Un plan de continuité d'activité conforme à DORA s'appuie sur une politique de continuité des activités TIC qui fait partie intégrante de la politique globale de continuité de l'entité financière (article 11 du règlement (UE) 2022/2554). Il comprend une analyse d'impact sur l'activité (BIA), des plans de réponse et de rétablissement TIC, des politiques de sauvegarde et de restauration (article 12), une fonction de gestion de crise et des plans de communication (articles 11 et 14). Les plans sont testés au moins une fois par an, et en cas de changement substantiel des systèmes TIC qui soutiennent des fonctions critiques ou importantes. Leur contenu est détaillé par le règlement délégué (UE) 2024/1774, articles 24 à 26.
L'essentiel en 30 secondes
- Base légale : règlement (UE) 2022/2554 (DORA), articles 5, 11, 12, 13 et 14, applicable depuis le 17 janvier 2025 (article 64).
- Détail technique : règlement délégué (UE) 2024/1774, articles 24 (politique de continuité), 25 (tests) et 26 (plans de réponse et de rétablissement).
- Gouvernance : l'organe de direction approuve, supervise et revoit la politique de continuité TIC et les plans de réponse et de rétablissement (article 5).
- Grands comptes : ils relèvent en principe du cadre complet, sans les allègements prévus pour les microentreprises ni le cadre simplifié de l'article 16.
- Tests : au moins une fois par an, avec des scénarios de cyberattaque et de bascule vers les capacités redondantes.
Que demande DORA en matière de continuité d'activité ?
DORA (Digital Operational Resilience Act) s'applique depuis le 17 janvier 2025 (article 64). Son chapitre II organise la gestion du risque lié aux TIC, et la continuité y occupe trois articles : l'article 11 (réponse et rétablissement), l'article 12 (sauvegarde, restauration et rétablissement) et l'article 14 (communication). L'article 13 (apprentissage et évolution) en ferme la boucle.
Le point de départ est l'article 11, paragraphe 1 : l'entité financière met en place une politique de continuité des activités de TIC complète, qui peut être adoptée comme une politique spécifique et qui fait partie intégrante de la politique globale de continuité. DORA ne crée donc pas un second PCA à côté du premier : il impose un volet TIC dédié, cohérent avec le dispositif existant.
Cette politique est mise en œuvre par des dispositifs, plans, procédures et mécanismes documentés qui visent notamment à (article 11, paragraphe 2) :
- garantir la continuité des fonctions critiques ou importantes ;
- répondre rapidement aux incidents liés aux TIC et les résoudre en limitant les dommages ;
- activer sans délai des plans dédiés de confinement, adaptés à chaque type d'incident ;
- estimer les impacts, dommages et pertes préliminaires ;
- prévoir les actions de communication et de gestion de crise (article 14) et la déclaration aux autorités compétentes (article 19).
Le rôle de l'organe de direction. L'article 5, paragraphe 2, le rend responsable du cadre de gestion du risque lié aux TIC. Il approuve, supervise et revoit périodiquement la politique de continuité des activités de TIC et les plans de réponse et de rétablissement des TIC. Un PCA DORA sans trace de cette approbation est incomplet.
En parallèle, la directive (UE) 2022/2556 modifie les directives sectorielles pour les articuler avec DORA. Pour le contexte d'ensemble, voir les exigences DORA en matière de résilience opérationnelle et le guide DORA 2026.
Qui est concerné et le régime simplifié s'applique-t-il ?
L'article 2 de DORA dresse la liste des entités financières visées : établissements de crédit, entreprises d'investissement, établissements de paiement et de monnaie électronique, entreprises d'assurance et de réassurance, sociétés de gestion, contreparties centrales, dépositaires centraux de titres, plateformes de négociation, prestataires de services sur crypto-actifs, entre autres.
Le principe de proportionnalité (article 4) module l'application des règles selon la taille, le profil de risque, la nature, l'ampleur et la complexité des services, activités et opérations de l'entité.
Le cadre simplifié de l'article 16 remplace les articles 5 à 15 pour une liste fermée d'entités : entreprises d'investissement petites et non interconnectées, établissements de paiement et de monnaie électronique exemptés, certains établissements exemptés au titre de la directive 2013/36/UE, petites institutions de retraite professionnelle. Son contenu détaillé figure au titre III du règlement délégué 2024/1774.
Pour un grand compte financier, la réponse est claire : il relève en principe du cadre complet. Ni l'article 16 ni les allègements réservés aux microentreprises ne le concernent. Concrètement, les obligations suivantes s'appliquent toutes, alors que les microentreprises en sont dispensées :
| Obligation | Référence |
|---|---|
| Revues d'audit interne indépendantes des plans de réponse et de rétablissement | DORA art. 11, par. 3 |
| Scénarios de cyberattaque et de bascule entre infrastructure principale et capacités redondantes dans les tests | DORA art. 11, par. 6 |
| Fonction de gestion de crise | DORA art. 11, par. 7 |
| Déclaration, sur demande, des coûts et pertes annuels agrégés des incidents majeurs | DORA art. 11, par. 10 |
| Capacités TIC redondantes | DORA art. 12, par. 4 |
Quelle structure type pour un PCA conforme à DORA ?
