Le 17 janvier 2026 a marqué le 1er anniversaire depuis l'entrée en vigueur de DORA, le règlement européen Digital Operational Resilience Act, visant à renforcer la résilience numérique des organisations financières. Ce secteur est une cible de choix pour les cybercriminels.

Les entités financières sont souvent bien armées, mais leurs sous-traitants sont souvent moins protégés. L'ambition de DORA est justement de s'assurer qu'elles renforcent chaque maillon de leur chaine de valeur.

Le niveau de maturité du cadre de gestion des risques liés aux TIC (technologies de l’information et de la communication) s'améliore, 70% des entreprises du marché étant en conformité en décembre 2025, mais reste hétérogène selon les domaines. Les processus de détection & classification des incidents TIC sont globalement alignés avec DORA, mais des efforts restent nécessaires pour améliorer les circuits de notification et fiabiliser l'agrégation des coûts/pertes.

Les principaux défis à court terme liés à la mise en œuvre de ce règlement sont le passage dans l'exécution opérationnelle ("run") des exigences de DORA.

Les principaux enjeux de la mise en conformité à court terme sont : la réalisation des tests fondés sur la menace (TLPT - Threat Led Penetration Test), la surveillance des risques liés aux tiers, l'évaluation des risques de concentration ainsi que la définition de stratégies de sorties des prestataires informatiques.

À propos de PwC France et Maghreb
PwC aide les organisations de toutes tailles et de tous secteurs d’activité à créer de la confiance, se réinventer et se démarquer dans un monde complexe. Ses services de conseil, d’audit et d’expertise juridique et fiscale conjuguent avancées technologiques et savoir-faire pluridisciplinaires pour accompagner et accélérer la transformation durable des entreprises. PwC compte 7 000 collaborateurs en France et au Maghreb, au sein d’un réseau de plus de 364 000 personnes dans 136 pays.

En 2023, le secteur financier européen a été confronté à une augmentation notable des cyberattaques, touchant un large éventail de données clients. Face à la complexité croissante des systèmes d’information, la réglementation européenne DORA (Digital Operational Resilience Act) constitue un tournant majeur pour la résilience numérique du secteur. Elle impose notamment à chaque établissement l’obligation de déclarer tout incident majeur aux autorités compétentes et d’en analyser systématiquement les causes et les impacts.

Depuis janvier 2022, l’École Supérieure de la Banque (ESBanque) a intégré cette réglementation au cœur de ses formations, afin d’accompagner les établissements bancaires et assurantiels dans la compréhension et la mise en œuvre de leurs nouvelles obligations. Ce jeudi 13 novembre 2025 l’Esbanque organise une conférence en ligne pour comprendre la réglementation et anticiper les obligations. L’objectif ? Passer de la compréhension théorique à l’action concrète. Cette conférence s’inscrit dans la mission de l’ESBanque : accompagner les acteurs du secteur financier dans la compréhension et l’appropriation des évolutions réglementaires qui transforment leurs métiers.

Vous souhaitez participer à cette conférence ? Inscriptions ici

Depuis le 1er janvier 2025, le règlement DORA bouleverse le secteur financier européen. Là où beaucoup n’y voient qu’une contrainte, Sébastien Lescop, Directeur Général de Cloud Temple, y lit une révolution silencieuse : celle d’un numérique souverain qui protège la continuité des activités critiques, l’autonomie stratégique de l’Europe et prépare l’avènement d’une IA de confiance.

L’actualité le confirme : face aux tensions géopolitiques et au risque d’extraterritorialité lié au Cloud Act américain, de plus en plus de banques européennes accélèrent leur migration vers des clouds de confiance européens. Les annonces d’“offres souveraines” par des hyperscalers américains peinent à rassurer : elles restent soumises à la législation US. Dans ce contexte, SecNumCloud s’impose comme la référence pour garantir conformité et contrôle des données sensibles.

Pour Sébastien Lescop, « DORA n’est pas une règle de conformité, c’est une assurance-vie numérique pour la finance européenne. » À travers des projets menés avec le Crédit Commercial de France ou encore la Banque de France, Cloud Temple illustre concrètement comment DORA et SecNumCloud permettent aux établissements financiers de transformer une obligation réglementaire en avantage compétitif.

À propos de Cloud Temple
Cloud Temple a pour ambition de démocratiser le cloud auprès des secteurs sensibles, en leur garantissant une sécurité optimale et sans compromis sur l’innovation. Plaçant l’intelligence artificielle au cœur de sa stratégie, l’entreprise développe des solutions cloud sécurisées et performantes qui accompagnent depuis 2017 la transformation des secteurs de l’Industrie, de la Finance, de la Santé et de la sphère publique. Pour répondre à leurs enjeux, Cloud Temple propose une offre cloud complète et conforme aux standards les plus exigeants en matière de fiabilité, de sécurité et de souveraineté des données, notamment grâce à la qualification SecNumCloud délivrée par l’ANSSI. Cloud Temple est également certifié Hébergeur de Données de Santé (HDS) et ISO 27001. Toutes les données traitées sont systématiquement hébergées dans des datacenters en France.

Entretenir des systèmes propriétaires, mais obsolètes, ou avoir une autre approche ? La mise en place e DORA peut être une occasion de réfléchir à sa transformation digitale.

Les assureurs sont soumis aux règlements sur la résilience opérationnelle numérique DORA (Digital Operational Resilience Act). Un véritable défi en termes d’exigences de conformité complexes et de mise à niveau de leurs systèmes. Pour être en conformité, les assureurs doivent tout d’abord renforcer leur niveau de cybersécurité, en mettant en place des processus de réponse aux incidents et en assumant des coûts de mise en œuvre importants. Ils vont également devoir enclencher des changements organisationnels pour assurer la coordination entre les services et la formation des employés. A faire d’urgence, même si, en pratique, le package de texte n’est pas encore complet. Enfin, ils doivent s’adapter aux risques émergents, améliorer la planification de leur continuité d’activité, en trouvant un juste équilibre entre les investissements nécessaires, l’expertise et la gestion du changement face à ces nouvelles exigences réglementaires. Les prestataires de services et acteurs tiers, qui doivent eux aussi se conformer à DORA, ne sont pas épargnés par ces nouveaux défis…

Un sujet d’ajustement budgétaires à court terme

Les exigences de DORA ne vont-elles pas venir freiner la dynamique de transformation digitale enclenchée par de nombreuses compagnies d’assurance, compte tenu des investissements nécessaires et des changements systémiques à mettre en place ? Bien au contraire : DORA est susceptible d’accélérer la modernisation du secteur, en encourageant les assureurs à renforcer la résilience numérique, la cybersécurité et la gestion des risques. Si l’on met de côté les tensions d’ajustement à court terme, en particulier liées à la réaffectation du budget à des fins de conformité, les avantages à long terme d’un renforcement du niveau de sécurié et de la résilience l’emportent largement. Elles devraient justement soutenir les stratégies numériques des assureurs, en les aidant à rester compétitifs et à mieux servir leurs clients.

En effet, les assureurs européens voient en DORA l’établissement d’une norme commune qui permettra d’uniformiser les règles du jeu au niveau européen, en veillant à ce que tous les assureurs de la région soient soumis aux mêmes exigences réglementaires. Si sa mise en place va mobiliser des investissements importants en matière de gestion des risques liés aux TIC, de tests de résilience et de contrôle par des tiers, la plupart des assureurs considèrent DORA comme un élément stratégique contribuant à renforcer leurs avantages concurrentiels en favorisant la relation de confiance avec leurs clients et partenaires.

En parallèle des efforts apportés au renforcement de la sécurité de leurs TICs et à la mise en place de nouveaux processus, les assureurs doivent également s’assurer que leurs fournisseurs tiers se conforment au règlement DORA.

Une occasion de repenser l’organisation des systèmes

En effet, DORA promeut un modèle de responsabilité partagée entre les compagnies d’assurance d’une part, responsables de la résilience opérationnelle globale, incluant la gestion des risques, du signalement des incidents et de la continuité des activités, et les fournisseurs de services informatiques d’autre part, chargés de maintenir les aspects opérationnels de la résilience numérique, tels que la sécurité de l’information et la continuité des services. Les deux parties doivent donc collaborer étroitement, les assureurs contrôlant la conformité de leurs fournisseurs et veillant à ce que les contrats définissent clairement les attentes. Un fournisseur de services informatiques est, par exemple, tenu d’informer ses clients des incidents majeurs ou des vulnérabilités affectant les opérations. Cela permet aux assureurs de satisfaire aux exigences de déclaration de DORA, auprès de l’ACPR, l’organisme de réglementation en France. Cette responsabilité partagée est essentielle pour garantir la réalisation des objectifs de la loi DORA.

En toute logique, les investissements nécessaires à la mise en œuvre des exigences de DORA devront être majoritairement pris en charge par les prestataires de services informatiques pour les pans du système d’information sous leur responsabilité et dont c’est le cœur de métier. Les assureurs ont tout à gagner à s’appuyer sur ces prestataires, qui renforcent la sécurité de leurs technologies et mutualisent les bénéfices de ces améliorations entre tous leurs clients, plutôt que de s’évertuer à gérer eux-mêmes des systèmes internes obsolètes et propriétaires, tout en supportant l’intégralité des coûts.

