DORA

Définition

Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable aux entités financières depuis le 17 janvier 2025. Il impose la maîtrise du risque lié aux prestataires de services TIC.

Les quatre domaines

• Gestion du risque informatique — un cadre sous la responsabilité de l’organe de direction.
• Reporting des incidents — déclaration des incidents majeurs TIC et notification des cybermenaces importantes.
• Tests de résilience — tests réguliers, et tests avancés fondés sur la menace pour certaines entités.
• Risque de tiers TIC — connaissance des prestataires, contractualisation, risque de concentration, registre d’informations.

Ce que l’ACPR a publié

Le règlement est complété par la directive (UE) 2022/2556. En France, l’ACPR a publié quatre instructions dédiées — 2025-I-09 (externalisation de l’obligation de déclaration), 2025-I-10 et 2025-I-11 (incidents majeurs et cybermenaces, au format JSON), 2025-I-12 (remise des registres d’informations, au format CSV) — une notice sur le cadre de gestion des risques TIC et une FAQ. La remise du registre d’informations était fixée au 31 mars 2026.

Ce que DORA change pour l’IA

Le texte ne mentionne pas l’intelligence artificielle, mais son quatrième domaine l’attrape : un service d’IA fourni par un tiers et soutenant une fonction de l’entité est un service TIC. L’éditeur du modèle, l’hébergeur de l’inférence et l’intégrateur doivent donc figurer au registre d’informations remis à l’ACPR.

DORA n’a pas été reporté

Le règlement (UE) 2026/1744 décale les obligations de l’AI Act sur les systèmes à haut risque — pas DORA, applicable depuis le 17 janvier 2025. Le volet « données » du Digital Omnibus, toujours en négociation, porte des ajustements qui visent aussi DORA et NIS2 : tant qu’il n’est pas adopté, il ne change rien.

Exemple concret

Un score de risque calculé via une API tierce doit figurer dans la cartographie DORA des dépendances critiques. Beaucoup d’établissements l’ont oublié parce que l’API vit hors du système d’information.

Lien avec SiyadAI

SiyadAI recense les outils et fournisseurs d’IA réellement utilisés, y compris ceux que personne n’a déclarés — la matière première du registre des prestataires TIC.