DORA (Digital Operational Resilience Act) est le règlement (UE) 2022/2554. Il encadre la résilience opérationnelle numérique des entités financières européennes — banques, assureurs, sociétés de gestion, prestataires de services de paiement — et de leurs prestataires informatiques critiques. Il est applicable depuis janvier 2025.
Les cinq piliers du texte
- Gestion du risque informatique : gouvernance, cartographie des actifs, contrôles d'accès ;
- Notification des incidents majeurs liés aux technologies de l'information ;
- Tests de résilience, jusqu'aux tests d'intrusion fondés sur la menace pour les entités les plus significatives ;
- Gestion du risque tiers : contractualisation, stratégie de sortie, registre des prestataires ;
- Partage d'informations sur les cybermenaces.
Ce que cela implique pour l'authentification
DORA n'énumère pas une liste de technologies. Il exige que les contrôles d'accès soient proportionnés au risque, documentés et démontrables lors d'un contrôle. En pratique, cela concerne l'accès à privilèges, l'accès distant, les interfaces d'administration des prestataires et la traçabilité des opérations sensibles.
La différence de nature avec un référentiel de bonnes pratiques est importante : un règlement européen est directement applicable, sans transposition nationale. Et la charge de la preuve pèse sur l'entité, y compris pour les activités qu'elle a externalisées.
Aller plus loin : DORA et les obligations d'authentification · NIS2, DORA, DSP3, CRA : ce que les textes exigent · définition de NIS2 · l'authentification cognitive