Pourquoi l’Europe a-t-elle jugé nécessaire de créer une réglementation spécifique pour le secteur financier ?

Thomas Bertrand : Le secteur financier occupe une place particulière dans l’économie. Une banque, une assurance ou un organisme de paiement ne gère pas uniquement ses propres activités. Ces acteurs participent au fonctionnement quotidien des entreprises, des administrations et des particuliers.

Lorsqu’un incident majeur affecte une institution financière, les conséquences peuvent rapidement se propager à l’ensemble de son écosystème. C’est cette dimension systémique qui explique le niveau d’exigence porté par DORA.

L’objectif est de garantir que ces organisations soient capables de prévenir, résister, répondre et se rétablir efficacement après un incident. DORA ne vise pas le risque zéro. La directive cherche avant tout à assurer la continuité des services financiers, même dans un contexte de crise cyber.

DORA est souvent comparée à NIS2. Comment se positionne-t-elle par rapport à cette autre réglementation ?

Thomas Bertrand : Les deux textes poursuivent un objectif commun de renforcement de la cybersécurité, mais leur périmètre est différent. NIS2 couvre un large ensemble de secteurs essentiels tandis que DORA cible spécifiquement les acteurs financiers et certains de leurs prestataires.

DORA apporte également un niveau d’exigence plus élevé sur certains sujets comme la résilience opérationnelle, la gestion des tiers, le suivi des incidents ou encore la gouvernance des données. Pour les organismes concernés, il ne s’agit pas de remplacer NIS2 mais de compléter les dispositifs déjà en place.

Les établissements financiers sont-ils les seuls concernés ?

Thomas Bertrand : Non. La directive s’intéresse aussi aux prestataires qui contribuent aux services numériques de ces organisations. De nombreuses entreprises travaillant avec des banques, des assurances ou d’autres acteurs financiers peuvent donc être indirectement concernées.

C’est l’une des particularités de DORA : la résilience ne s’arrête pas aux frontières de l’entreprise. La réglementation accorde une place importante à la gestion des risques liés aux fournisseurs et à la chaîne de sous-traitance.

Quels sont aujourd’hui les principaux défis rencontrés par les organisations concernées ?

Thomas Bertrand : Le premier défi est souvent beaucoup plus opérationnel qu’on l’imagine : savoir où sont les données et comprendre leur niveau de sensibilité.

De nombreuses organisations ont accumulé, parfois pendant des années, d’importants volumes d’informations sans réelle gouvernance. Lorsqu’il faut démontrer sa conformité ou analyser un incident, elles découvrent qu’elles ne savent pas toujours localiser, qualifier ou protéger efficacement leurs données critiques.

C’est pourquoi les projets de cartographie, de classification et de protection des données deviennent souvent des chantiers prioritaires.

DORA ne vous demande pas d’éviter tous les incidents. Elle vous demande d’y résister.

Thomas Bertrand Product Marketing Manager chez Sigma

Voir la vidéo

Pourquoi la donnée occupe-t-elle une place aussi centrale dans DORA ?

Thomas Bertrand : Parce que la résilience repose en grande partie sur la capacité à comprendre ce qui s’est passé pendant un incident.

Si une fuite de données survient, il faut être capable d’identifier les informations concernées, de savoir qui y a accédé, à quel moment et comment elles ont été exposées. Sans visibilité sur ses données, il devient très difficile de répondre aux exigences de DORA.

Certaines plateformes permettent d’accompagner cette démarche en apportant des fonctionnalités de classification, de protection, de traçabilité et de pilotage de la conformité mais les enjeux dépassent largement l’outil lui-même. L’essentiel est de disposer d’un dispositif permettant de gouverner efficacement ses données et d’apporter les preuves attendues lors d’un audit.

DORA impose une démarche de résilience continue. Comment Sigma aide-t-il les organisations à piloter leur conformité dans le temps ?

Thomas Bertrand : C’est l’un des changements majeurs introduits par DORA. La conformité n’est pas un état que l’on atteint une fois pour toutes. Les organisations évoluent en permanence : nouveaux usages, nouveaux fournisseurs, nouveaux projets, nouvelles menaces. La résilience doit donc être suivie et pilotée dans la durée.

Chez Sigma, nous accompagnons nos clients dès les premières étapes avec l’évaluation de leur maturité, l’identification des écarts et la définition d’une feuille de route alignée sur leurs enjeux métiers et réglementaires.

Mais notre rôle ne s’arrête pas à cette phase. Nous aidons également les RSSI, les DSI et les directions à disposer d’une vision claire de leur niveau de conformité et de résilience dans le temps.

Des outils comme Microsoft Purview permettent par exemple de suivre des indicateurs de conformité, de centraliser les éléments de preuve, d’identifier les écarts, de suivre les actions correctrices et de disposer d’une visibilité continue sur l’évolution de la posture de conformité. Cette capacité de reporting et de pilotage devient essentielle lorsque l’on doit démontrer sa conformité ou répondre à un audit.

L’enjeu est de passer d’une logique de préparation ponctuelle à l’audit à une logique de gouvernance continue.

Cette approche permet également de mieux anticiper les évolutions réglementaires, de suivre les risques dans le temps et de maintenir un niveau de résilience cohérent avec les exigences de DORA. La conformité devient alors la conséquence directe d’une bonne maîtrise des risques et non une simple obligation administrative.

DORA introduit également une forte exigence de transparence sur les incidents. Qu’est-ce que cela change ?

Thomas Bertrand : Les organisations doivent être en mesure de documenter leurs incidents, d’en mesurer les impacts et de démontrer les actions mises en œuvre pour y remédier. Cela suppose des processus, des outils et des éléments de preuve solides.

Cette obligation de remontée d’information ne répond pas uniquement à une logique réglementaire. Les autorités utilisent ces données pour mieux comprendre les menaces et adapter les stratégies de protection du secteur financier dans son ensemble. Cette transparence contribue donc directement à l’amélioration de la résilience collective.

Comment une organisation peut-elle lancer sa démarche DORA efficacement ?

Thomas Bertrand : La première étape consiste à réaliser un diagnostic de maturité afin d’identifier les écarts entre l’existant et les exigences de la directive. Il est ensuite possible de construire une feuille de route priorisée et réaliste.

Nous recommandons généralement de se concentrer d’abord sur les fondamentaux : gouvernance, gestion des identités, maîtrise des données, capacité de reporting et pilotage de la conformité. Une progression structurée est souvent plus efficace qu’une approche qui chercherait à tout traiter simultanément.

Au-delà de l’obligation réglementaire, quels bénéfices les entreprises peuvent-elles tirer de DORA ?

Thomas Bertrand : La conformité n’est finalement qu’une conséquence. Les exigences de DORA obligent les organisations à mieux comprendre leurs risques, à renforcer leurs contrôles, à mieux maîtriser leur écosystème de fournisseurs et à améliorer leur capacité de réaction face aux incidents. L’objectif n’est pas d’atteindre une cybersécurité parfaite. L’objectif est d’être capable d’absorber un incident, d’en limiter les conséquences et de retrouver rapidement un fonctionnement normal. C’est précisément ce que l’on appelle la résilience opérationnelle numérique.