DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554) harmonise la résilience opérationnelle numérique du secteur financier européen. Il s’applique directement, sans transposition, depuis le 17 janvier 2025, et s’organise en cinq volets : gestion du risque lié aux TIC (articles 5 à 16), gestion et notification des incidents (articles 17 à 23), tests de résilience (articles 24 à 27), risque lié aux prestataires tiers de TIC (articles 28 à 44) et partage d’informations (article 45).
La formation y tient une place précise : l’article 13.6 rend obligatoires des programmes de sensibilisation à la sécurité des TIC pour tout le personnel, et l’article 5.4 demande aux dirigeants d’entretenir leurs compétences. Cette page explique ces obligations, qui est concerné, ce que l’ACPR vérifie et quelles preuves nophi.sh fournit. La formation ne couvre qu’une partie de DORA : gestion des risques, incidents, tests et prestataires se traitent par ailleurs.
Ce que DORA exige en matière de formation et de sensibilisation
L’article 13 : des programmes obligatoires pour tous
L’article 13.6 demande aux entités financières d’élaborer des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, sous forme de modules obligatoires dans leurs programmes de formation du personnel. Ils s’appliquent à tous les employés et aux membres de la direction, avec un niveau de complexité adapté à leurs fonctions.
Le texte vise donc tout le monde, de l’assistant de direction au directeur général. Le contenu doit correspondre aux risques de l’entité : fraude au virement, usurpation de régulateurs et compromission de messagerie pour une banque de détail ; spear phishing visant les accès aux plateformes et demandes de virement depuis des comptes usurpés pour un gestionnaire d’actifs.
L’article 6 impose par ailleurs un cadre de gestion du risque lié aux TIC, qui couvre la protection des systèmes, la détection des anomalies et la réponse aux incidents. Apprendre aux collaborateurs à reconnaître l’ingénierie sociale s’inscrit dans ce cadre.
L’article 5 : la responsabilité de la direction
L’article 5.4 vise l’organe de direction. Ses membres maintiennent à jour des connaissances et des compétences suffisantes pour comprendre et évaluer les risques liés aux TIC et leur effet sur les activités de l’entité, notamment en suivant régulièrement une formation spécifique. Un directeur général qui approuve la politique de résilience numérique sans jamais avoir été formé aux risques TIC ne remplit pas l’article 5.4.
Cette formation doit permettre d’évaluer les risques, de décider en situation de crise et de superviser les mesures de résilience. Un exercice de crise sur une compromission simulée la complète utilement.
Ce que les superviseurs attendent en pratique
Les autorités européennes de surveillance (ABE, AEAPP, AEMF) ont publié des normes techniques sur la gestion du risque lié aux TIC. Pour la formation, les attentes se résument ainsi :
- un contenu adapté aux menaces réelles de l’entité ;
- des exercices pratiques en plus de la théorie ;
- des mises à jour au fil de l’évolution des menaces ;
- des indicateurs documentés : participation, résultats, actions correctives.
Un module générique passé une fois par an répond mal à ces attentes. Un programme récurrent, ciblé sur les risques du secteur, dont les résultats se présentent à un inspecteur, y répond mieux.
Qui est concerné par DORA ?
L’article 2 du règlement liste une vingtaine de catégories d’entités financières, puis prévoit des exclusions qui comptent pour les petites structures.
Les entités financières de l’article 2
- les établissements de crédit ;
- les établissements de paiement et de monnaie électronique, y compris ceux qui bénéficient d’une exemption, et les prestataires de services d’information sur les comptes ;
- les entreprises d’investissement ;
- les prestataires de services sur crypto-actifs agréés au titre de MiCA et les émetteurs de jetons se référant à des actifs ;
- les gestionnaires de fonds d’investissement alternatifs et les sociétés de gestion d’OPCVM ;
- les entreprises d’assurance et de réassurance, et les intermédiaires d’assurance et de réassurance ;
- les institutions de retraite professionnelle ;
- les prestataires de services de financement participatif ;
- les infrastructures de marché (dépositaires centraux, contreparties centrales, plateformes de négociation, référentiels centraux), les agences de notation et les administrateurs d’indices de référence critiques.
