Pour les entités financières de l'UE, la cryptographie prévue par la loi sur la résilience opérationnelle numérique (DORA) n'est plus un simple détail technique de fond. Il s'agit désormais d'une obligation légale contraignante. En vertu de la DORA, le chiffrement, la gestion des clés et la gestion des certificats constituent désormais des contrôles dont les inspecteurs peuvent vous demander de prouver la mise en œuvre.
Les enjeux sont concrets. La loi DORA s'applique depuis le 17 janvier 2025 et concerne environ 22 000 entités dans toute l'Union européenne. Les infractions les plus graves peuvent entraîner des amendes pouvant atteindre 10 % du chiffre d'affaires annuel mondial d'une entité.
Ce guide présente en détail les exigences réelles de la DORA en matière de cryptographie et d’ PKI, précise quels articles sont concernés et indique les points sur lesquels les évaluateurs se penchent. Il s’adresse aux responsables de la sécurité et de la conformité qui doivent désormais traduire ces exigences en preuves concrètes.
Qu'est-ce que DORA et pourquoi existe-t-elle ?
La loi sur la résilience opérationnelle numérique, le règlement (UE) 2022/2554, est le règlement de l’Union européenne directement applicable en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC) dans le secteur financier. S’agissant d’un règlement et non d’une directive, il s’applique de manière uniforme dans tous les États membres, sans qu’il soit nécessaire de le transposer au niveau national.
Le règlement DORA est entré en vigueur le 16 janvier 2023 et est devenu applicable le 17 janvier 2025. Vous pouvez consulter le texte intégral sur EUR-Lex.
Cette réglementation est généralement décrite comme reposant sur cinq piliers :
- Gestion des risques liés aux TIC
- Gestion, classification et signalement des incidents liés aux TIC
- Tests de résilience opérationnelle numérique
- Gestion des risques liés aux tiers dans le domaine des TIC, y compris la surveillance directe par l'UE des fournisseurs désignés comme essentiels
- Partage d'informations et de renseignements,
Les contrôles cryptographiques s’inscrivent dans les premier, troisième et quatrième de ces piliers, sous la forme d’une section spécifique de la norme technique réglementaire (RTS) relative à la gestion des risques liés aux TIC, dans le cadre des éléments que doit couvrir la résilience, ainsi que sous la forme de questions d’assurance concernant les prestataires. Le document «PKI » définit précisément la manière dont ces obligations sont respectées dans la pratique.
À qui s'adresse DORA ?
DORA s'adresse à trois grands publics, dont chacun joue un rôle bien défini en matière de conformité cryptographique.
- Entités financières : environ 22 000 organisations réparties dans 20 catégories, notamment des banques, des assureurs, des sociétés d’investissement, des établissements de paiement et de monnaie électronique, des prestataires de services liés aux crypto-actifs, des plateformes de négociation et des contreparties centrales. Les entités concernées ne sont pas toutes soumises au même traitement. Certaines petites entités peuvent bénéficier d’un cadre simplifié ; il est donc important de connaître les exigences précises applicables à votre organisation.
- Fournisseurs tiers critiques de technologies de l'information et de la communication (CTPP) : les principaux fournisseurs de technologies, y compris les plateformes cloud hyperscale. Les autorités de l’UE ont désigné les premiers CTPP en novembre 2025, les plaçant ainsi sous leur contrôle direct.
- Organes de direction : les conseils d'administration et les hauts dirigeants qui approuvent le cadre de gestion des risques liés aux TIC et en assument la responsabilité en dernier ressort.
Ce dernier point est important. La gouvernance cryptographique relève désormais de la responsabilité du conseil d'administration, et non plus d'une simple tâche opérationnelle.
Pourquoi la conformité aux normes de cryptographie DORA est-elle si importante aujourd'hui ?
Les mesures de contrôle s'intensifient. Au-delà du plafond de 10 % du chiffre d'affaires fixé pour les amendes, les autorités nationales ont commencé, en 2025, à collecter des registres annuels contenant des informations sur les accords conclus avec des tiers dans le domaine des TIC. Les autorités de contrôle disposent désormais d'une visibilité structurée sur les prestataires de vos services essentiels.
C'est au niveau des tiers que le changement est le plus marqué. Étant donné que DORA étend la garantie cryptographique à vos fournisseurs, votre propre conformité dépend de plus en plus des preuves que vous pouvez obtenir de leur part.
Le niveau de préparation reste inégal. De nombreux établissements concernés ne sont toujours pas pleinement conformes, ce qui crée un écart significatif entre les exigences de la DORA et ce que la plupart des programmes sont actuellement en mesure de démontrer.
Comment DORA s'articule avec la cryptographie et PKI
Le principe fondamental de la conformité à la norme DORA consiste à traduire des notions générales de résilience en mesures de contrôle cryptographiques spécifiques. Les sections ci-dessous passent en revue chaque domaine de contrôle en présentant d’abord les mesures que votre entité doit mettre en œuvre.
Article 9 de la directive DORA : authentification forte et protection des clés
L'article 9, paragraphe 4, point d), exige la mise en place de mécanismes d'authentification forts et la protection des clés cryptographiques qui les sous-tendent. Dans la pratique, cela tend à privilégier une authentification par certificat, résistante au phishing, plutôt que l'utilisation de secrets partagés.
Cette obligation comporte deux volets. Vous devez mettre en place une authentification forte et protéger les clés et les certificats qui garantissent sa fiabilité.
Article 6 du RTS : politique en matière de chiffrement et de contrôles cryptographiques
L'article 6 du RTS exige la mise en place d'une politique documentée et fondée sur les risques en matière de chiffrement et de contrôles cryptographiques. Cette politique doit couvrir les données au repos, les données en transit et, dans la mesure du possible, les données en cours d'utilisation.
Il est essentiel de noter que cette politique ne peut pas être appliquée de manière isolée. Elle doit être liée à votre système de classification des données approuvé et aux résultats de votre évaluation des risques informatiques, afin que le niveau de protection soit proportionnel au degré de sensibilité des données.
L'article 6, paragraphe 4, ajoute une obligation prospective : la politique doit prévoir la mise à jour ou le remplacement des technologies cryptographiques à mesure que les techniques de cryptanalyse progressent ; les entités qui ne sont pas en mesure de le faire doivent, à la place, adopter des mesures d'atténuation et de surveillance.
L'article 6, paragraphe 5, exige que ces exceptions soient consignées et accompagnées d'une explication motivée, c'est-à-dire d'un registre vérifiable indiquant en quoi votre système de cryptographie ne répond pas aux meilleures pratiques.
Article 7 du RTS : gestion du cycle de vie des clés cryptographiques
L'article 7 de la norme RTS impose une gestion formelle des clés cryptographiques tout au long de leur cycle de vie. Les clés doivent être protégées contre la perte, l'accès non autorisé et la divulgation à chaque étape.
L'article exige également d'être prêt à faire face à une défaillance. Vous devez disposer de procédures documentées pour remplacer les clés perdues, compromises ou endommagées, sans perturber les services essentiels.
Le registre des certificats et des dispositifs de stockage de clés
Les paragraphes 4 et 5 de l'article 7 de la directive RTS prévoient la tenue d'un registre à jour de chaque certificat et de chaque dispositif de stockage de certificats assurant des fonctions critiques ou importantes. Il s'agit d'un inventaire évolutif, et non d'un simple tableau Excel établi une seule fois.
Le registre doit également prendre en charge le renouvellement automatisé bien avant la date d'expiration, afin qu'un certificat expiré passé inaperçu n'entraîne jamais d'interruption de service. L'article 7, paragraphe 5, exige le renouvellement rapide des certificats avant leur expiration ; compte tenu de l'ampleur du parc de certificats actuel, l'automatisation est le seul moyen de garantir la fiabilité de ce processus et d'en apporter la preuve à un auditeur.
Articles 20 et 21 de la norme RTS : contrôle d'accès et gestion des identités
Conjointement, les articles 20 et 21 vous imposent d'attribuer à chaque personne et à chaque système une identité unique et vérifiée, puis de ne leur accorder que les droits d'accès dont ils ont besoin. Le niveau de sécurité de l'authentification, la fréquence des contrôles et le degré d'automatisation varient tous en fonction de l'importance stratégique de l'actif concerné.
L'article 20 définit l'identité. Il impose une identité unique par compte, couvrant à la fois votre propre personnel et celui de vos prestataires informatiques, gérée tout au long de son cycle de vie, de la création à la résiliation. Il s'applique aussi bien aux systèmes qu'aux personnes, ce qui en fait le pilier le plus solide de l'identité des machines dans les RTS. Il exige également que les enregistrements d'identité soient conservés même en cas de réorganisation ou de fin de contrat.
L'article 21 régit la portée de cette identité. Il impose le principe du « droit d'accès minimal », la séparation des tâches, l'interdiction des comptes anonymes ou partagés, ainsi que des contrôles d'accès physique. Ses dispositions les plus strictes prévoient un cycle de révision semestriel pour tout élément prenant en charge des fonctions critiques ou importantes, ainsi que quatre cas nécessitant une authentification forte : l'accès à distance, l'accès privilégié, les fonctions critiques ou importantes, et les ressources accessibles au public.
