Ce blog a été publié pour la première fois en 2025 et a été mis à jour.
La loi sur la résilience opérationnelle numérique (DORA) est une obligation de conformité déjà en vigueur — son application a débuté le 17 janvier 2025 — qui porte sur la manière dont les établissements financiers gèrent, surveillent et se remettent des perturbations liées aux technologies de l'information et de la communication (TIC). Pour les responsables de la sécurité des systèmes d'information (RSSI), elle redéfinit l'identité non pas comme un outil d'accès, mais comme un contrôle essentiel de la résilience opérationnelle.
La conformité est souvent considérée comme un fardeau inévitable dans services financiers— une série de cases à cocher pour éviter les amendes ou nuire à leur réputation. Mais la loi sur la résilience opérationnelle numérique (DORA) ne se résume pas à un simple exercice consistant à cocher des cases. Elle marque un changement profond dans la manière dont les autorités de régulation attendent des organisations européennes qu’elles gèrent les risques numériques.
Qu'est-ce que DORA ?
La loi sur la résilience opérationnelle numérique (DORA) correspond au règlement (UE) n° 2022/2554, qui impose aux établissements financiers de démontrer leur capacité à résister aux perturbations liées aux technologies de l'information et de la communication (TIC), à y faire face et à s'en remettre. Elle repose sur cinq piliers : la gestion des risques liés aux TIC, la notification des incidents, les tests de résilience, la gestion des risques liés aux tiers et le partage d'informations.
Pour les RSSI et les responsables de l'identité, DORA est l'occasion de transformer la conformité en un moteur de réduction des risques et de résilience à long terme. Pour concrétiser cette opportunité, ils devront commencer par l'identité.
Le volet « gestion des risques liés aux TIC » de la stratégie DORA exige notamment des contrôles d’accès rigoureux, une authentification multifactorielle et des registres d’identité prêts à être audités, faisant ainsi de la gestion des identités le fondement opérationnel de la conformité, et non une simple fonction auxiliaire.
Toute transaction numérique au sein d'un établissement financier commence par une question de sécurité fondamentale : qui demande l'accès ? Dans un environnement de plus en plus hybride, connecté au cloud et favorisant le travail à distance, la vérification et le contrôle de l'identité sont plus complexes — et plus essentiels — que jamais.
DORA reconnaît que sans systèmes d'identité sécurisés et résilients, aucune organisation ne peut maintenir la continuité opérationnelle en cas de crise. Si vous perdez le contrôle de l'identité, vous perdez le contrôle de l'entreprise.
Les systèmes d'identité traditionnels n'ont pas été conçus pour répondre au paysage actuel des menaces ou aux attentes réglementaires. Ils sont souvent réactifs, axés sur les politiques et fortement tributaires des mots de passe et des processus manuels.
Les lacunes les plus courantes sont les suivantes
- Politiques d'accès statiques qui ne tiennent pas compte du risque contextuel
- Manque de visibilité en comportement identitaire en temps réel
- Lenteur de la réponse aux incidents en raison d'outils d'identité cloisonnés
- Pas de stratégie de sauvegarde si les systèmes IAM sont hors ligne
La directive DORA va plus loin. Elle exige des établissements qu’ils gèrent de manière proactive les risques liés à l’identité dans le cadre de leur programme de résilience opérationnelle. Les établissements financiers opérant dans l’Union européenne doivent désormais se conformer à ces exigences, puisque le 17 janvier 2025 a marqué le début de la phase d’application de la directive DORA.
Gestion des risques liés à l'identité va au-delà du contrôle d'accès basé sur des règles en évaluant en permanence le niveau de risque associé à chaque utilisateur, appareil et tentative d'accès, et en adaptant dynamiquement les exigences d'authentification en temps réel en fonction de ces signaux.
Par exemple :
- L'utilisateur se connecte-t-il à partir d'un endroit connu sur un appareil de confiance ?
- Leur comportement correspond-il aux tendances historiques ?
- Y a-t-il une augmentation des demandes d'assistance qui pourrait indiquer la présence d'ingénierie sociale ?
Ces signaux permettent d'établir un profil de risque en temps réel qui oriente les décisions en matière d'authentification et d'accès.
Les solutions RSA répondent à chacune des exigences de DORA en matière d'identité, de l'authentification résistante au phishing et de la détection des risques comportementaux jusqu'au basculement hybride et aux rapports de gouvernance :
- Risque IA analyse les signaux comportementaux afin de détecter et de bloquer les accès à risque
- Help Desk Live Verify prévient les attaques d'ingénierie sociale au moment de l'interaction humaine
- Solutions sans mot de passe (y compris les solutions certifiées FIDO2, OTP, biométriques, etc.) réduisent les violations liées aux informations d'identification.
- Gouvernance et cycle de vie de l'ASR rationalise l'application des politiques et les rapports de conformité
- Basculement hybride garantit que l'authentification se poursuit même lorsque les systèmes sont hors service
Ensemble, ces outils permettent aux institutions de gérer l'identité comme une fonction de risque dynamique, basée sur des données.
