DORA — règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier — est applicable depuis janvier 2025. Il n'impose aucune technologie d'authentification. Il attend des contrôles d'accès robustes proportionnés au risque, des tests qui montrent que ces contrôles tiennent, et une maîtrise documentée des prestataires tiers de services TIC. La bascule est là : ce n'est plus la présence d'une MFA qui compte, c'est votre capacité à la justifier, à l'éprouver et à l'étendre à ceux qui travaillent pour vous.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le périmètre exact des entités financières visées, comme le caractère critique d'un prestataire, s'apprécie au cas par cas et doit être confirmé avec vos conseils.
Un règlement, pas une directive : pourquoi cela change la méthode
La différence paraît formelle ; elle est structurante. Une directive comme NIS2 passe par une transposition nationale : chaque État membre écrit son texte, avec ses formulations et son calendrier. Un règlement s'applique directement, dans les mêmes termes, partout dans l'Union.
Trois conséquences concrètes pour un RSSI ou un responsable conformité :
- Aucun texte national n'est attendu. L'argument du « on verra à la transposition » n'existe pas ici : l'échéance est derrière nous, depuis janvier 2025.
- Un groupe multi-pays peut tenir une politique d'accès unique. C'est une rationalisation rare, là où d'autres textes obligent à composer avec des variantes nationales.
- Le vocabulaire du règlement devient celui de l'audit. Structurer votre documentation selon ses piliers fait gagner plus de temps que la structurer selon votre organigramme.
« Contrôles d'accès robustes proportionnés au risque » : la traduction
Deux mots portent l'essentiel de la charge de travail.
Proportionné signifie gradué, donc justifié. Consulter un tableau de bord et modifier un référentiel de bénéficiaires n'appartiennent pas au même monde. Le travail préalable n'est pas un inventaire d'outils, c'est une cartographie des actions par criticité.
Robuste appelle une question rarement posée : robuste face à quoi ? La robustesse se mesure contre les techniques réellement employées — relais en temps réel, sollicitation répétée jusqu'à validation par lassitude (le cas Uber en 2022 reste l'illustration publique la plus nette), réutilisation d'une session ouverte. Une méthode fondée sur un code recopié se défend mal ici ; le NIST classe d'ailleurs l'OTP par SMS ou par voix en usage déconseillé. D'où le travail sur les méthodes résistantes au phishing.
| Pilier du règlement | Implication côté authentification | Preuve à produire |
|---|---|---|
| Risque lié aux TIC | Des niveaux adossés à la criticité des actions | La cartographie des actions sensibles et la méthode associée |
| Identités et contrôles d'accès | Comptes nominatifs, moindre privilège, privilèges isolés | L'inventaire des comptes et la trace des revues |
| Tests de résilience | Des méthodes traitées comme des composants à éprouver | Les scénarios joués, leur critère de réussite, la remédiation |
| Gestion des incidents | Des journaux reliant une action métier à une authentification | Une reconstitution de bout en bout, longtemps après les faits |
| Prestataires tiers de services TIC | Des accès tiers au même niveau que ceux des salariés | Le registre des accords et la preuve de fermeture des accès |
| Partage d'informations | Des signaux exploitables sur les parcours d'accès | La capacité à qualifier une campagne, pas un pic d'échecs |
Une méthode d'authentification est un composant testable, pas un acquis
C'est le point le plus souvent manqué. Le pilier des tests de résilience opérationnelle numérique s'applique aussi aux mécanismes d'accès : une méthode déployée n'est pas une méthode éprouvée. Quatre familles de scénarios se testent sans difficulté.
- Le relais. Une campagne contrôlée avec interception en temps réel : le facteur tient-il, ou suffit-il de retransmettre ce que l'utilisateur a saisi ?
- La sollicitation répétée. Combien de notifications avant qu'une validation parte ?
- Le mode dégradé. Si l'opérateur d'envoi ou le fournisseur d'identité est indisponible un jour de forte activité, le repli est souvent une méthode plus faible : un chemin d'attaque documenté par votre propre procédure.
- La récupération et la révocation. Un facteur fort réinitialisable sur simple appel au support vaut ce que vaut ce support ; le délai réel de fermeture des accès après un départ est, lui, un bon indicateur de maturité.
Un test sans critère de réussite écrit et sans trace n'est pas un test : c'est une impression.
Prestataires TIC : du registre à la chaîne réelle
Le registre des accords avec les prestataires de services TIC est souvent traité comme un exercice d'achats. Pour un RSSI, c'est d'abord un inventaire d'accès. Trois questions le rendent utile : le prestataire intervient-il sous compte nominatif ou sous un compte de société ? Qui agit réellement derrière lui, en sous-traitance de second rang ? Que se passe-t-il le jour où le contrat s'arrête ?
La qualification d'un prestataire comme critique relève d'une analyse à mener avec vos conseils. La question de sécurité reste plus simple : s'il est compromis, quelles actions peut-il déclencher chez vous ? Elle mène directement au traitement des comptes à privilèges.
Traçabilité opposable : authentifier une session ou valider une action
Une session ouverte le matin ne prouve rien sur une opération lancée en fin de journée. Pour être opposable, la trace doit relier une action précise à une preuve d'intention datée, portant sur ce que l'utilisateur avait sous les yeux au moment de valider. C'est la logique du quatrième facteur cognitif « je sais faire » : demander une action que seul l'utilisateur légitime sait exécuter, au moment de l'opération. HIAsecure est conçue pour se déployer en overlay d'une MFA existante, ce qui permet de renforcer d'abord les parcours les plus critiques.
Par où commencer, dans l'ordre
- Lister les actions sensibles, pas les applications : le règlement raisonne par risque d'action.
- Associer un niveau d'authentification à chaque criticité, et écrire la justification.
- Repérer les méthodes non résistantes au relais encore en service sur ces actions.
- Auditer les parcours de récupération et de révocation, prestataires compris.
- Écrire deux ou trois scénarios de test avec leur critère de réussite, et les jouer.
- Consolider la preuve dans un dossier unique qu'un auditeur peut lire seul.
FAQ
Comment savoir si notre entité entre dans le périmètre ?
Le règlement vise le secteur financier au sens large : établissements de crédit, entreprises d'assurance et de réassurance, intermédiaires, prestataires de services TIC. La qualification de votre structure comme celle de vos prestataires doit être confirmée avec vos conseils.
DORA impose-t-elle une technologie d'authentification précise ?
Non. Le texte parle de contrôles d'accès robustes et de gestion des identités, proportionnés au risque. C'est vous qui portez la démonstration d'adéquation, ce qui rend la documentation et les tests aussi importants que le choix technique.
Nos travaux menés pour NIS2 sont-ils réutilisables ?
En grande partie, sur la cartographie, la gestion des identités et le risque tiers. La différence tient au régime : NIS2 est une directive transposée, avec des variantes nationales, alors que DORA s'applique directement et se lit de la même façon partout.
Peut-on tester l'authentification sans perturber la production ?
Oui, en commençant par ce qui n'exige aucune interruption : revue des parcours de récupération, mesure du délai réel de révocation, bascule en mode dégradé sur une population restreinte. Les scénarios offensifs viennent ensuite.
Aller plus loin : pilier : authentification cognitive · application au secteur bancaire · application au secteur de l'assurance