Articles 28 à 30 de la directive DORA : garantie cryptographique par un tiers
Les articles 28 à 30 régissent les risques liés aux tiers dans le domaine des TIC. En matière de cryptographie, cela implique de dresser un inventaire des composants qui servira de base aux évaluations des risques liés aux fournisseurs et déterminera les dispositions contractuelles de vos accords en matière de TIC.
Ces mêmes accords sont consignés dans le Registre des informations. Lorsque les mesures de sécurité cryptographiques d’un fournisseur présentent des failles, celles-ci deviennent un problème de conformité pour vous ; c’est pourquoi les justificatifs fournis par le fournisseur doivent faire partie intégrante du contrat.
Articles 24 à 27 de la directive DORA : tests de résilience des actifs cryptographiques
Les articles 24 à 27 intègrent la cryptographie dans le champ d'application des tests de résilience opérationnelle numérique. L'infrastructure de certificats et les contrôles cryptographiques doivent faire l'objet de tests ; on ne doit pas partir du principe qu'ils fonctionnent.
Pour les entités importantes, cela s'étend aux tests d'intrusion axés sur les menaces (TLPT). Les actifs cryptographiques doivent faire l'objet des mêmes tests rigoureux et fondés sur le renseignement que ceux appliqués au reste de vos systèmes critiques.
Se préparer à un examen DORA : ce que les évaluateurs examinent
Les examens DORA sont axés sur les preuves. Utilisez cette liste de contrôle pour vous auto-évaluer en fonction des questions que les superviseurs sont le plus susceptibles de poser.
- Politique de chiffrement : Pouvez-vous établir une politique documentée, fondée sur les risques, liée à la classification des données et aux résultats de l'évaluation des risques ?
- Cycle de vie des clés : Pouvez-vous expliquer comment les clés sont protégées et remplacées tout au long de leur cycle de vie ?
- Registre des certificats : Votre registre des certificats et des dispositifs de stockage de certificats est-il à jour et permet-il le renouvellement automatique ?
- Authentification : Vos mécanismes d'authentification répondent-ils aux exigences en matière de sécurité et de résistance au phishing pour les fonctions critiques ?
- Vérification par un tiers : Pouvez-vous justifier d'une diligence raisonnable en matière de cryptographie et de dispositions contractuelles concernant vos prestataires informatiques ?
- Tests de résilience : Vos tests et vos périmètres TLPT incluent-ils l'infrastructure cryptographique et celle des certificats ?
Si l'une des réponses est « pas encore », c'est sur cette lacune que l'examen mettra l'accent.
Perspectives d'avenir : agilité cryptographique et préparation à l'ère post-quantique
À l'heure actuelle, la norme DORA n'impose pas l'utilisation de la cryptographie post-quantique. Cependant, ses exigences en matière d'« agilité cryptographique », exprimées à travers les dispositions relatives aux clés et aux certificats des articles 6 et 7 du RTS, pointent vers les mêmes fondements que ceux qu'exigera une future migration vers la cryptographie post-quantique.
Cette base repose sur un inventaire cryptographique complet, ainsi que sur la capacité à renouveler et à réémettre des clés et des certificats à l'échelle de l'entreprise. Les entités qui mettent en place dès maintenant cette discipline pour DORA seront bien mieux placées lorsque la migration vers des systèmes résistants à l'informatique quantique passera de la phase de planification à celle de mise en œuvre.
En d'autres termes, le travail que vous effectuez aujourd'hui pour vous conformer à la norme DORA est le même que celui qui permettra demain de réduire les risques liés à votre transition vers l'ère post-quantique.
Comment Keyfactor peut vous aider
KeyfactorLa plateforme de [nom] correspond directement aux contrôles cryptographiques DORA mentionnés ci-dessus ; vous disposez ainsi des preuves dont vous avez besoin à partir d’une seule source, plutôt que d’un ensemble disparate d’outils.
- Keyfactor AgileSec: établit l'inventaire cryptographique tiers et l'assurance exigés par les articles 28 à 30.
- EJBCA: prend en charge la gestion du cycle de vie des clés cryptographiques et l’authentification forte basée sur des certificats pour l’ensemble des appareils, des charges de travail et des utilisateurs.
- Keyfactor Command: offre une gestion des identités, une visibilité sur les politiques, ainsi que le registre des certificats et des dispositifs de stockage de clés attendu par DORA, avec un renouvellement automatisé avant leur expiration. Cela devient un élément essentiel dans le cadre de la préparation aux contrôles et aux audits.