Les exclusions qui concernent les petites structures
L’article 2.3 exclut notamment :
- les intermédiaires d’assurance, de réassurance et à titre accessoire qui sont des micro, petites ou moyennes entreprises : un cabinet de courtage de 30 personnes n’est pas soumis à DORA ;
- les personnes exemptées au titre des articles 2 et 3 de la directive MiFID II, ce qui couvre en France les conseillers en investissements financiers (CIF) ;
- les petits gestionnaires de fonds d’investissement alternatifs, enregistrés au titre de l’article 3, paragraphe 2, de la directive AIFM ;
- les petites entreprises d’assurance relevant de l’article 4 de la directive Solvabilité II et les institutions de retraite professionnelle qui comptent au plus 15 affiliés au total.
Ces structures restent concernées par ricochet : leurs partenaires soumis à DORA (assureurs, banques, plateformes) leur transmettent des exigences contractuelles, et beaucoup relèvent du RGPD et, selon leur taille, de NIS2.
Proportionnalité et cadre simplifié
L’article 4 module les exigences selon la taille, le profil de risque et la complexité des activités. L’article 16 prévoit un cadre simplifié de gestion du risque lié aux TIC pour certaines petites entités, comme les petites entreprises d’investissement non interconnectées ou les établissements de paiement exemptés. La proportionnalité joue sur l’intensité et la fréquence des programmes ; elle ne dispense ni du programme de sensibilisation documenté, ni de la formation des dirigeants, ni du suivi des résultats.
Les prestataires de services informatiques
Un prestataire de services TIC n’est pas une entité financière. Deux mécanismes le concernent pourtant :
- les prestataires désignés comme critiques par les autorités européennes de surveillance sont placés sous leur supervision directe (articles 31 à 44), avec des astreintes pouvant atteindre 1 % du chiffre d’affaires journalier mondial moyen ;
- tous les autres reçoivent des exigences de leurs clients financiers, qui doivent gérer le risque lié à leurs prestataires (article 28) et inclure des clauses obligatoires dans leurs contrats (article 30) : sécurité, droits d’audit, notification des incidents, stratégie de sortie.
DORA et NIS2
L’article 1.2 fait de DORA une lex specialis par rapport à NIS2 pour le secteur financier : pour les entités financières, ses exigences prévalent sur les dispositions équivalentes de NIS2. Un prestataire informatique qui n’est pas une entité financière peut relever de NIS2 selon sa taille et son secteur, tout en recevant des exigences DORA par contrat.
En France, l’ACPR supervise les établissements de crédit, de paiement et de monnaie électronique et les assureurs ; l’AMF supervise notamment les sociétés de gestion et les prestataires de services sur crypto-actifs.
Le calendrier DORA
Le règlement a été adopté le 14 décembre 2022 et s’applique depuis le 17 janvier 2025 dans les vingt-sept États membres, sans transposition : une banque parisienne et une société de gestion lisbonnaise ont les mêmes obligations.
Entre 2022 et 2024, les autorités européennes de surveillance ont publié les normes techniques qui précisent son application : cadre de gestion du risque lié aux TIC et cadre simplifié, classification des incidents majeurs, tests de pénétration fondés sur la menace, contenu des contrats avec les prestataires. L’ABE les rassemble sur sa page consacrée à DORA.
Sanctions et responsabilité des dirigeants
Le règlement confie aux autorités nationales des pouvoirs de sanction. En France, l’ACPR peut enjoindre à une entité de se mettre en conformité dans un délai fixé, sous astreinte, et sa Commission des sanctions peut prononcer, après une procédure contradictoire, un avertissement, un blâme, une interdiction d’activité, un retrait d’agrément ou une sanction pécuniaire. Les sanctions peuvent être rendues publiques, avec un coût de réputation qui dépasse souvent l’amende.
L’article 5 rend l’organe de direction responsable de la définition et de la mise en œuvre du cadre de gestion du risque lié aux TIC, sans possibilité de transférer cette responsabilité au RSSI ou à un prestataire. Si un contrôle montre qu’aucun dirigeant n’a suivi la formation de l’article 5.4 ou que le programme de sensibilisation n’est pas documenté, la gouvernance de l’entité est en cause.
Ce que nophi.sh apporte pour le volet sensibilisation
nophi.sh couvre une partie de l’article 13 : simulations de phishing, formation après un échec, signalement des emails suspects, et un historique de résultats à présenter lors de vos contrôles. Le reste de DORA (gestion du risque lié aux TIC, incidents, tests de résilience, prestataires) demande d’autres mesures.
Les simulations de phishing
Les programmes de l’article 13 doivent porter sur les menaces réelles : en France, 55 % des attaques significatives passent par le phishing (baromètre CESIN 2026). Les simulations mesurent le risque humain sur ce vecteur ; les tests de résilience des articles 24 à 27 restent une obligation distincte.
nophi.sh propose 80 scénarios prêts à l’emploi, en français et en anglais, sur 16 catégories, dont plusieurs concernent directement la finance : fraude au président et compromission de messagerie, changement de coordonnées bancaires d’un fournisseur, fausses factures, faux partages Microsoft 365, DocuSign ou SharePoint avec page de connexion factice, faux courriers d’administration. Vous pouvez écrire vos propres modèles, par exemple un faux courrier de l’ACPR ou de l’AMF. Chaque campagne mesure qui ouvre, clique, saisit ses identifiants ou signale l’email.
La formation après un échec : article 13.6
Quand un collaborateur clique ou saisit ses identifiants, nophi.sh lui assigne automatiquement un module court selon vos règles, par catégorie de scénario ou par action. Des relances partent avant l’échéance, puis son manager est prévenu. Le cours intégré « Sensibilisation au phishing : les fondamentaux » comprend 5 leçons et un quiz de 10 questions, et l’éditeur de cours accueille vos contenus, par exemple vos procédures de contrôle des virements.
La formation des dirigeants prévue par l’article 5.4 porte sur l’évaluation des risques TIC et la gouvernance : elle reste à organiser de votre côté. Incluez en revanche la direction dans les simulations, puisque les dirigeants sont des cibles privilégiées de la fraude au président.
Le tableau de bord et le rapport d’audit : supervision par la direction
Pour approuver et superviser le dispositif (article 5), l’organe de direction a besoin de données lisibles. Le tableau de bord affiche un score de posture et un score de risque par personne, les taux d’ouverture, de clic, de saisie et de signalement avec leur évolution, la comparaison entre départements et entre équipes de managers, les personnes qui cliquent à répétition, celles jamais testées et les formations en retard. Le rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et les exports CSV servent de pièces pour votre dossier.
La vérification des emails suspects
Quand un collaborateur reçoit un vrai email suspect, il le transfère à l’adresse nophi.sh, ou utilise le bouton « Signaler » de Microsoft 365 configuré vers cette adresse. Il reçoit en général en une à deux minutes un verdict de l’IA avec ses raisons, et vos contacts sécurité sont alertés. Ce circuit fait remonter des signaux utiles à la détection des activités anormales (article 10). Il vient en complément du filtrage de votre messagerie et de votre supervision de sécurité.
Documentation pour l’ACPR
Un programme de sensibilisation non tracé ne se présente pas à un superviseur. Lors d’un contrôle sur pièces ou sur place, attendez-vous à ces demandes :
- le programme de formation : objectifs, fréquence, contenu adapté aux risques du secteur, approbation par l’organe de direction ;
- les preuves de participation : liste nominative, dates, modules suivis, explication des cas non couverts (départs, absences longues) ;
- les résultats : taux de clic aux simulations, évolution dans le temps, signalements ;
- la formation des dirigeants : preuve que les membres de l’organe de direction ont suivi la formation de l’article 5.4, avec dates et contenus ;
- les actions correctives : un taux de clic élevé qui persiste sans action documentée est un mauvais signal ;
- la mise à jour du programme : des scénarios jamais revus montrent mal l’adaptation aux menaces.
nophi.sh enregistre ces résultats au fil des campagnes. Le rapport d’audit PDF contient une synthèse, les tendances, la répartition du risque, les résultats par département et le suivi des formations ; l’export CSV d’une campagne donne le détail par personne, et le suivi des formations indique qui a terminé quel module. Le programme formalisé, son approbation par la direction et la formation des dirigeants restent à votre charge. La page preuves de sensibilisation pour vos audits détaille chaque export.
Pour démarrer, lancez une campagne de référence pendant l’essai de 14 jours, produit complet et sans carte bancaire : ses résultats serviront de point de départ à votre dossier.
Sources : règlement (UE) 2022/2554 (DORA), articles 1, 2, 4, 5, 6, 10, 13, 16, 28, 30 et 31 à 44 ; ACPR ; ABE, résilience opérationnelle numérique ; baromètre CESIN 2026. Thomas Ferreira est ingénieur sécurité chez nophi.sh, certifié CISSP, GCFA, GCIH et GCFE.
Questions fréquentes
L'article 13 de DORA impose-t-il des simulations de phishing ?
Il ne les cite pas. L'article 13.6 impose des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, obligatoires pour tout le personnel et la direction, avec un niveau adapté aux fonctions. Les simulations de phishing montrent que ces programmes portent sur une menace réelle, et leurs résultats datés se présentent facilement lors d'un contrôle.
Quelles entités financières sont soumises aux obligations de formation de DORA ?
Les entités de l'article 2 : établissements de crédit, de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, gestionnaires de fonds, entreprises d'assurance et de réassurance, intermédiaires d'assurance, plateformes de financement participatif, entre autres. L'article 2.3 exclut notamment les intermédiaires d'assurance qui sont des micro, petites ou moyennes entreprises et les personnes exemptées au titre de la directive MiFID II.
Un courtier en assurance ou un CGP est-il concerné par DORA ?
Un intermédiaire d'assurance qui est une micro, petite ou moyenne entreprise est exclu par l'article 2.3 ; seuls les grands intermédiaires sont concernés. Un conseiller en investissements financiers (CIF) relève des exemptions prévues par la directive MiFID II, également exclues. Ces structures recevront en revanche des exigences de leurs partenaires soumis à DORA.
Comment l'ACPR contrôle-t-elle les obligations de formation DORA ?
Lors de contrôles sur place ou sur pièces, elle peut demander la documentation du programme de sensibilisation : calendrier, participation, scénarios, résultats et actions correctives, ainsi que la preuve de la formation des dirigeants. Des formations qui ont eu lieu mais ne sont documentées nulle part sont difficiles à faire valoir.
Quelle est la différence entre les obligations de formation DORA et NIS2 ?
DORA est une lex specialis par rapport à NIS2 pour le secteur financier (article 1.2) : ses exigences prévalent sur les dispositions équivalentes de NIS2. DORA précise en plus la formation de l'organe de direction (article 5.4) et intègre la sensibilisation au programme de formation obligatoire du personnel (article 13.6).
Un module e-learning annuel suffit-il à satisfaire l'article 13 ?
C'est difficile à défendre. L'article 13 inscrit la sensibilisation dans le programme de formation du personnel, ce qui suppose une démarche continue et documentée. Un module annuel sans lien avec les risques du secteur financier et sans mesure des résultats montre mal que le programme est adapté aux menaces.
Quelles sanctions risque une entité financière sans programme de sensibilisation ?
L'autorité compétente peut enjoindre de se mettre en conformité, prononcer des sanctions disciplinaires et pécuniaires, et les rendre publiques. La responsabilité de l'organe de direction, qui définit et supervise le cadre de gestion du risque lié aux TIC (article 5), peut être mise en cause.