Le règlement européen sur la résilience opérationnelle numérique (DORA), entré en application le 17 janvier 2025, est désormais pleinement intégré au dispositif de supervision du secteur financier. Après une année 2025 largement consacrée à l’accompagnement des entités financières dans la mise en œuvre de leurs nouvelles obligations, 2026 marque une phase de supervision renforcée. Les autorités compétentes, dont l’ACPR en France, intensifient notamment leurs contrôles sur la gestion des incidents, les cadres de gestion du risque TIC et les relations avec les prestataires informatiques.
DORA établit ainsi un cadre harmonisé visant à renforcer la résilience opérationnelle numérique des entités financières européennes et instaure également un dispositif européen de surveillance des prestataires tiers de services TIC désignés comme critiques.
Une supervision qui se renforce
L’Autorité de contrôle prudentiel et de résolution (ACPR) a précisé ses priorités pour 2026. Après avoir privilégié l’accompagnement des entités financières en 2025, elle porte désormais son attention sur trois thématiques principales : l’amélioration du processus de gestion des incidents, l’évaluation du cadre de gestion des risques TIC et la conformité à DORA des contrats conclus avec les prestataires TIC.
Cette attention portée aux risques liés à l’externalisation est particulièrement importante. La gestion du risque tiers représente un défi organisationnel majeur pour de nombreuses institutions financières. Cartographier les prestataires, identifier les services supportant des fonctions critiques ou importantes et maîtriser les dépendances deviennent essentiels pour garantir la résilience de l’ensemble de la chaîne de valeur.
Le principe est clair : le recours à un prestataire externe ne décharge pas l’entité financière de ses responsabilités en matière de gestion du risque TIC. DORA renforce ainsi la nécessité de maîtriser les risques associés à l’ensemble de l’écosystème numérique de l’organisation.
Des données qui guident l’action
Les premiers retours issus du dispositif DORA permettent désormais de mesurer concrètement l’ampleur du risque opérationnel numérique. Selon le premier rapport annuel publié en juin 2026 par les autorités européennes de supervision (EBA, EIOPA et ESMA), 3 383 incidents majeurs liés aux TIC ont été déclarés par les entités financières de l’Union européenne.
Environ un tiers de ces incidents ont eu un impact transfrontalier. Les autorités européennes soulignent par ailleurs que les défaillances des systèmes et les événements externes constituent les principales causes des incidents déclarés. Seuls 10 % des incidents majeurs recensés étaient directement liés à la cybersécurité.
Ces données rappellent que la résilience opérationnelle ne se limite pas à la protection contre les cyberattaques : elle doit également permettre aux organisations de faire face aux défaillances techniques et aux incidents affectant leurs prestataires et infrastructures. Dans le même temps, les acteurs financiers restent exposés à des menaces cyber telles que les attaques DDoS, les vols d’identité, l’exfiltration de données ou encore les attaques visant la chaîne d’approvisionnement.
L’ACPR a d’ailleurs fait de la mise en œuvre de DORA l’un des axes de son programme de travail 2026 et annonce une intensification du suivi des risques opérationnels, notamment IT et cyber, ainsi que des risques liés à l’externalisation. La résilience numérique est ainsi pleinement intégrée aux dispositifs de gouvernance, de gestion des risques et de supervision des établissements financiers.
Cinq grands volets pour une résilience durable
Pour répondre à ces enjeux, DORA s’articule autour de cinq grands volets : la gestion des risques liés aux TIC, la gestion et la notification des incidents, les tests de résilience opérationnelle numérique, la gestion des risques liés aux prestataires TIC et les dispositifs de partage d’informations sur les cybermenaces.
Les tests de résilience occupent notamment une place importante dans le dispositif. Pour certaines entités financières identifiées selon les critères prévus par DORA, ils comprennent des tests avancés fondés sur la menace (Threat-Led Penetration Testing – TLPT), réalisés au moins tous les trois ans.
Chaque volet nécessite à la fois des outils techniques adaptés, des processus éprouvés et une documentation rigoureuse. C’est notamment dans cette exigence de traçabilité que réside l’une des principales difficultés opérationnelles pour les équipes : cadres de gestion du risque TIC, registres d’information sur les prestataires, déclarations d’incidents, politiques internes ou encore documentation contractuelle doivent pouvoir démontrer la bonne application des exigences du règlement.
En 2026, l’enjeu n’est donc plus seulement de se préparer à DORA, mais de démontrer dans la durée la maturité et l’efficacité des dispositifs de résilience opérationnelle numérique.
