Règlement DORA et continuité des activités

Pour de nombreuses organisations financières, la question cruciale n’est pas de savoir si le règlement DORA et la continuité des activités sont liés, mais dans quelle mesure ce lien s’est déjà traduit par des dispositifs opérationnels vérifiables. Lorsqu’un incident informatique perturbe des services essentiels, ce n’est pas le document de politique qui fait la différence, mais la capacité à maintenir les processus, les décisions et les délais de reprise dans des limites compatibles avec les obligations réglementaires, les attentes des clients et les exigences du marché.

La DORA ne remplace pas la continuité des activités. Elle la rend toutefois plus exigeante, plus mesurable et bien plus intégrée à la gestion des risques informatiques, à la chaîne d’approvisionnement technologique et à la capacité de réaction face aux incidents. C’est pourquoi ce sujet ne concerne pas uniquement la conformité, l’informatique ou la cybersécurité. Il implique la gouvernance, les opérations, les fonctions de contrôle, les achats, la gestion de crise et les tiers critiques.

Règlement DORA et continuité des activités : le véritable point de convergence

Le règlement (UE) n° 2022/2554 relatif à la résilience opérationnelle numérique impose aux entités financières de mettre en place un dispositif structuré permettant de prévenir les incidents informatiques, d’y résister, d’y répondre et de s’en remettre. Lacontinuité d’activitéentre en jeu dès lors que la résilience numérique cesse d’être une question technique pour devenir une capacité à assurer la continuité du service.

Cette étape est décisive. Un plan de continuité reposant uniquement sur des scénarios traditionnels – indisponibilité des locaux, panne d’infrastructure locale, absence de personnel clé – n’est pas suffisant s’il ne prend pas en compte la compromission des plateformes centrales, la perte d’intégrité des données, l’indisponibilité des fournisseurs de services cloud ou l’interruption prolongée des services externalisés. DORA préconise une approche qui associe la continuité opérationnelle et les dépendances numériques, avec des critères de gravité, d’impact et de tolérance à l’interruption bien plus stricts.

Concrètement, la continuité d’activité devient l’un des mécanismes grâce auxquels l’organisation démontre sa capacité à maintenir ses fonctions critiques même en cas d’incidents informatiques graves. Mais pour être crédible, elle doit être coordonnée avec la gestion des incidents, la reprise après sinistre, la communication de crise et la gestion des risques liés aux tiers.

Quels changements concrets pour les programmes de continuité ?

L’erreur la plus courante consiste à considérer DORA comme une nouvelle couche documentaire superposée à un programme existant. Cela fonctionne rarement. Lorsque les cadres de continuité sont bien établis, DORA accélère l’intégration et renforce la fiabilité des données. En revanche, lorsque la continuité a été gérée comme une simple obligation périodique, le règlement met rapidement en évidence des lacunes en matière de gouvernance et de tests.

Le premier changement concerne le périmètre. Il ne suffit plus d’identifier les processus critiques de manière générique. Il faut relier les services métier, les ressources informatiques, les applications, les flux d’informations, les rôles décisionnels et les fournisseurs tiers au sein d’une chaîne de dépendances traçable. Si un service essentiel dépend d’un seul fournisseur ou d’une plateforme non redondante, la vulnérabilité n’est pas théorique. Il s’agit d’un élément de risque opérationnel qui doit être compris, maîtrisé et, si nécessaire, atténué.

Le deuxième changement concerne les seuils. Le RTO et le RPO ne peuvent pas être des valeurs historiques qui ne sont jamais remises en question. Ils doivent refléter la tolérance réelle à l’interruption du service, les impacts réglementaires et en matière de réputation, ainsi que la capacité concrète de reprise. C’est précisément là que réside le problème dans de nombreuses organisations : des objectifs de reprise formellement approuvés, mais qui ne s’appuient pas sur des architectures, des procédures et des rôles adaptés.

Le troisième changement concerne les exercices. DORA prône une résilience démontrable. Cela implique des exercices plus fidèles aux scénarios réels, la vérification des dépendances externes, des simulations d’escalade, la validation des délais de prise de décision et le contrôle de l’efficacité des communications en situation de crise. Un plan qui existe mais qui ne tient pas la route lors d’un exercice ne génère pas de résilience. Il engendre une fausse impression de maîtrise.

Gouvernance, rôles et responsabilité

L’un des aspects les plus importants du règlement est la responsabilisation de l’organe de direction. La résilience opérationnelle numérique ne peut être entièrement déléguée aux fonctions techniques. Cela a également un impact direct sur les programmes de continuité des activités.

Lorsque les responsabilités sont réparties de manière ambiguë, les délais de réponse s’allongent et les décisions critiques sont bloquées. Une gouvernance claire s’impose donc : qui décide du passage en mode crise, qui autorise les solutions de contournement et les solutions de repli, qui évalue le retour à la normale, qui interagit avec les autorités, les clients et les parties prenantes stratégiques. Dans ce contexte, la continuité des activités ne se limite pas àla continuité des processus. Il s’agit d’une capacité de commandement et de contrôle.

Il convient également d’éviter tout chevauchement contre-productif entre les fonctions. La sécurité de l’information, les opérations informatiques, le risque opérationnel, la conformité et la continuité d’activité doivent conserver des compétences distinctes, tout en s’inscrivant dans un modèle cohérent. Si chaque fonction évalue les criticités, les impacts et les priorités à l’aide d’indicateurs différents, le système perd de son efficacité au moment même où il devrait gagner en efficacité.