DORA ne fixe pas de sommaire. Le squelette ci-dessous est une proposition qui suit l'ordre de l'article 11 de DORA et des articles 24 à 26 du règlement délégué 2024/1774. Chaque section indique ce qu'elle doit démontrer.
| N° | Section du PCA | Ce qu'elle doit démontrer | Référence |
|---|---|---|---|
| 1 | Gouvernance, rôles et approbation | Approbation et revue par l'organe de direction, propriétaires, suppléants, circuit d'escalade | DORA art. 5 et 11 ; RTS art. 24 |
| 2 | Périmètre | Liste des fonctions critiques ou importantes, y compris celles confiées à des prestataires tiers TIC | DORA art. 3, point 22, et art. 11, par. 4 |
| 3 | Analyse d'impact (BIA) | Exposition aux perturbations graves, critères quantitatifs et qualitatifs, dépendances | DORA art. 11, par. 5 |
| 4 | Scénarios | Perturbations graves plausibles, dont cyberattaques et défaillances de prestataires | RTS art. 26 |
| 5 | Stratégies de continuité | Options retenues par fonction, redondance des composants critiques | DORA art. 11, par. 5, et art. 12, par. 4 |
| 6 | Plans de réponse et de rétablissement TIC | Critères d'activation et de désactivation, options de rétablissement, rôles | DORA art. 11, par. 3 ; RTS art. 26 |
| 7 | Sauvegarde et restauration | Périmètre et fréquence des sauvegardes, restauration sur systèmes séparés, RTO et RPO | DORA art. 12 |
| 8 | Gestion de crise et communication | Fonction de gestion de crise, plans de communication, porte-parole, lien avec la déclaration d'incident | DORA art. 11, par. 7, art. 14 et 19 |
| 9 | Tests | Programme annuel, scénarios, résultats, plans d'action | DORA art. 11, par. 6 ; RTS art. 25 |
| 10 | Enregistrements et preuves | Traces des activités avant et pendant les perturbations | DORA art. 11, par. 8 |
| 11 | Revue et amélioration | Revues post-incident, enseignements des tests et des audits | DORA art. 11, par. 6, et art. 13 |
Le modèle de plan de continuité d'activité donne une base de rédaction que vous pouvez compléter avec ces onze sections. Pour la méthode générale, voir le guide du PCA en 8 étapes.
Comment mener l'analyse d'impact (BIA) exigée par DORA ?
L'article 11, paragraphe 5, impose une BIA de l'exposition de l'entité aux perturbations graves de ses activités. Elle évalue leur impact potentiel à l'aide de critères quantitatifs et qualitatifs, en utilisant des données internes et externes et l'analyse de scénarios, le cas échéant.
La BIA tient compte de la criticité des fonctions identifiées et cartographiées, des processus de soutien, des dépendances à l'égard de tiers et des actifs informationnels, ainsi que de leurs interdépendances. Elle s'appuie donc sur l'identification exigée par l'article 8 : fonctions, rôles, actifs informationnels et actifs TIC, et les liens entre eux. Sans cette cartographie, la BIA reste une liste de processus sans dépendances.
Le même paragraphe exige que les actifs et services TIC soient conçus et utilisés en pleine adéquation avec la BIA, notamment pour garantir la redondance de tous les composants critiques. La BIA n'est pas un livrable isolé : elle dimensionne l'architecture.
Les objectifs de rétablissement. L'article 12, paragraphe 6, demande de fixer, pour chaque fonction, un objectif de délai de rétablissement (RTO) et un objectif de point de rétablissement (RPO), en tenant compte du caractère critique ou important de la fonction et de l'impact global potentiel sur l'efficience du marché. Ces objectifs doivent garantir que, dans des scénarios extrêmes, les niveaux de service convenus sont respectés.
Pour la méthode pas à pas : réaliser une analyse d'impact sur l'activité, le guide BIA en 7 étapes et RTO et RPO expliqués. Les mêmes fonctions et les mêmes RTO et RPO alimentent le modèle B_06.01 du registre d'informations DORA : deux chiffres différents pour une même fonction attirent l'attention d'un contrôleur.
Que doivent contenir les plans de réponse et de rétablissement TIC ?
L'article 11, paragraphe 3, de DORA impose des plans de réponse et de rétablissement des TIC. Pour les entités autres que les microentreprises, ces plans font l'objet de revues d'audit interne indépendantes.
