Guide DORA · 6 min
DORA et résilience opérationnelle numérique : éviter le projet conformité hors sol
DORA est applicable depuis le 17 janvier 2025. Il concerne la capacité à continuer, réagir, tester et prouver. Même quand une organisation n'est pas directement dans le secteur financier, ses clients peuvent lui demander des garanties de résilience numérique.
Par Adrien Murillo · Publié le · Version : · Sommaire · Télécharger en Markdown ↓
Lecture rapide
À retenir
- Cartographier les services numériques qui soutiennent l'activité.
- Identifier les fournisseurs ICT qui peuvent bloquer la reprise.
- Tester les scénarios de crise, pas seulement documenter les procédures.
- Conserver des preuves utilisables après incident ou audit.
Relier les services ICT aux impacts métier
La résilience commence par une question simple : quels services numériques doivent fonctionner pour que l'activité continue ? Cette lecture métier évite de réduire DORA à une liste d'applications.
Chaque service critique doit être relié aux données, accès, infrastructures, fournisseurs, objectifs de reprise et personnes capables de valider le retour en service.
Ne pas oublier les fournisseurs critiques
Un prestataire d'infogérance, une plateforme SaaS, un hébergeur ou un fournisseur de cybersécurité peut devenir un point de rupture. Les clauses contractuelles ne suffisent pas : il faut connaître les dépendances, les contacts, les engagements et les alternatives.
La revue fournisseur doit produire une décision : accepter, réduire, transférer ou traiter le risque.
- contrats et SLA
- contacts de crise
- dépendances techniques
- preuves de test
- modes dégradés
Tester la reprise avant la crise
Un PRA/PCA non testé reste une hypothèse. Les exercices doivent vérifier l'ordre de reprise, les accès d'urgence, les sauvegardes, la communication et la validation métier.
Le résultat attendu n'est pas un exercice parfait, mais une liste claire de points de rupture à traiter.
Questions fréquentes
DORA concerne-t-il seulement les banques ?
DORA vise le secteur financier et son écosystème ICT, mais ses exigences peuvent se répercuter sur des prestataires et partenaires qui doivent démontrer leur résilience.
Sources publiques
Les références ci-dessous accompagnent la version datée de ce guide. Leur portée et leur version doivent être vérifiées pour votre contexte.