Loi sur la résilience opérationnelle numérique (DORA)

Vue d'ensemble

La loi sur la résilience opérationnelle numérique (règlement (UE) 2022/2554) est le règlement de l’Union européenne directement applicable qui harmonise la gestion des risques liés aux technologies de l’information et de la communication (TIC) dans l’ensemble du secteur financier. Il est entré en vigueur le 16 janvier 2023 et s’applique depuis le 17 janvier 2025, sans qu’une transposition nationale soit nécessaire et sans période transitoire supplémentaire.

La directive DORA articule les obligations autour de cinq piliers : la gestion des risques liés aux TIC, le signalement des incidents, les tests de résilience opérationnelle numérique, la gestion des risques liés aux tiers dans le domaine des TIC et les accords de partage d’informations. L’article 9 impose aux entités financières de mettre en œuvre des mécanismes d’authentification forts et des mesures de protection des clés cryptographiques, et les normes techniques réglementaires qui l’accompagnent vont encore plus loin : l’article 6 exige une politique documentée et fondée sur les risques en matière de chiffrement et de contrôles cryptographiques couvrant les données au repos, en transit et en cours d’utilisation, tandis que l’article 7 impose une gestion formelle du cycle de vie des clés cryptographiques, comprenant un registre des certificats et des dispositifs de stockage des certificats, ainsi qu’un renouvellement rapide avant leur expiration.

Pourquoi c'est important 

Le règlement DORA s'applique directement à environ 22 000 entités financières dans l'ensemble de l'Union européenne, les amendes pouvant atteindre 10 % du chiffre d'affaires annuel mondial pour les infractions les plus graves. La mise en œuvre de ce règlement s'intensifie plutôt qu'elle ne s'apaise : les autorités nationales ont commencé à collecter en 2025 les registres annuels d'informations sur les accords avec des tiers dans le domaine des TIC, et selon les estimations actuelles, seule la moitié environ des institutions concernées serait pleinement conformes, même après l'expiration du délai de mise en conformité.

La portée de ce règlement sur les tiers en est une caractéristique déterminante. En novembre 2025, les autorités de surveillance de l’UE ont désigné les premiers fournisseurs tiers de TIC critiques soumis à une surveillance directe, notamment les principales plateformes cloud, ce qui signifie que la sécurité cryptographique d’une entité financière dépend désormais des preuves qu’elle peut obtenir de ses fournisseurs, et non plus uniquement de son propre environnement.

En quoi cela s'applique-t-il à la cryptographie ? 

DORA aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Documentation relative à la politique de chiffrement : L'organisation a-t-elle élaboré et documenté une politique en matière de chiffrement et de contrôles cryptographiques, en lien avec sa classification des données et son évaluation des risques ?
• Preuves relatives au cycle de vie des clés : L’organisation est-elle en mesure de démontrer qu’elle a mis en place des contrôles protégeant les clés cryptographiques contre la perte, la compromission et la divulgation non autorisée tout au long de leur cycle de vie ?
• Registre des certificats et des dispositifs de stockage de clés : existe-t-il un registre à jour des certificats et des dispositifs de stockage de certificats pour les actifs assurant des fonctions critiques ou importantes ?
• Conformité aux normes d'authentification : les mécanismes d'authentification forts reposent-ils sur des normes pertinentes, et les clés cryptographiques sont-elles protégées en conséquence ?
• Vérification préalable des pratiques cryptographiques des tiers : la robustesse des pratiques cryptographiques des prestataires tiers du secteur des TIC, y compris les CTPP, fait-elle l’objet d’une évaluation dans le cadre du Registre des informations et de l’examen des contrats ?
• Couverture des tests de résilience : les tests de résilience opérationnelle numérique, y compris les tests TLPT le cas échéant, couvrent-ils l'infrastructure des certificats et les contrôles cryptographiques ?

TRANSMETTEZ CELA À LA DIRECTION

La directive DORA s'applique sans exception depuis le 17 janvier 2025 et mentionne explicitement la cryptographie : l'article 9 et ses normes techniques d'application exigent une politique de chiffrement documentée et une gestion du cycle de vie des clés, et non un simple engagement général en faveur d'une sécurité « appropriée ». Les amendes peuvent atteindre 10 % de notre chiffre d'affaires annuel mondial, et près de la moitié du secteur s'efforce encore de combler l'écart entre ce qu'elle a documenté et ce qu'elle est réellement en mesure de démontrer.

C’est la dimension «tiers» qui risque le plus de nous prendre au dépourvu. Notre assurance cryptographique doit désormais s’étendre aux environnements de nos fournisseurs de cloud et de technologies, dont plusieurs sont désormais directement supervisés par les autorités de l’UE. Si nous ne pouvons pas présenter un registre à jour des certificats et des dispositifs de stockage de clés, ainsi que des preuves des pratiques cryptographiques de nos fournisseurs, nous ne pouvons pas remplir notre déclaration au Registre de l’information en toute confiance.