Comment faire de DORA une discipline opérationnelle plutôt qu’un registre de plus ?

Un contrat cloud est signé par les achats, l’application est pilotée par un métier et l’incident est géré par l’informatique. Lorsque l’autorité demande qui dépend de quoi, les trois versions ne coïncident pas. C’est précisément le problème que DORA rend impossible à ignorer : la résilience numérique d’une entité financière dépend autant de ses décisions internes que de ses prestataires TIC. Cette lecture explique ce que le règlement impose depuis le 17 janvier 2025, comment bâtir un registre d’informations utilisable, revoir les contrats, préparer les incidents et organiser les tests. Elle montre aussi comment transformer ces obligations en une première mission claire, puis en maintien récurrent, sans confondre conseil, audit et garantie réglementaire. Pour getfishnet, le potentiel d’acquisition se concentre sur les écarts observables : registre incomplet, contrat non raccordé à une fonction, test absent ou incident impossible à qualifier.

DORA s’applique depuis le 17 janvier 2025 à de nombreuses entités financières européennes et organise cinq domaines : gestion des risques TIC, incidents, tests de résilience, risque lié aux prestataires tiers et partage d’informations. En Belgique, la FSMA et la Banque nationale interviennent selon les entités supervisées.

Le règlement vise une capacité, pas un empilement documentaire. L’entité doit connaître ses fonctions, ses systèmes et ses dépendances, gérer les incidents, tester sa résistance et encadrer ses fournisseurs. Les actes délégués et normes techniques détaillent progressivement les formats et attentes ; la version applicable doit être vérifiée avant chaque intervention.

DORA peut croiser NIS2, mais les régimes ne sont pas interchangeables. La lecture DORA reste centrée sur les entités financières, leurs fonctions et leurs fournisseurs TIC. Pour un intermédiaire d’assurance, la qualification doit partir du champ exact et de l’autorité compétente, pas d’un article générique du secteur financier.

Le registre d’informations DORA relie chaque accord contractuel TIC à l’entité, au service fourni, à la fonction soutenue et aux caractéristiques du prestataire. Il constitue un point d’entrée commercial puissant parce qu’il révèle rapidement les données manquantes, les doublons et les contrats sans propriétaire.

La FSMA rappelle que les entités doivent tenir et mettre à jour ce registre pour l’ensemble des accords portant sur des services TIC tiers. La Banque nationale collecte les déclarations de ses assujettis via OneGate. Le format n’est pas un simple tableau d’achats : il exige des relations cohérentes entre identifiants, fonctions, contrats et fournisseurs.

Le premier diagnostic DORA peut se concentrer sur un périmètre défini : vérifier un échantillon de fonctions, contrats et prestataires, mesurer la complétude du registre, classer les écarts et proposer les lots suivants. Il livre des décisions attribuées ; il ne prétend pas certifier toute l’entité.

La mission commence par une unité, une fonction ou une population de prestataires. Elle rapproche achats, informatique, risques, juridique et métier. Chaque divergence est documentée : information absente, définition incohérente, preuve introuvable ou responsabilité non attribuée. Le client repart avec un registre corrigé sur le périmètre testé et une méthode reproductible.

Cette approche réduit la friction : le client n’a pas besoin d’attendre l’inventaire parfait pour apprendre. Elle suppose toutefois une capacité juridique, risque et technique disponible. getfishnet peut construire l’acquisition autour de l’offre ; l’exécution spécialisée doit rester chez les professionnels compétents.

Un contrat TIC DORA doit être lu à travers la fonction qu’il soutient, son niveau de criticité, ses sous-traitants, ses lieux de traitement, ses droits d’audit et sa stratégie de sortie. Une clause isolée ne suffit pas si l’organisation ne peut ni l’exercer ni maintenir le service.

La revue contractuelle doit repérer les écarts entre le texte et la réalité. Un délai de notification est-il compatible avec le processus interne ? Les données nécessaires à la sortie sont-elles récupérables ? Le test de continuité mobilise-t-il réellement le fournisseur ? La concentration sur un acteur ou une technologie a-t-elle été comprise par la direction ?

Les incidents et tests DORA doivent partir d’un service réel, d’un scénario plausible et de critères observables. Le test est utile s’il révèle une décision impossible, un délai irréaliste ou une preuve absente, puis conduit à une correction dont la responsabilité et la date sont connues.

La FSMA et la Banque nationale publient les modalités belges applicables aux déclarations et collectes. Une équipe doit connaître son autorité, le canal, les critères de classification et les informations à préserver. Les exercices sur table permettent de tester les décisions avant de mobiliser une simulation technique plus lourde.

Les meilleurs signaux DORA sont vérifiables : collecte réglementaire, changement de prestataire, renouvellement de contrat, externalisation, incident, fusion ou registre incomplet. Ils permettent un message spécifique et une première mission bornée, contrairement à une prospection générique sur la « conformité financière ».

Une stratégie multicanale peut associer recherche web sur les obligations, veille des changements de prestataires, courriels ciblés, appels, partenariats juridiques et cyber, événements professionnels et recommandations. La campagne doit séparer les audiences : entité financière, prestataire TIC, groupe supervisé ou intermédiaire. Chacune porte un payeur, une preuve et une objection différentes.

La performance doit être suivie par segment : conversations qualifiées, diagnostics décidés, durée du cycle, charge d’exécution et récurrence maintenable. Les chiffres ne sont crédibles qu’à partir du portefeuille et de la capacité du partenaire ; ils ne doivent pas être inventés dans une démonstration publique.

Le service récurrent DORA maintient le registre, les changements contractuels, les incidents, les tests et les décisions de concentration. Il doit produire une preuve à chaque cycle et réduire les écarts ; il ne transforme pas une mise en conformité ponctuelle en abonnement artificiel.

Le rythme suit les changements : nouveau fournisseur, renouvellement, fonction modifiée, incident ou mise à jour réglementaire. Une revue trimestrielle peut convenir à certains périmètres ; d’autres exigent un suivi continu. La sortie du service est prévue dès le départ si le client internalise la compétence.

DORA devient un axe pertinent si vous pouvez cibler les entités ou prestataires concernés, livrer un diagnostic borné et mobiliser les compétences nécessaires. Le test d’éligibilité getfishnet vérifie gratuitement la cohérence entre votre marché, votre capacité, vos difficultés d’acquisition et la récurrence possible.

Nous analysons les segments, les signaux de décision, les canaux et la réponse commerciale attendue. Puis nous construisons une stratégie sur mesure, ou nous recommandons un autre angle si DORA n’offre pas assez de volume, de rapidité ou de différenciation pour votre structure.

Sources d’autorité citées dans cette lecture : EUR-Lex ; Commission européenne ; Autorités européennes de surveillance ; FSMA ; Banque nationale de Belgique. Les références privées datées sont conservées dans le dossier éditorial.