DORA : ce qu’il exige et comment prouver votre conformité
En bref
DORA (règlement sur la résilience opérationnelle numérique) est un règlement de l’UE, en application depuis janvier 2025, pour les entités financières de l’UE et leurs prestataires tiers critiques de services TIC. Il exige la gestion des risques TIC (articles 5-16), la classification et la notification des incidents TIC majeurs (articles 17-23), avec une notification initiale dans les 4 heures suivant la classification, un rapport intermédiaire sous 72 heures et un rapport final sous 1 mois, des tests de résilience (articles 24-27) et la gestion du risque lié aux tiers TIC (articles 28-44). ROOTKey fait correspondre ces exigences à votre infrastructure existante, avec des preuves cryptographiques vérifiables et auditables.
- Astreinte des prestataires TIC critiques
- 1 %du chiffre d’affaires quotidien mondial moyen, par jour, pendant 6 mois au plus
- Notification initiale
- 4haprès la classification d’un incident majeur
- Types d’entités
- 20+financières couvertes par le règlement
- Application obligatoire
- Janv. 2025en vigueur dans toute l’Union européenne
Qui est concerné et quels sont les enjeux
DORA (règlement sur la résilience opérationnelle numérique) est entré en application en janvier 2025. Il s’applique aux entités financières de l’UE, notamment les banques, les assureurs, les entreprises d’investissement, les prestataires de services sur crypto-actifs et leurs prestataires tiers critiques de services TIC. Les sanctions varient selon le type d’entité.
| Entité | Sanction |
|---|---|
| Prestataires tiers critiques de services TIC | Astreintes pouvant atteindre 1 % du chiffre d’affaires quotidien mondial moyen de l’exercice précédent, infligées par jour jusqu’à la mise en conformité et pendant six mois au plus (art. 35, paragraphes 7 et 8) |
| Entités financières | Sanctions administratives et mesures correctives fixées par chaque État membre (art. 50), DORA ne fixant aucun montant à l’échelle de l’UE |
Source : règlement (UE) 2022/2554 sur EUR-Lex, articles 35 et 50.
DORA en cinq minutes
Une présentation en langage clair du règlement : qui il couvre, ce qu'il exige et la place de l'intégrité des données.
NIS2, DORA et le RGPD sont expliqués dans le même format dans la playlist Compliance de notre chaîne YouTube.
Ce qu’exige DORA, article par article
DORA exige des cadres documentés de gestion du risque TIC, des plans de continuité d’activité, la classification et la notification des incidents, des tests de résilience opérationnelle numérique et la gestion du risque TIC lié aux tiers, avec des preuves d’audit immuables. Voici comment chaque exigence correspond à ROOTKey.
| Article | Exigence | ROOTKey | Statut |
|---|---|---|---|
| Articles 5-16Gestion des risques TIC | Les entités financières doivent mettre en place un cadre robuste de gestion des risques TIC, avec des politiques documentées, des contrôles et des mécanismes de continuité. | Registre immuable des politiques TIC avec un hash cryptographique vérifiable par version et un historique ancré - toute altération rétroactive est détectable cryptographiquement. | Couvert |
| Articles 17-23Classification des incidents | Classification, suivi et notification des incidents TIC majeurs selon des critères définis et des délais de notification fixés. | Horodatages signés cryptographiquement pour chaque événement. Chaîne de traçabilité vérifiable, avec export structuré vers les régulateurs en quelques secondes. Le rapport indique ce qui a changé, qui, quand et où. | Couvert |
| Articles 24-27Tests de résilience | Programme de tests réguliers de résilience opérationnelle numérique, comprenant des évaluations de vulnérabilité et des tests fondés sur les menaces. | Points de récupération avec vérification cryptographique de l’intégrité - une preuve vérifiable que les systèmes de reprise n’ont pas été compromis avant d’être testés. | Couvert 26 · partiel |
| Articles 28-44Risque lié aux tiers TIC | Gestion rigoureuse du risque lié aux prestataires tiers de services TIC, avec diligence raisonnable, contrats et droits d’audit. | Vérification cryptographique des accès dès la conception : chaque accès de tiers est authentifié par une preuve cryptographique et journalisé de façon immuable, sans confiance implicite. | Authentifié · journalisé de façon immuable |
Articles 19-20 : délais de notification des incidents
DORA impose de notifier les incidents TIC majeurs aux autorités compétentes. L’ancrage par hash cryptographique de ROOTKey crée des chronologies d’incident infalsifiables, qui constituent la base probatoire de la communication réglementaire.
| Délai | Étape | Détail |
|---|---|---|
| T0 | Détection et classification | Journaux à horodatage immuable et export structuré - une preuve vérifiable du moment de la détection et de la classification, prête en quelques minutes. |
| 4h | Notification initiale | Notification initiale à l’autorité compétente dans les 4 heures suivant la classification d’un incident majeur. |
| 72h | Rapport intermédiaire | Rapport intermédiaire dans les 72 heures suivant la notification initiale. |
| 1 mois | Rapport final | Rapport final sous 1 mois. |
Le rôle de ROOTKey : au-dessus de votre infrastructure, pas à sa place
ROOTKey ne remplace pas vos systèmes existants. Elle ajoute une couche de vérification cryptographique via API - sans migration, sans verrouillage fournisseur.
- Preuve cryptographique auditable
- Chaque action critique génère une preuve indépendante, vérifiable par des auditeurs externes sans accéder aux données d’origine.
- Points de récupération vérifiables
- Des sauvegardes dont l’intégrité est vérifiée cryptographiquement : date, contenu et intégrité, le tout vérifiable.
- Horodatages immuables
- Une chaîne de traçabilité pour chaque événement de sécurité, avec une preuve vérifiable du moment où il s’est produit.
Tout fichier, une même preuve
PDF, images, Word, Excel, PowerPoint, tables et bases de données : quel que soit le fichier, ROOTKey le compare à l’original scellé et ne montre que ce qui a été modifié.
- Déploiement
- SaaS · Cloud privé · Sur site
- Connecteurs
- SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · tables et bases de données · REST API et webhooks
Intégration : opérationnel en quelques jours, pas en quelques mois
API REST documentée et webhooks, support Enterprise dédié. ROOTKey s’adapte à votre infrastructure - et non l’inverse.
Intégration via API
API REST documentée et webhooks. Opérationnel en quelques jours, sans remplacer l’infrastructure existante.
Preuves automatiques
Chaque événement critique génère une preuve cryptographique immuable et auditable, avec un effort opérationnel minimal.
Reporting instantané
Tableau de bord de conformité en temps réel et export des preuves vers les régulateurs en quelques secondes.
Questions fréquentes
Qu’est-ce que DORA et qui doit s’y conformer ?
DORA (règlement sur la résilience opérationnelle numérique) est entré en application en janvier 2025. Il s’applique aux entités financières de l’UE, notamment les banques, les assureurs, les entreprises d’investissement, les prestataires de services sur crypto-actifs et leurs prestataires tiers critiques de services TIC.
Qu’exige DORA en matière de gestion du risque TIC ?
DORA exige des cadres documentés de gestion du risque TIC, des plans de continuité d’activité, la classification et la notification des incidents, des tests de résilience opérationnelle numérique et la gestion du risque TIC lié aux tiers, avec des preuves d’audit immuables.
Comment ROOTKey appuie-t-elle la notification des incidents DORA ?
DORA impose de notifier les incidents TIC majeurs aux autorités compétentes. L’ancrage par hash cryptographique de ROOTKey crée des chronologies d’incident infalsifiables, qui constituent la base probatoire de la communication réglementaire.
Quelles sont les sanctions en cas de non-respect de DORA ?
Les prestataires tiers critiques de services TIC encourent des astreintes pouvant atteindre 1 % du chiffre d’affaires quotidien mondial moyen de l’exercice précédent, infligées par jour pendant six mois au plus (art. 35). Les sanctions applicables aux entités financières sont fixées par chaque État membre (art. 50), DORA ne fixant aucun montant à l’échelle de l’UE.