A chacun sa spécialité… et ses coûts

Si la responsabilité est bien partagée, chaque partie prenante doit donc investir sur des pans différents selon son métier. Par exemple, un fournisseur de plateforme cloud doit assurer la disponibilité de ses services cloud et se tenir prêt à faire face à tout type d’événements qui menacerait son cloud ; il doit engager ses équipes juridiques et de conformité dans des discussions concernant l’impact du règlement DORA sur les contrats et processus, tout en travaillant en étroite collaboration avec ses clients pour les aider à se mettre en conformité avec les processus métiers pris en charge par des tiers. En contrepartie, ,il est attendu que ses clients prennent eux-mêmes en charge la conception, le déploiement et les tests de leurs applications hébergées sur le cloud du fournisseur. Ils doivent également documenter et revoir leurs politiques ainsi que leurs protocoles de gestion des risques au moins une fois par an, ou en cas d’incidents majeurs liés aux TIC.

En uniformisant les cadres réglementaires au niveau européen et en incitant à moderniser et sécuriser les systèmes IT, DORA devrait servir de vecteur ou d’accélérateur de la transformation numérique des acteurs de l’assurance. La finalité de DORA et des règlements similaires est de renforcer la confiance des clients et partenaires, en garantissant la sécurité des données et la résilience des systèmes face à tout type d’événement, avec la certitude que les systèmes resteront opérationnels en toutes circonstances.

À propos de Guidewire

Guidewire est la plateforme à laquelle les assureurs IARD font confiance pour communiquer, innover et se développer efficacement. Nous associons les applications cœur de métier, le digital, l’analytique et l’IA dans notre plateforme sous forme de service cloud. Qu’ils soient nouveaux entrants ou parmi les plus grands et plus complexes au monde, plus de 540 assureurs utilisent Guidewire dans 40 pays.

En tant que partenaire de nos clients, nous sommes en constante évolution pour assurer leur réussite. Nous sommes fiers de nos résultats inégalés en matière d’implémentations, avec à notre actif plus de 1 600 projets réalisés avec succès et bénéficiant du soutien de la plus grande équipe de R&D, et l’écosystème de partenaires le plus vaste du secteur. Notre marketplace compte des centaines d'applications qui accélèrent l'intégration, la localisation et l'innovation.

Du même auteur : Les exigences clés de la loi DORA que les assureurs doivent prendre en compte

FINOM, une plateforme financière numérique européenne destinée aux petites et moyennes entreprises, a obtenu la certification ISO/IEC 27001:2022 pour les systèmes de management de la sécurité de l'information (ISMS), délivrée par le BSI suite à un audit réalisé en avril 2025. Cette certification valide le système de management de la sécurité de l'information de Finom et atteste de son engagement à respecter les normes strictes de sécurité attendues par les régulateurs financiers européens.

Le BSI (British Standards Institution), l’un des organismes de normalisation et d'amélioration des entreprises les plus reconnus au monde, a mené un audit complet des politiques, procédures et contrôles techniques de sécurité de l’information mis en œuvre par Finom dans l’ensemble de ses opérations. La norme ISO/IEC 27001:2022 est la référence internationale pour les systèmes de gestion de la sécurité de l'information, exigeant des organisations qu’elles déploient des mesures couvrant la gestion des risques, le contrôle des accès, la protection des données, la réponse aux incidents et la formation du personnel – avec plus de 100 exigences de sécurité à respecter.

Cette certification récompense plusieurs années d’efforts pour implémenter le système ISMS de Finom. L’entreprise a adopté une approche intégrée, en incorporant des pratiques avancées de gestion des risques liés aux TIC dès le début de la mise en œuvre, afin de renforcer son cadre de sécurité de l’information dans des environnements financiers réglementés.

Grâce à cette reconnaissance, Finom rejoint les rangs des grandes entreprises technologiques et financières – y compris des fournisseurs de cloud et des fintechs majeures – détenant la certification ISO/IEC 27001. Elle permet à Finom de répondre aux exigences réglementaires croissantes imposées aux prestataires de services financiers dans l’Union européenne.

La certification est valable pour une durée de trois ans, avec des audits de surveillance annuels pour garantir la conformité continue. Cette réalisation appuie les projets d’expansion de Finom dans toute l’Union européenne, où la conformité réglementaire et la sécurité des données sont des enjeux clés pour les prestataires de services financiers.



À propos de Finom
Finom est une plateforme de services financiers numériques conçue pour répondre aux besoins spécifiques des entrepreneurs et PME en Europe. Elle propose un ensemble complet d’outils financiers permettant aux chefs d’entreprise d’ouvrir un compte rapidement et de gérer efficacement leurs finances. La plateforme simplifie la gestion financière en ligne, les paiements, la facturation et le suivi des dépenses. Dévouée à soutenir la croissance et la compétitivité des entrepreneurs, Finom fournit des solutions financières innovantes et détient une licence d’établissement de monnaie électronique (EMI) opérationnelle dans toute l’Europe. Basée aux Pays-Bas, l’entreprise est présente dans plusieurs pays européens.