Conformité DORA : entités financières et prestataires TIC
Passer du texte du règlement à un dispositif que l’autorité peut contrôler.
Réponse courte
Conformité DORA : de quoi s’agit-il, pour qui, à quel prix ?
Analyse d’écarts et plan de mise en conformité au règlement (UE) 2022/2554 : gestion du risque TIC, déclaration des incidents, tests de résilience, registre des prestataires tiers et clauses contractuelles. Durée indicative : 2 à 6 mois selon le périmètre et le niveau de départ. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
DORA : définition est applicable depuis le 17 janvier 2025 aux entités financières de l’Union et, par ricochet, à leurs prestataires de services informatiques. Pour une banque, un assureur ou un établissement de paiement, la question n’est plus de savoir si le règlement s’applique, mais de démontrer que chaque exigence est tenue.
Le travail suit les piliers du texte : cadre de gestion du risque lié aux TIC, gestion et déclaration des incidents, tests de résilience, gestion du risque lié aux prestataires tiers, partage d’informations. L’analyse d’écarts confronte vos pratiques à chaque pilier et relève ce qui existe déjà, souvent plus qu’on ne le croit, ce qui est écrit sans être appliqué, et ce qui manque. Le plan qui en sort est ordonné par exposition au risque et par échéance, pas par article.
Pour les prestataires, l’enjeu est contractuel : vos clients financiers doivent tenir un registre de leurs accords avec les prestataires TIC et y inscrire des clauses précises. Nous vous aidons à répondre à ces demandes sans vous engager sur ce que vous ne pouvez pas tenir. Nous ne remplaçons ni votre conseil juridique ni votre autorité de supervision : l’interprétation du texte pour votre cas leur revient.
En résumé
- Durée indicative
- 2 à 6 mois selon le périmètre et le niveau de départ
- Prix
- sur devissur devis après cadrage
- Référentiels appliqués
- Règlement (UE) 2022/2554 (DORA)Règlement délégué (UE) 2025/1190 (tests fondés sur la menace)ISO/IEC 27001:2022NIST CSF 2.0
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Conformité DORA : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Gouvernance et gestion du risque TIC
Responsabilité de l’organe de direction, inventaire des fonctions critiques ou importantes et des actifs qui les soutiennent, cadre documenté.
Incidents et déclaration
Classification des incidents, critères de l’incident majeur, circuit de déclaration à l’autorité (article 19), exercices de bout en bout.
Tests de résilience
Programme annuel de tests (articles 24 et 25), préparation d’un éventuel test fondé sur la menace (articles 26 et 27), boucle de remédiation.
Prestataires tiers
Registre d’informations sur les accords avec les prestataires TIC (article 28), évaluation du risque de concentration, stratégies de sortie.
Clauses contractuelles
Grille des dispositions attendues dans les contrats (article 30), écarts par fournisseur, trame de renégociation à valider par votre conseil.
Continuité et sauvegardes
Plans de réponse et de reprise, politique de sauvegarde, tests de restauration sur les fonctions critiques.
Conformité DORA : que livre la mission ?
- Analyse d’écarts par pilier du règlement
- Plan de conformité priorisé, avec propriétaires et échéances
- Modèle de registre des prestataires TIC et aide à son alimentation
- Grille d’écarts contractuels par fournisseur critique
- Procédure de classification et de déclaration des incidents
- Programme annuel de tests de résilience
Qu’est-ce que cela change pour vous ?
- Un dossier que l’autorité de supervision peut parcourir sans se perdre
- Un registre des prestataires qui sert la décision, pas seulement le contrôle
- Des tests planifiés, reliés à la remédiation
Conformité DORA : pour qui est-ce utile ?
- Établissements de crédit, de paiement et de monnaie électronique
- Assureurs, intermédiaires, entreprises d’investissement et prestataires de services sur crypto-actifs
- Éditeurs, hébergeurs et infogéreurs qui servent des clients financiers
- Équipes conformité et risques opérationnels qui doivent prouver leur dispositif
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Conformité DORA : combien de temps dure la mission ?
Durée indicative : 2 à 6 mois selon le périmètre et le niveau de départ. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Conformité DORA : ce qu’on nous demande
Un prestataire informatique est-il soumis à DORA sans être une entité financière ?
Le règlement s’adresse d’abord aux entités financières. Les prestataires désignés comme critiques par les autorités européennes de supervision entrent dans un cadre de supervision directe ; tous les autres reçoivent les exigences par voie contractuelle, de la part de leurs clients financiers. Dans les deux cas, vérifiez votre situation avec votre conseil juridique : le classement dépend de vos activités.
Par où commencer quand on découvre DORA ?
Par trois questions : l’entité relève-t-elle du champ, avec quel régime (le texte prévoit des allégements pour certaines petites entités) ; quelles sont ses fonctions critiques ou importantes ; quels prestataires les soutiennent. Le registre des prestataires est souvent le chantier le plus long, parce que l’information est dispersée entre les achats, la DSI et les métiers. Le lancer tôt évite un goulot d’étranglement au moment de la remise.
Faut-il un prestataire externe pour les tests de résilience DORA ?
Le règlement exige des tests menés par des parties indépendantes, internes ou externes, sans conflit d’intérêts. Un prestataire externe est donc un choix, pas une obligation de principe. Pour un test d’intrusion fondé sur la menace (TLPT), des critères précis encadrent les testeurs : vérifiez-les avant de choisir. Reconmind ne revendique aucune certification et le dit lors du cadrage.
Que contiennent les clauses contractuelles imposées aux prestataires TIC ?
L’article 30 liste des dispositions attendues : description des services et des lieux de traitement des données, niveaux de service, assistance en cas d’incident, coopération avec les autorités, droits de résiliation, stratégies de sortie. Pour les fonctions critiques ou importantes, s’ajoutent notamment des droits d’audit et la participation aux programmes de tests. Nous établissons l’écart de chaque contrat avec cette liste ; la rédaction juridique revient à votre conseil.
Pour comprendre avant de décider
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleDORA : ce que le règlement impose en tests de sécurité et de résilienceLe règlement DORA exige des tests de résilience numérique réguliers, dont des tests d’intrusion fondés sur la menace. Ce que disent les articles 24 à 27, qui est concerné et comment s’y préparer.
Quelles prestations s’y associent ?
Red team
Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
3 à 8 semainesdès 6 900 €
Conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
3 à 9 mois selon le périmètre et le niveau de départdès 1 900 €
Questionnaires sécurité clients
Répondre aux audits de vos clients en heures, avec des réponses qui tiennent.
1 à 3 semaines pour la base, puis au fil des demandessur devis
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Conformité DORA » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début