L'article 26 du règlement délégué 2024/1774 en précise le contenu. Les plans tiennent compte des résultats de la BIA et de l'évaluation des risques liés aux TIC. Ils doivent notamment :
- préciser les conditions d'activation et de désactivation des plans, et les éventuelles exceptions ;
- décrire les mesures qui assurent la disponibilité, l'intégrité et la continuité des systèmes et services TIC qui soutiennent les fonctions critiques ou importantes ;
- être conçus pour atteindre les objectifs de rétablissement fixés ;
- être documentés et accessibles au personnel concerné, y compris en situation d'urgence ;
- prévoir des options de rétablissement à court et à long terme, y compris un rétablissement partiel des systèmes ;
- fixer leurs objectifs et les conditions qui permettent de déclarer leur exécution réussie.
Les plans couvrent des scénarios de perturbation grave pertinents, notamment les cyberattaques, les bascules entre infrastructure principale et capacités redondantes, l'indisponibilité de locaux, la défaillance d'actifs TIC ou d'infrastructures de communication, l'indisponibilité d'une part critique du personnel et la défaillance de prestataires tiers de services TIC.
Les prestataires tiers. L'article 11, paragraphe 4, de DORA exige des plans de continuité testés pour les fonctions critiques ou importantes externalisées ou confiées à des prestataires tiers de services TIC. L'article 28, paragraphe 8, y ajoute des stratégies de sortie documentées et testées pour les services qui soutiennent ces fonctions. Voir aussi : gérer le risque lié aux prestataires tiers TIC.
Quelles exigences pour les sauvegardes, la restauration et les sites secondaires ?
L'article 12 de DORA fixe cinq exigences principales :
- Une politique de sauvegarde qui précise le périmètre des données sauvegardées et la fréquence minimale des sauvegardes, selon la criticité ou le niveau de confidentialité des informations, ainsi que des procédures et méthodes de restauration et de rétablissement (paragraphe 1).
- Des systèmes de sauvegarde activables sans compromettre la sécurité des réseaux et systèmes d'information ni la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données. Les procédures de sauvegarde, de restauration et de rétablissement sont testées périodiquement (paragraphe 2).
- Une restauration sur des systèmes séparés : lorsque l'entité restaure des données sur ses propres systèmes, elle utilise des systèmes TIC physiquement et logiquement séparés du système source (paragraphe 3).
- Des capacités TIC redondantes, dotées des ressources, capacités et fonctions adaptées aux besoins de l'activité, pour toutes les entités autres que les microentreprises (paragraphe 4).
- Des contrôles d'intégrité au rétablissement : vérifications et rapprochements, y compris pour les données reconstituées à partir de parties prenantes externes (paragraphe 7).
Les exigences sectorielles. Les dépositaires centraux de titres doivent disposer d'au moins un site de traitement secondaire, situé à une distance géographique suffisante du site principal pour présenter un profil de risque distinct, capable d'assurer la continuité des fonctions critiques ou importantes et immédiatement accessible au personnel (paragraphe 5). Les contreparties centrales doivent pouvoir rétablir toutes les transactions en cours au moment de la perturbation (paragraphe 3).
Pour la partie technique du rétablissement : plan de reprise d'activité (PRA).
Comment organiser la gestion de crise et la communication ?
La fonction de gestion de crise. Les entités autres que les microentreprises disposent d'une fonction de gestion de crise (article 11, paragraphe 7). Lorsque les plans de continuité ou de réponse et de rétablissement sont activés, elle établit notamment des procédures claires pour gérer la communication de crise interne et externe. Pour la composition et l'activation : cellule de crise, composition et rôles.
Les plans de communication (article 14). L'entité dispose :
- de plans de communication de crise qui permettent une divulgation responsable, au minimum, des incidents majeurs liés aux TIC ou des vulnérabilités majeures aux clients, aux contreparties et, le cas échéant, au public ;
- de politiques de communication pour le personnel et pour les parties prenantes externes, qui distinguent le personnel impliqué dans la réponse et le rétablissement de celui qui doit seulement être informé ;
- d'au moins une personne chargée de mettre en œuvre la stratégie de communication sur les incidents liés aux TIC et d'assurer à cet effet la fonction de relations publiques et avec les médias.
Les plans de communication de crise sont eux aussi testés (article 11, paragraphe 6). Un modèle de plan de communication de crise peut servir de point de départ.
L'articulation avec la déclaration d'incident. La communication de crise ne remplace pas la notification des incidents majeurs liés aux TIC à l'autorité compétente, prévue à l'article 19. Le PCA doit dire qui déclenche la notification, à partir de quelle classification, et comment les deux circuits se coordonnent.
Comment tester le PCA et à quelle fréquence ?
