Le Digital Operational Resilience Act est entré en application le 17 janvier 2025. Dix-huit mois plus tard, les premières missions de supervision par les autorités compétentes — BCE, ACPR, BaFin — révèlent un écart persistant entre ce que les entités financières croient avoir mis en place et ce que les auditeurs constatent effectivement. Le paradoxe est le suivant : la majorité des organisations ont investi massivement dans la résilience des systèmes qu'elles connaissent bien — et ont systématiquement sous-estimé celle des systèmes qu'elles ne connaissent pas encore.
Dans cet article, nous examinons trois angles morts structurels identifiés dans les premières phases de supervision DORA, et ce que les organisations les mieux positionnées font différemment.
Un texte mal interprété comme exercice documentaire
DORA couvre environ 22 000 entités financières dans l'Union européenne — banques, assureurs, gestionnaires d'actifs, prestataires de services de paiement, entreprises d'investissement. Il s'articule autour de cinq piliers : gestion des risques ICT, notification des incidents, tests de résilience opérationnelle numérique, gestion des risques liés aux tiers ICT, et partage d'informations.
Le problème qui émerge des premières supervisions : beaucoup d'entités ont interprété DORA comme un exercice de mise en conformité documentaire plutôt que comme une transformation de leur posture opérationnelle réelle. Elles ont produit des politiques, des registres, des plans de réponse — et ont supposé que la résilience suivrait mécaniquement. Ce n'est pas ce que DORA demande, et ce n'est pas ce que les superviseurs mesurent.
L'article 5 de DORA est explicite : le cadre de gestion des risques ICT doit être "adapté à la taille, à la complexité et au profil de risque de l'entité financière" et démontrer une "résilience opérationnelle numérique effective". L'adjectif "effective" est le mot-clé que beaucoup ont ignoré.
Premier angle mort : la concentration ICT tiers non mesurée
L'article 30 de DORA impose une analyse de la concentration des risques liés aux prestataires ICT tiers critiques. Les données qui émergent des premières supervisions sont frappantes : selon une analyse publiée par le Comité européen du risque systémique (CERS) en mars 2026, plus de 80 % des entités financières européennes significatives s'appuient sur trois à cinq prestataires cloud et infrastructure pour leurs fonctions critiques. Azure, AWS, Google Cloud, Salesforce, et trois à quatre autres acteurs concentrent l'essentiel de la dépendance ICT du secteur financier européen.
Or, la majorité des organisations auditées ont documenté cette concentration dans leur registre DORA — et n'ont pas modifié leur architecture. Elles ont rempli l'obligation de déclaration sans adresser l'exposition sous-jacente.
Ce que DORA demande va plus loin : démontrer que la concentration est maîtrisée, avec des stratégies de sortie définies, des plans de continuité alternatifs testés, et une capacité à transférer les fonctions critiques dans des délais définis. Un registre ne constitue pas une stratégie de sortie. La plupart des organisations n'ont pas encore fait cette distinction.
Deuxième angle mort : les TLPT confondus avec les pentests classiques
Le Threat-Led Penetration Testing (TLPT) est obligatoire pour les entités financières significatives sous DORA. La confusion avec les tests d'intrusion classiques est fréquente — et coûteuse.
Un pentest classique évalue la robustesse technique d'un périmètre défini, dans un environnement souvent dédié, avec des scénarios convenus à l'avance. Un TLPT DORA est fondamentalement différent : il simule des tactiques, techniques et procédures d'acteurs de menace réels (APT étatiques, cybercriminels spécialisés dans le secteur financier), sur des systèmes de production ou des environnements les répliquant fidèlement, avec des scénarios dérivés d'un renseignement sur la menace spécifique à l'entité testée.
Deux conséquences pratiques. D'abord, les prestataires capables de conduire un TLPT conforme au cadre TIBER-EU (le standard européen de référence pour DORA) sont rares. La demande dépasse structurellement l'offre depuis l'entrée en application. Les délais de planification s'étendent à six à douze mois pour les équipes Red Team qualifiées. Les entités qui ont attendu 2025 pour s'en préoccuper sont aujourd'hui en file d'attente.
Ensuite, les TLPT révèlent des vulnérabilités que les pentests classiques ne détectent pas — précisément parce qu'ils testent des angles d'attaque réalistes, pas des surfaces exposées connues. Les organisations qui ont conduit leurs premiers TLPT ont quasi-systématiquement identifié des chemins d'attaque dans des systèmes qu'elles considéraient hors périmètre : anciens systèmes interconnectés, interfaces de reporting vers des tiers, accès administrateurs non documentés.
Troisième angle mort : le reporting d'incidents sans processus de qualification
DORA impose un délai de notification initial de 4 heures pour les incidents ICT "majeurs" à l'autorité compétente, suivi d'un rapport intermédiaire à 72 heures et d'un rapport final dans le mois. Ces délais supposent une capacité de qualification rapide : est-ce un incident "majeur" au sens de DORA, ou non ?
Les critères de classification DORA (criticité des services affectés, nombre de clients impactés, durée de l'indisponibilité, impact financier estimé) sont définis dans les Regulatory Technical Standards publiés par les AES en janvier 2024. Le problème : la majorité des organisations n'ont pas traduit ces critères en processus opérationnel testable. Elles ont une politique de notification — pas un workflow de qualification utilisable par une équipe d'astreinte à 3h du matin.
Le résultat observable : des organisations qui sur-notifient par précaution (saturation des autorités et image de fragilité) ou qui sous-notifient faute de clarity interne (risque d'amende et de réputation). Les deux erreurs créent des tensions avec les superviseurs. La qualification rapide d'un incident — majeur ou non — est une compétence opérationnelle qui s'entraîne, pas un jugement qui s'improvise sous pression.
Ce que les organisations les mieux positionnées font différemment
Trois pratiques distinguent les entités qui démontrent une résilience DORA effective lors des supervisions.
Elles testent leurs plans, pas leurs politiques. Un exercice de simulation de crise ICT par trimestre — pas un tabletop annuel — avec des scénarios construits à partir de leur propre registre de menaces. Les plans de continuité sont des hypothèses ; la simulation les confronte à la réalité organisationnelle.
Elles ont défini des indicateurs de résilience, pas seulement des indicateurs de conformité. RTO et RPO par système critique, délai moyen de qualification des incidents, taux de couverture TLPT, concentration ICT mesurée et suivie dans le temps. Ces métriques permettent de démontrer l'évolution de la posture, pas seulement son état à un instant donné.
Elles ont intégré DORA dans leur gouvernance opérationnelle, pas dans leur département conformité. La résilience opérationnelle est une responsabilité des directions métier et de l'IT, supervisée par la conformité — pas l'inverse. Les entités qui ont isolé DORA dans une équipe conformité dédiée ont produit une documentation cohérente et une résilience fragile.
Presidio intègre les cinq piliers DORA dans un tableau de bord de maturité unique, avec des contrôles pré-mappés aux RTS et ITS publiés par les AES. Si vous souhaitez évaluer votre positionnement avant votre première supervision, contactez notre équipe pour un cadrage adapté. Lire aussi notre analyse sur la maturité Incident Response et la chaîne de preuves.
Conclusion
DORA ne demande pas la perfection — il demande la démonstration d'une résilience opérationnelle effective, adaptée au profil de risque de l'entité. Les organisations qui ont concentré leurs efforts sur la documentation ont produit des livrables conformes et une exposition réelle non réduite. Celles qui ont utilisé DORA comme levier pour tester réellement leurs systèmes, qualifier leurs processus d'incident, et mesurer leur concentration ICT sont dans une position structurellement différente — pas parce qu'elles ont mieux rempli les formulaires, mais parce qu'elles ont pris le texte au sérieux dans sa dimension opérationnelle. En 2026, c'est cette distinction que les superviseurs font.