Ces fonctionnalités sont regroupées au sein du « Trust Control Plane » deKeyfactor , un système de référence unique qui surveille, analyse, provisionne, orchestre et gère les actifs cryptographiques. Lorsque les éléments de preuve DORA sont centralisés dans un seul plan de contrôle, les contrôles se transforment en un simple exercice de reporting plutôt qu’en une intervention d’urgence.
Prochaines étapes :
La conformité à la réglementation DORA est une capacité opérationnelle permanente, et non un projet ponctuel. La réglementation s'applique dès à présent, son application est bien réelle, et les contrôles cryptographiques en constituent le cœur.
Que vous lanciez votre programme ou qu’il arrive à maturité, quatre étapes vous permettront de créer une dynamique durable :
- Bénéficiez d'une visibilité totale sur vos actifs cryptographiques.
- Rédiger une politique relative au chiffrement et aux contrôles cryptographiques fondée sur les risques.
- Mettre en place une gestion formelle du cycle de vie des clés, y compris les procédures de remplacement.
- Créez et automatisez votre registre des certificats et des dispositifs de stockage de clés.
Prêt à savoir où vous en êtes ? Demander une démo Évaluez votre niveau de préparation en matière de cryptographie DORA avec Keyfactor .
Vous avez des questions sur la cryptographie DORA ? Nous avons les réponses.
À partir de quand la loi DORA s'est-elle appliquée aux entités financières ?
La directive DORA est entrée en vigueur le 16 janvier 2023 et s'applique depuis le 17 janvier 2025. Étant donné qu'elle est directement applicable dans tous les États membres de l'UE, elle n'a fait l'objet d'aucune transposition nationale ni d'aucune période transitoire supplémentaire.
À qui s'applique la loi DORA ?
La directive DORA s'applique à environ 22 000 entités financières réparties dans 20 catégories, allant des banques et des assureurs aux établissements de paiement et aux prestataires de services liés aux crypto-actifs. Elle s'applique également aux prestataires tiers de services TIC critiques ainsi qu'aux instances de direction chargées d'approuver le cadre de gestion des risques liés aux TIC.
Quelles sont les exigences de la loi DORA en matière de chiffrement ?
En vertu de l'article 6 du RTS, les entités doivent disposer d'une politique documentée et fondée sur les risques en matière de chiffrement et de contrôles cryptographiques, couvrant les données au repos, en transit et en cours d'utilisation. Cette politique doit être liée à la classification des données approuvée et aux résultats de l'évaluation des risques liés aux TIC.
Que dit la directive DORA au sujet de la gestion des clés cryptographiques ?
L'article 7 de la norme RTS impose une gestion formelle des clés cryptographiques tout au long de leur cycle de vie, afin de les protéger contre la perte, l'accès non autorisé et la divulgation. Il exige également la mise en place de procédures documentées pour le remplacement des clés perdues, compromises ou endommagées.
Dois-je tenir un registre des certificats conformément à la loi DORA ?
Oui. Les paragraphes 4 et 5 de l'article 7 du RTS prévoient la tenue d'un registre à jour de tous les certificats et dispositifs de stockage de certificats assurant des fonctions critiques ou importantes. Ce registre doit permettre le renouvellement automatique bien avant l'expiration.
Quelles sont les sanctions prévues en cas de non-respect de la loi DORA ?
Les infractions les plus graves peuvent entraîner des amendes pouvant atteindre 10 % du chiffre d’affaires annuel mondial d’une entité. Les mesures de contrôle se renforcent, et les autorités nationales ont commencé à collecter, dès 2025, les registres annuels contenant des informations sur les accords conclus avec des tiers dans le domaine des TIC.
Quel est l'impact de la loi DORA sur mes prestataires tiers ?
Le règlement DORA étend les garanties cryptographiques aux tiers du secteur des TIC en vertu des articles 28 à 30 ; votre conformité dépend donc des preuves que vous pouvez obtenir de la part de vos fournisseurs. En novembre 2025, les autorités de l'UE ont désigné les premiers fournisseurs tiers critiques du secteur des TIC soumis à une surveillance directe, parmi lesquels figurent les principales plateformes cloud.
En quoi l'initiative DORA est-elle liée à la préparation à l'ère post-quantique ?
Les exigences de DORA en matière de « crypto-agilité » s’appuient sur les mêmes fondements que ceux dont dépendra la future migration vers un système post-quantique : un inventaire cryptographique complet et la capacité à renouveler les clés et les certificats à grande échelle. La mise en place de cette discipline dès aujourd’hui soutient à la fois le fonctionnement actuel de DORA et la future migration vers un système post-quantique.
