le plan d’action : votre meilleur atout dans l’atteinte de vos objectifs QHSE !](https://www.blog-qhse.com/plan-daction-comment-etre-plus-efficace-dans-sa-gestion) - [#QHSE](https://www.blog-qhse.com/plan-daction-comment-etre-plus-efficace-dans-sa-gestion) ## ![Recommended by You](https://www.blog-qhse.com/hubfs/Blog/icone/star.svg) Recommandé pour vous - [![2025-12-22\_18h41\_31](https://www.blog-qhse.com/hs-fs/hubfs/2025-12-22_18h41_31.png?width=150&name=2025-12-22_18h41_31.png)](https://www.bluekango.com/ressources/le-bilan-carbone-avec-bluekango/) ### [Le Bilan Carbone® avec BlueKanGo](https://www.bluekango.com/ressources/le-bilan-carbone-avec-bluekango/) - [![www.bluekango.comwp-contentuploads202401sante](https://www.blog-qhse.com/hs-fs/hubfs/social-suggested-images/www.bluekango.comwp-contentuploads202401sante.jpg?width=150&name=www.bluekango.comwp-contentuploads202401sante.jpg)](https://www.bluekango.com/realisations/etude-de-cas-classeur-ged-qualite-sante-bluekango/) ### [Optimisation de la GED et pilotage de la Qualité](https://www.bluekango.com/realisations/etude-de-cas-classeur-ged-qualite-sante-bluekango/) - [![rse-top-appli](https://www.blog-qhse.com/hs-fs/hubfs/rse-top-appli.png?width=150&name=rse-top-appli.png)](https://www.bluekango.com/top-applications/top-3-applications-rse/) ### [Top 3 Applications RSE](https://www.bluekango.com/top-applications/top-3-applications-rse/) ![](https://www.blog-qhse.com/hubfs/Blog/icone/newsletter.svg) ##### La newsletter Les meilleures pratiques QHSE, RSE/ESG & Santé, chaque mois, par email. Vous confirmez accepter le traitement de vos données personnelles par BluKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communication. Vous pouvez vous désinscrire à tout moment. - [![Home](https://www.blog-qhse.com/hubfs/Blog/icone/home.svg)](https://www.blog-qhse.com/) \> - DORA: le guide complet 2026 ## Nous vous recommandons [![Personne utilisant une tablette et un clavier devant des interfaces graphiques de cybersécurité affichées en surimpression, avec des icônes de connexion sécurisée, de protection des données, de cloud et d’intelligence artificielle. L’image illustre la sécurité numérique, la gestion des données et les technologies informatiques.](https://www.blog-qhse.com/hs-fs/hubfs/AdobeStock_672281276-1.jpeg?width=169&name=AdobeStock_672281276-1.jpeg)](https://www.blog-qhse.com/cyber-resilience-act) [Cyber Resilience Act (CRA) : tout comprendre sur la nouvelle réglementation européenne en cybersécurité](https://www.blog-qhse.com/cyber-resilience-act) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 8 min de lecture [![](https://www.blog-qhse.com/hs-fs/hubfs/IRM%20(4).png?width=169&name=IRM%20(4).png)](https://www.blog-qhse.com/ebios-rm-et-fair-choisir-sa-methode-de-scoring-risque) [EBIOS RM et FAIR : choisir sa méthode de scoring des risques](https://www.blog-qhse.com/ebios-rm-et-fair-choisir-sa-methode-de-scoring-risque) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 5 min de lecture [![Main positionnant un bloc en bois portant un symbole d’avertissement rouge au sommet d’un assemblage de cubes. Les autres cubes affichent des engrenages noirs, illustrant un risque ou un problème dans un processus ou un système.](https://www.blog-qhse.com/hs-fs/hubfs/AdobeStock_1916587457_v2.jpeg?width=169&name=AdobeStock_1916587457_v2.jpeg)](https://www.blog-qhse.com/cartographie-consolidee-des-risques-eviter-les-silos) [Cartographie consolidée des risques : pourquoi vos quatre cartographies vous fragilisent](https://www.blog-qhse.com/cartographie-consolidee-des-risques-eviter-les-silos) - [#QHSE](https://www.blog-qhse.com/topic/qhse) - ![Temps de lecture](https://www.blog-qhse.com/hubfs/Blog/icone/time.svg) 5 min de lecture 5 min de lecture ## Recevoir toute l’actualité En vous inscrivant à notre Newsletter, vous confirmez accepter le traitement de vos données personnelles par BlueKanGo, conformément à la [Politique de Confidentialité](https://www.bluekango.com/fr/politique-de-confidentialite/) (RGPD) et à recevoir nos communications (Newsletter, invitation à des évènements...). Vous pouvez vous désinscrire à tout moment. [![Logo du média des managers RSE & QHSE](https://www.blog-qhse.com/hs-fs/hubfs/Blog/Logo/Logo-B-v2.png?height=60&name=Logo-B-v2.png)](https://www.blog-qhse.com) L'actualité QHSE, Santé, RSE, IT et cyber pour une gestion plus performante et responsable de votre organisation. Le média - [Qui sommes-nous](https://www.blog-qhse.com/qui-sommes-nous-blog-b) - [Nos auteurs](https://www.blog-qhse.com/auteur-blog-b) - [Agenda](https://www.blog-qhse.com/agenda_bluekango) - [Glossaire](https://www.blog-qhse.com/glossaire) QHSE - [Qualité](https://www.blog-qhse.com/topic/qualite) - [SST](https://www.blog-qhse.com/topic/sst) - [Environnement](https://www.blog-qhse.com/topic/environnement) - [Outils](https://www.blog-qhse.com/topic/outils) RSE - [Normes & Réglementation](https://www.blog-qhse.com/topic/reglementation-rse) - [Stratégies & Bonnes Pratiques](https://www.blog-qhse.com/topic/strategie-rse) - [Innovations & Technologies](https://www.blog-qhse.com/topic/innovations-rse) - [Mesure & Performances](https://www.blog-qhse.com/topic/mesures-rse) Santé - [Sanitaire](https://www.blog-qhse.com/topic/sanitaire) - [ESSMS](https://www.blog-qhse.com/topic/essms) Nous suivre sur les réseaux sociaux - [![LinKedin](https://www.blog-qhse.com/hubfs/Blog/icone/in.svg)](https://www.linkedin.com/company/bluekango/) - [![Facebook](https://www.blog-qhse.com/hubfs/Blog/icone/fb.svg)](https://www.facebook.com/BlueKanGo/) - [![X](https://www.blog-qhse.com/hubfs/Blog/icone/x.svg)](https://twitter.com/BlueKanGo) - [Politique de Confidentialité](https://www.bluekango.com/politique-de-confidentialite/) - [Politique cookies](https://www.blog-qhse.com/politique-des-cookies) - [Mentions légales](https://www.blog-qhse.com/mentions-l%C3%A9gales) - © Copyright 2002- bluekango.com. Tous droits réservés. - Les différentes marques mentionnées appartiennent à leur propriétaire respectif. ![Mentions Cookies](https://www.blog-qhse.com/hubfs/cookies.png) ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://www.blog-qhse.com/", "name" : "Accueil", "position" : 1 }, { "@type" : "ListItem", "item" : "https://www.blog-qhse.com/dora", "name" : "DORA: le guide complet 2026", "position" : 2 } ] } ``` ```json { "@context" : "https://schema.org", "@type" : "CollectionPage", "description" : "Retrouvez tous les articles sur la qualité en entreprise : SMQ, ISO 9001, outils, méthodes et bonnes pratiques pour piloter l’amélioration continue et la conformité.", "image" : "https://www.blog-qhse.com/images/qhse-banniere.jpg", "keywords" : "Qualité, ISO 9001, SMQ, amélioration continue, audit, SIPOC, Kaizen, 5S, logiciel qualité, cartographie des processus, évaluation fournisseur", "mainEntity" : [ { "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "DORA (Digital Operational Resilience Act) est le règlement européen 2022/2554 qui renforce la résilience opérationnelle numérique du secteur financier. Il impose aux organisations concernées de prévenir, détecter, gérer et signaler les incidents liés aux systèmes d'information et aux cybermenaces." }, "name" : "Qu'est-ce que DORA ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Oui. DORA est un règlement européen directement applicable dans tous les États membres de l'Union européenne. Les entités concernées sont tenues de respecter ses exigences sans qu'une transposition nationale soit nécessaire." }, "name" : "DORA