Le respect des exigences minimales de la DORA constitue un seuil minimal, et non un plafond. Les institutions qui s’appuient sur la DORA pour moderniser leur gestion des identités bénéficieront d’une réduction des failles de sécurité, d’audits plus rapides et d’opérations plus résilientes que celles qui la considèrent comme une simple formalité administrative.
En investissant dès maintenant dans la gestion des risques liés à l'identité, les RSSI peuvent :
- Réduire la probabilité et l'impact des infractions
- Réduire le coût et la complexité des audits
- Améliorer l'expérience des utilisateurs grâce à un accès adaptatif et sans mot de passe
- Construire une résilience durable dans toutes les opérations numériques
DORA est un appel à repenser l'identité. Non seulement en tant que gardien de l'accès, mais aussi en tant que signal de risque critique et pierre angulaire de la résilience.
Grâce à RSA, les établissements financiers peuvent relever ce défi et utiliser la gestion des identités non seulement pour se conformer aux réglementations, mais aussi pour jouer un rôle de premier plan.
Visionner le webinaire de RSA, DORA et les risques numériques : renforcer la sécurité des identités dans le secteur des services financiers, pour découvrir ce que la conformité à la loi DORA implique réellement en matière de sécurité des identités, les bonnes pratiques à adopter pour se préparer aux audits DORA, ainsi que les principales obligations de conformité liées à l'autorisation des utilisateurs, à l'accès, à l'authentification et à la continuité d'activité.
La loi DORA (Digital Operational Resilience Act) est une législation européenne qui impose aux établissements financiers et à leurs prestataires tiers critiques dans le domaine des TIC de démontrer leur résilience face aux perturbations informatiques selon cinq axes : la gestion des risques, le signalement des incidents, les tests de résilience, les risques liés aux tiers et le partage d’informations. Sa mise en application a débuté le 17 janvier 2025, ce qui en fait une obligation réglementaire effective pour les établissements opérant dans l’UE.
La directive DORA est entrée en vigueur en janvier 2023, avec une période de mise en œuvre de deux ans. La date d'application était fixée au 17 janvier 2025, ce qui signifie que les établissements financiers sont désormais soumis à des obligations de conformité et à une surveillance active de la part des autorités de régulation financières de l'UE.
Le volet « gestion des risques liés aux TIC » de la réglementation DORA exige des contrôles d’accès rigoureux, une authentification multifactorielle et des pistes d’audit complètes pour les événements liés à l’identité. Sans un système d’identité résilient, les organisations ne peuvent ni garantir la continuité opérationnelle exigée par la réglementation DORA, ni se défendre contre les attaques ciblant les identifiants, qui sont le plus souvent à l’origine des signalements d’incidents requis par cette réglementation.
Les autorités de régulation de l'UE peuvent infliger des amendes pouvant atteindre 1% du chiffre d'affaires quotidien moyen mondial en cas d'infractions persistantes, ou jusqu'à 5 millions d'euros à l'encontre des personnes occupant des postes de direction. Outre les sanctions financières, les autorités de régulation peuvent exiger des établissements qu'ils suspendent les activités qui enfreignent les exigences du règlement DORA.
Les audits DORA évaluent si les institutions sont en mesure de démontrer une visibilité en temps réel sur les identités, des contrôles d'accès documentés et des procédures de réponse aux incidents testées. Les organisations doivent s'assurer de disposer de pistes d'audit complètes pour tous les événements d'authentification, de procéder à des examens réguliers des accès des utilisateurs et de disposer de procédures de basculement documentées pour les systèmes de gestion des identités avant le début de la période d'audit.
La norme DORA exige une authentification multifactorielle (MFA) résistante au phishing, une surveillance continue des comportements d'accès et une authentification qui reste opérationnelle en cas de panne. Les clés de sécurité matérielles, l'authentification basée sur les risques et les capacités de basculement hybrides — telles que celles proposées dans RSA ID Plus—ont été spécialement conçus pour répondre à ces exigences.
Le RGPD régit la protection des données à caractère personnel : la manière dont elles sont collectées, stockées et traitées. La directive DORA régit la résilience opérationnelle : elle détermine si les établissements financiers sont en mesure d’assurer le bon fonctionnement de leurs systèmes informatiques et de se remettre en état après des perturbations. Ces deux cadres se recoupent en ce qui concerne les données d’identité, mais la directive DORA porte principalement sur la continuité des activités, et non sur le traitement des données.
La gestion des risques liés à l'identité consiste à évaluer en permanence le niveau de risque associé aux utilisateurs, aux appareils et aux tentatives d'accès, puis à adapter les exigences d'authentification en temps réel en fonction de ces signaux. Dans le cadre de la DORA, cette approche est au cœur d'une gestion proactive des risques liés aux TIC, contrairement au modèle réactif, reposant uniquement sur des politiques, proposé par les outils IAM traditionnels.
