NIS2 & DORA : Ce que les dirigeants des PME du secteur financier doivent savoir 

Depuis le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act) est devenu obligatoire pour toutes les organisations du secteur financier : banques, assurances, fintech, sociétés d’investissement, cabinets de conseil financier, et même certains prestataires technologiques travaillant pour ces acteurs.

Contrairement à une directive, un règlement européen s’applique directement, sans adaptation locale. Cela signifie que toutes les entreprises financières, petites ou grandes, doivent être conformes.

DORA a été conçu pour répondre à un constat simple :
une entreprise financière peut être paralysée en quelques minutes à cause d’un incident informatique, d’un fournisseur défaillant ou d’une cyberattaque.

L’objectif de DORA est donc clair : assurer que les services financiers continuent de fonctionner, même en cas d’incident majeur.

Le rôle du dirigeant : piloter la résilience, même sans être expert IT

DORA met un point très important en avant : la responsabilité directe des dirigeants.

Cela ne signifie pas que vous devez maîtriser la technique.
Cela signifie que vous devez :

• approuver la stratégie de gestion des risques numériques,

• comprendre les risques qui pourraient arrêter l’activité,

• vous assurer qu’un plan existe en cas de crise,

• suivre des formations adaptées à votre rôle,

• veiller à ce que l’entreprise teste régulièrement sa résilience.

En résumé :
vous pilotez, l’IT exécute.
Mais la responsabilité finale vous appartient, car c’est votre entreprise et vos services qui doivent continuer d’opérer.

Les risques TIC : un enjeu business avant d’être un enjeu technique

Là encore, DORA est très clair : les risques numériques sont des risques business.

Un incident informatique peut entraîner :

• une interruption des services,

• une perte de clients,

• une atteinte à la réputation,

• des coûts opérationnels élevés,

• une perte de données sensibles.

En tant que dirigeant, votre rôle est de faire en sorte que votre organisation soit capable de résister, absorber et récupérer rapidement après un incident.

Ce n’est pas une question de “cyber”, mais bien de continuité d’activité et de performance.

Prestataires IT : l’une des obligations les plus importantes de DORA

DORA met une priorité particulière sur les prestataires technologiques, car une grande partie des incidents provient aujourd’hui de services externes (cloud, SaaS, hébergement, infogérance…).

En tant que dirigeant, vous devez vous assurer que vos prestataires :

• sont fiables,

• respectent eux-mêmes DORA ou équivalent,

• permettent des audits,

• offrent des garanties contractuelles,

• ont un plan de continuité,

• disposent d’un plan de sortie en cas de rupture du contrat.

DORA impose également une surveillance continue des prestataires critiques, pas seulement lors de la signature du contrat.

Tests, continuité, incidents : ce que vous devez vérifier au niveau stratégique

Sans entrer dans la technique, vous devez vous assurer que votre organisation :

• teste régulièrement sa continuité d’activité (simulation de crise, PRA, scénarios d’incidents)
• dispose d’un plan clair pour restaurer ses données et ses services
• sait détecter un incident rapidement
• sait qui contacte les autorités en cas d’incident
• documente tout pour prouver sa conformité

Ce sont les piliers visibles de la conformité DORA pour un dirigeant.

L’avis Pérenne’IT, expert cybersécurité 

Chez Pérenne’IT, nous accompagnons quotidiennement des PME et ETI du secteur financier, et nous constatons que DORA n’est pas un sujet purement informatique : c’est un enjeu de gouvernance et de continuité d’activité.

Notre vision est simple :

Les dirigeants qui anticipent DORA renforcent leur stabilité, rassurent leurs partenaires et réduisent considérablement l’impact potentiel d’un incident majeur.

Pour nous, DORA n’est pas une contrainte, mais une opportunité de moderniser son organisation, clarifier sa gestion des risques et établir une collaboration plus forte entre la direction et l’IT.