Les cinq exigences du règlement (UE) 2022/2554

Les 5 piliers DORA, lus sous l'angle de l'audit

Mis à jour le 19/06/2026

DORA structure ses exigences autour de cinq piliers. Voici ce que chacun recouvre, et ce qu'un audit d'écart vérifie concrètement sur chacun, preuve à l'appui plutôt que déclaration sur le papier.

Désambiguïsation. DORA désigne ici le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, pas une directive ni une norme. C'est un règlement d'application directe, en application depuis le 17 janvier 2025.

1. Gestion du risque lié aux TIC

Le règlement attend un cadre de gouvernance et de contrôle interne du risque TIC. L'audit vérifie l'identification et la cartographie des fonctions et actifs critiques ou importants, la surveillance continue, les évaluations périodiques de risque, et l'existence de plans de continuité d'activité et de reprise testés et actualisés. Le point d'attention récurrent: la cartographie est-elle réelle, ou seulement déclarée ?

2. Gestion, classification et notification des incidents TIC

DORA impose de détecter, documenter et classifier les incidents selon leur gravité, puis de notifier les incidents majeurs aux autorités compétentes dans les délais imposés. L'audit contrôle l'existence d'un processus de classification opérationnel, la traçabilité des incidents passés et la capacité à produire une notification conforme, pas seulement une procédure sur le papier.

3. Tests de résilience opérationnelle numérique

Le dispositif TIC doit être testé régulièrement. Pour certaines entités présentant une importance pour la stabilité financière, des tests de pénétration fondés sur la menace (TLPT, Threat-Led Penetration Testing) sont exigés. La liste des entités soumises au TLPT n'est pas publique: l'autorité compétente contacte bilatéralement les entités concernées. L'audit vérifie le programme de tests, sa fréquence et l'exploitation réelle des résultats.

4. Gestion du risque lié aux prestataires tiers de services TIC

Le risque tiers fait partie intégrante du risque TIC. DORA impose des clauses contractuelles obligatoires, l'évaluation de la criticité des prestataires et la tenue d'un registre d'information des accords contractuels. L'audit confronte les contrats aux exigences et contrôle l'état du registre. Ce pilier est détaillé sur la page registre des prestataires TIC.

5. Partage d'informations sur les cybermenaces

Ce pilier porte sur le partage volontaire d'informations et de renseignements sur les cybermenaces entre entités financières. L'audit vérifie si l'entité participe à ces dispositifs et comment elle encadre ces échanges. Étant volontaire, ce pilier se lit davantage comme une opportunité de maturité que comme une obligation stricte.

Pourquoi lire les piliers sous l'angle audit

Un audit DORA ne se contente pas de cocher la présence d'une politique par pilier. Il qualifie, pour chacun, l'écart entre l'exigence et la preuve disponible. Pour comprendre comment cet écart est mesuré pas à pas, voir le déroulement d'un audit DORA. Pour savoir quoi rassembler en premier, voir par où commencer son audit.

Sources de référence: règlement (UE) 2022/2554 (EUR-Lex), ACPR, AMF. Ce contenu informe sur une démarche d'audit ; il ne constitue pas un avis juridique individualisé.