est-il obligatoire ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "DORA s'applique à un large éventail d'acteurs financiers, notamment : les banques ; les compagnies d'assurance ; les établissements de paiement ; les établissements de monnaie électronique ; les sociétés de gestion ; les entreprises d'investissement ; les fintechs réglementées ; les prestataires de services sur crypto-actifs. Les obligations sont appliquées selon un principe de proportionnalité prenant en compte la taille, les activités et le niveau de risque de l'organisation." }, "name" : "Qui est concerné par DORA ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Oui. Toute fintech exerçant une activité financière réglementée entre dans le champ d'application du règlement. Les mesures attendues sont adaptées à son profil de risque et à son niveau de maturité." }, "name" : "Les fintechs sont-elles concernées par DORA ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Oui. DORA encadre les prestataires TIC (Technologies de l'Information et de la Communication) qui fournissent des services aux acteurs financiers. Les fournisseurs soutenant des fonctions critiques ou importantes font l'objet d'exigences renforcées et certains peuvent être qualifiés de prestataires tiers critiques au niveau européen." }, "name" : "Les fournisseurs cloud et prestataires informatiques sont-ils concernés ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "DORA repose sur cinq grands domaines : la gouvernance et la gestion des risques TIC ; la gestion et la déclaration des incidents ; les tests de résilience opérationnelle numérique ; la gestion des risques liés aux prestataires tiers ; le partage d'informations sur les cybermenaces. Ces piliers structurent l'ensemble des obligations de conformité." }, "name" : "Quels sont les principaux piliers de DORA ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Les organisations doivent réaliser des évaluations régulières de leur niveau de sécurité, incluant des tests techniques, des analyses de vulnérabilité et des exercices de cybersécurité adaptés aux risques identifiés. Certaines entités doivent également mener des tests de pénétration fondés sur la menace (TLPT)." }, "name" : "Quels tests de résilience DORA impose-t-il ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Un diagnostic DORA consiste à évaluer l'organisation au regard des exigences du règlement concernant : la gouvernance ; la gestion des risques ; la sécurité des systèmes d'information ; la gestion des incidents ; la gestion des fournisseurs ; les dispositifs de résilience. L'objectif est d'identifier les écarts de conformité et de définir un plan d'actions priorisé." }, "name" : "Comment réaliser un diagnostic de conformité DORA ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Non. La certification ISO 27001 n'est pas une obligation réglementaire dans le cadre de DORA. En revanche, elle constitue une base reconnue pour structurer la gouvernance de la sécurité de l'information et faciliter la mise en conformité." }, "name" : "DORA impose-t-il la certification ISO 27001 ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "DORA est spécifiquement destiné au secteur financier, tandis que NIS2 couvre un ensemble plus large de secteurs essentiels et importants. Pour les entités financières concernées, DORA constitue la référence principale en matière de résilience opérationnelle numérique." }, "name" : "Quelle différence entre DORA et NIS2 ?" } ], "name" : "FAQ" } ], "name" : "Qualité en entreprise : articles, outils et démarches", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.blog-qhse.com/hubfs/Blog/images_blog_2025/logo_b.png" }, "name" : "BlueKanGo" }, "url" : "https://www.blog-qhse.com/topic/qualite" } ```