Analyse d’impact sur l’activitéet cartographie des dépendances informatiques

La BIA reste un outil essentiel, mais elle doit évoluer dans le cadre de la DORA. Il ne suffit plus de collecter des données sur les durées maximales d’indisponibilité ou sur les activités manuelles de remplacement. Il faut une analyse plus approfondie des dépendances numériques qui sous-tendent les services essentiels.

Cela implique au moins trois points à prendre en compte. Le premier concerne la granularité : un service peut sembler géré par plusieurs applications, mais être en réalité exposé à un point de défaillance unique, tel qu’un fournisseur d’identité, un middleware, un référentiel de données ou un prestataire externe. La deuxième concerne l’intégrité des données : dans certains cas de figure, le problème ne réside pas dans l’indisponibilité, mais dans le manque de fiabilité des informations. La troisième concerne les interdépendances entre les processus, qui, en cas de cyberincident, ont tendance à propager l’impact bien au-delà du périmètre initial.

Une analyse d’impact sur les activités (BIA) mise à jour selon l’approche DORA doit donc établir des liens entre les processus critiques, les services importants, les actifs TIC, les dépendances externes et les niveaux de tolérance. Il s’agit d’un travail à la fois technique et organisationnel. Si elle est réalisée de manière superficielle, elle compromet l’ensemble de la chaîne de planification.

Tests : le banc d’essai du règlement DORA et de la continuité des activités

C’est à travers les tests que l’on mesure la maturité réelle de l’organisation. DORA exige des programmes de tests proportionnés à la taille, au profil de risque et à la complexité opérationnelle. En matière de continuité d’activité, cela implique de sortir de la logique des tests formels programmés et de passer à une logique de vérification de fond.

Une simulation sur table bien conçue peut s’avérer utile pour valider les rôles, les procédures d’escalade et la communication. Elle ne suffit toutefois pas à démontrer la capacité de reprise après sinistre sur des services numériques complexes. Il faut également des essais techniques, des basculements contrôlés, des exercices interfonctionnels et des scénarios incluant des tiers, des indisponibilités prolongées, la corruption des données et la prise de décisions en situation d’information incomplète.

Il existe par ailleurs un élément souvent négligé : les tests ne servent pas uniquement à confirmer que quelque chose fonctionne. Ils servent à identifier ce qui ne fonctionne pas. C’est pourquoi les résultats doivent se traduire par des mesures correctives, des priorités d’investissement et une réévaluation des plans. Si l’organisation effectue des tests mais ne comble pas les lacunes mises en évidence, sa conformité n’est qu’apparente.

Tiers prestataires informatiques et continuité du service

DORA accorde une grande attention aux prestataires tiers du secteur des TIC, ce qui correspond à la réalité opérationnelle du secteur financier. De nombreuses interruptions importantes ne sont pas dues à une défaillance interne, mais à des dépendances externalisées insuffisamment contrôlées.

En matière de continuité des activités, cela signifie que les plans ne peuvent pas se limiter au périmètre de l’entreprise. Ils doivent prendre en compte les délais de réponse des fournisseurs, les procédures d’escalade, l’accès aux informations pendant l’incident, les clauses contractuelles, les options de sortie et la viabilité des alternatives. Il n’existe pas toujours de solution redondante économiquement justifiable. Mais le risque doit au moins être compris et accepté en toute connaissance de cause, et non découvert en pleine crise.

C’est là que l’approche méthodologique fait toute la différence. Une évaluation rigoureuse des dépendances critiques permet de distinguer le risque transférable, le risque atténuable et le risque qui nécessite une véritable capacité de continuité interne. Continuitaly intervient souvent précisément à cette intersection entre la conformité, la préparation opérationnelle et l’évaluation concrète des expositions.

De la conformité à la résilience opérationnelle

L’objectif n’est pas de produire davantage de documents. Il s’agit de mettre en place un système capable de continuer à fonctionner, même de manière dégradée, lorsque la composante numérique est soumise à des contraintes. Cela nécessite une cohérence entre les politiques, les architectures, les rôles, les tests et le reporting. Cela exige également une certaine honnêteté organisationnelle : toutes les structures n’ont pas le même niveau de maturité, et toutes les lacunes ne peuvent pas être comblées rapidement.

Pour certaines entreprises, la priorité sera de réajuster la gouvernance et de clarifier les responsabilités. Pour d’autres, il s’agira de revoir l’analyse d’impact sur les activités (BIA) et les stratégies de reprise. Pour d’autres encore, le point critique résidera dans la dépendance vis-à-vis de tiers ou dans le manque d’intégration entre la gestion de crise et la réponse aux incidents. La directive DORA n’impose pas de solution unique. Elle exige toutefois que le modèle choisi soit proportionné, traçable et défendable.

Lorsque la réglementation DORA et la continuité des activités sont abordées comme des disciplines distinctes, il en résulte une conformité fragile. En revanche, lorsqu’elles sont intégrées dans un programme de résilience opérationnelle, l’organisation améliore sa capacité de réaction, réduit l’incertitude dans la prise de décision et renforce la crédibilité de sa gestion des risques auprès des autorités, des clients et du marché.

En fin de compte, l’intérêt ne réside pas dans le fait d’avoir un plan supplémentaire. Il réside dans la capacité à déterminer quels services doivent rester opérationnels, pendant combien de temps, avec quelles ressources et sous quelle autorité décisionnelle, lorsque l’incident n’est plus une hypothèse mais une réalité opérationnelle.

This post is also available in: