DORA Compliance Checklist 2026 : Les 8 Points Essentiels

La réglementation DORA (Digital Operational Resilience Act) est entrée en application le 17 janvier 2025. Toutes les entités financières de l'UE — banques, assureurs, gestionnaires d'actifs, PSP — doivent désormais démontrer leur conformité. Voici la checklist opérationnelle en 8 points pour structurer votre mise en conformité.

Les 8 domaines clés de la checklist DORA

1. Gouvernance et cadre ICT risk management — politique validée par le board
2. Classification et protection des actifs informatiques — inventaire complet et mise à jour trimestrielle
3. Détection et gestion des incidents ICT — procédure de classification et notification DORA
4. Reporting réglementaire des incidents majeurs — notification initiale, rapport intermédiaire puis rapport final
5. Tests de résilience opérationnelle — programme de tests régulier, TLPT pour les entités identifiées
6. Gestion des risques liés aux prestataires ICT tiers — registre contractuel, clauses DORA obligatoires
7. Surveillance des prestataires critiques (CTPPs) — identifier si vos fournisseurs cloud sont désignés critiques
8. Partage d'informations sur les cybermenaces — participation aux dispositifs de threat intelligence intersectoriels

Point 1 — Gouvernance ICT et responsabilité du board

DORA impose une responsabilité explicite des organes de direction. Le board doit approuver la stratégie ICT, valider le budget de résilience et recevoir des rapports périodiques sur le niveau de risque. Ce n'est plus une délégation possible à la seule DSI.

Checklist gouvernance :

• Politique ICT risk management approuvée par le conseil d'administration
• Rôles et responsabilités ICT formellement assignés (RACI)
• Reporting ICT périodique au board avec indicateurs de résilience
• Budget DORA dédié et justifié dans le plan pluriannuel
• Formation des dirigeants sur les risques ICT (article 5 DORA)

Consulter notre guide complet du règlement DORA pour le détail des exigences par article.

Point 2 — Classification et protection des actifs ICT

L'article 8 de DORA exige un inventaire complet et à jour de tous les actifs ICT supports des fonctions critiques. Cet inventaire doit être classé selon leur criticité et faire l'objet d'une revue périodique.

En pratique :

• Cartographie de toutes les applications et infrastructures critiques
• Classification selon 3 niveaux de criticité minimum
• Mise à jour de l'inventaire au minimum trimestriellement
• Documentation des dépendances entre systèmes (topologie réseau)
• Procédures de patch management avec délais définis selon criticité

Point 3 — Détection et gestion des incidents ICT

DORA distingue les incidents ICT ordinaires des incidents ICT « majeurs » qui déclenchent une obligation de notification réglementaire. La première étape est de mettre en place des critères de classification conformes aux normes techniques adoptées par les autorités européennes de surveillance.

Checklist détection :

• Capacités SIEM couvrant les systèmes critiques 24/7
• Procédure de triage et classification des incidents (avec critères DORA)
• Run book d'escalade avec contacts réglementaires (ACPR, BCE...)
• Post-mortem systématique pour tout incident majeur
• Registre des incidents tenu à jour

Point 4 — Reporting réglementaire des incidents majeurs

C'est l'une des nouveautés les plus contraignantes de DORA. Tout incident ICT majeur doit faire l'objet de trois notifications successives au superviseur compétent, dans des délais définis par les normes techniques de réglementation. Le détail opérationnel est traité dans notre guide sur la notification d'incident DORA.

Les délais exacts et leurs points de départ sont fixés par les normes techniques adoptées par les autorités européennes de surveillance : vérifiez le texte applicable publié par l'EBA avant de figer vos procédures internes.

Point 5 — Tests de résilience opérationnelle

DORA impose un programme de tests réguliers couvrant toute la chaîne ICT. Pour les entités identifiées par les autorités compétentes, des TLPT (Threat-Led Penetration Tests) s'ajoutent au socle commun, en s'appuyant sur le cadre TIBER-EU. Notre guide détaille les tests de résilience DORA.

Programme de tests annuel minimum :

• Tests de vulnérabilité et de pénétration (au minimum annuels)
• Tests de continuité d'activité (PCA/PRA) pour les fonctions critiques
• Simulations de réponse aux incidents (tabletop exercises)
• Tests end-to-end incluant les prestataires ICT critiques
• Documentation des résultats et plans de remédiation tracés

Point 6 — Gestion des risques ICT tiers

DORA impose des exigences contractuelles précises pour tout contrat avec un prestataire ICT. Cette obligation concerne la quasi-totalité des fournisseurs cloud, éditeurs logiciels et infogérants.

Notre guide sur la gestion des risques ICT tiers sous DORA détaille les clauses contractuelles obligatoires. En résumé :

• Registre de tous les contrats ICT tiers (avec classification de criticité)
• Clauses DORA obligatoires dans les contrats : droit d'audit, SLA de résilience, droit de résiliation, sous-traitance encadrée
• Due diligence pré-contractuelle documentée
• Surveillance continue des prestataires critiques (risk monitoring)
• Stratégies de sortie (exit strategy) pour tout prestataire supportant une fonction critique

Point 7 — Surveillance des prestataires critiques (CTPPs)

Les autorités européennes de surveillance (EBA, ESMA, EIOPA) désignent les prestataires tiers de services TIC « critiques » (CTPPs). Si vos fournisseurs cloud ou éditeurs clés sont désignés CTPPs, un cadre de supervision européen s'applique à eux, avec des conséquences pour vos propres contrats.

Vérifiez si vos prestataires figurent sur la liste des CTPPs désignés, publiée et mise à jour par les autorités européennes de surveillance. Si oui : anticipez les exigences de surveillance élargie et les droits d'inspection des superviseurs.

Pour savoir si votre entité est concernée par DORA, voir notre analyse des entités concernées par DORA.

Point 8 — Partage d'informations sur les cybermenaces

DORA encourage (article 45) le partage d'informations sur les cybermenaces entre entités financières. Des arrangements volontaires de threat intelligence peuvent être mis en place au sein de groupes sectoriels.

En pratique : rejoindre ou créer des groupes de partage d'informations (ISAC sectoriel), définir un protocole de classification des informations partagées (TLP : Red, Amber, Green, Clear), et documenter les procédures de participation.

Comment utiliser cette checklist

Cette checklist est un outil de gap analysis : elle donne les priorités, pas le détail des contrôles. Pour un audit ligne à ligne, notre grille d'autoévaluation DORA en 50 points de contrôle décline ces domaines en questions vérifiables, avec un barème de lecture. Pour chaque point, évaluez votre niveau de maturité actuel sur une échelle de 1 à 5 et identifiez les actions prioritaires. Privilégiez les points 3, 4 et 6 si votre délai est contraint : ce sont les domaines sur lesquels les superviseurs concentrent leurs premiers contrôles.

Un audit interne DORA structuré autour de ces 8 axes vous permettra de produire un rapport de conformité défendable devant l'ACPR, la BCE ou tout autre superviseur compétent. Veillez à documenter chaque action corrective avec une date de clôture et un responsable nommé.

Conclusion

La conformité DORA n'est pas une case à cocher une seule fois : c'est un programme continu de gestion de la résilience opérationnelle. Cette checklist en 8 points constitue votre feuille de route. Commencez par les domaines à risque élevé (incidents, tiers, tests) et documentez chaque étape de votre mise en conformité.