L'article 11, paragraphe 6, de DORA impose de tester :
- les plans de continuité des activités de TIC et les plans de réponse et de rétablissement des TIC relatifs aux systèmes TIC qui soutiennent toutes les fonctions, au moins une fois par an, ainsi qu'en cas de changement substantiel des systèmes TIC qui soutiennent des fonctions critiques ou importantes ;
- les plans de communication de crise établis selon l'article 14.
Pour les entités autres que les microentreprises, les plans de test incluent des scénarios de cyberattaque et de bascule entre l'infrastructure TIC principale et les capacités redondantes, les sauvegardes et les installations redondantes. La politique et les plans sont revus en tenant compte des résultats des tests et des recommandations issues des audits ou des contrôles prudentiels.
L'article 25 du règlement délégué 2024/1774 précise les modalités : les tests tiennent compte de la BIA et de l'évaluation des risques, reposent sur des scénarios réalistes et intègrent, le cas échéant, les services fournis par des prestataires tiers de services TIC. Leurs résultats sont documentés et les lacunes identifiées sont analysées et traitées.
Trois dispositifs à ne pas confondre :
| Dispositif | Objet | Référence |
|---|---|---|
| Tests du PCA | Vérifier que les plans de continuité, de réponse et de rétablissement et de communication fonctionnent | DORA art. 11, par. 6 ; RTS art. 25 |
| Programme de tests de résilience opérationnelle numérique | Tester les outils et systèmes TIC (évaluations de vulnérabilités, tests de scénarios, tests de performance, etc.) | DORA art. 24 et 25 |
| Tests avancés fondés sur la menace (TLPT) | Tests d'intrusion menés en conditions réelles, pour les entités désignées | DORA art. 26 et 27 |
Pour préparer les exercices : 10 scénarios d'exercice de crise et le comparatif des logiciels d'exercice de crise et de test PCA.
Quelles preuves conserver pour le superviseur ?
DORA exige plusieurs traces, qui forment le dossier de preuve du PCA :
- Les enregistrements des activités avant et pendant les perturbations, lorsque les plans sont activés, facilement accessibles (article 11, paragraphe 8).
- Les revues post-incident après un incident majeur lié aux TIC qui perturbe les activités principales, avec l'analyse des causes et les améliorations nécessaires (article 13).
- L'estimation des coûts et pertes annuels agrégés causés par les incidents majeurs liés aux TIC, à communiquer à l'autorité compétente sur sa demande (article 11, paragraphe 10).
- Les résultats des tests de continuité : les dépositaires centraux de titres en transmettent des copies à l'autorité compétente (article 11, paragraphe 9).
Check-list des pièces justificatives
- Politique de continuité des activités TIC, avec la décision d'approbation de l'organe de direction et la date de sa dernière revue.
- Liste des fonctions critiques ou importantes, avec la justification de leur classement.
- BIA à jour : critères, données utilisées, dépendances, RTO et RPO par fonction.
- Plans de réponse et de rétablissement TIC, avec leurs critères d'activation et de désactivation.
- Rapport de la dernière revue d'audit interne indépendante de ces plans.
- Politique de sauvegarde et résultats des derniers tests de restauration.
- Plans de communication de crise et nom de la personne chargée de la communication publique.
- Programme et comptes rendus des tests de l'année, dont les scénarios de cyberattaque et de bascule.
- Main courante des dernières activations de plans.
- Revues post-incident et suivi des actions correctives.
Pour situer ce dossier dans un contrôle : DORA 2026, premier cycle d'audit et la checklist de préparation DORA.
Synthèse : les composantes d'un PCA DORA
| Composante du PCA | Contenu attendu | Référence officielle |
|---|---|---|
| Politique de continuité des activités TIC | Partie intégrante de la politique globale, approuvée par l'organe de direction | DORA art. 5 et 11 ; RTS 2024/1774 art. 24 |
| Analyse d'impact (BIA) | Exposition aux perturbations graves, critères quantitatifs et qualitatifs, dépendances | DORA art. 11 |
| Plans de réponse et de rétablissement TIC | Scénarios, options de rétablissement, rôles, critères d'activation | DORA art. 11 ; RTS 2024/1774 art. 26 |
| Sauvegarde et restauration | Politique de sauvegarde, systèmes séparés, RTO et RPO | DORA art. 12 |
| Gestion de crise | Fonction de gestion de crise, enregistrements | DORA art. 11 |
| Communication | Plans de communication interne et externe, personne chargée de la communication publique | DORA art. 14 |
| Tests | Au moins une fois par an et en cas de changement substantiel | DORA art. 11 ; RTS 2024/1774 art. 25 |
| Amélioration continue | Revues post-incident, enseignements tirés | DORA art. 13 |
Questions fréquentes
Le PCA DORA remplace-t-il le plan de continuité d'activité existant ?
Non. DORA exige une politique de continuité des activités TIC qui fait partie intégrante de la politique globale de continuité (article 11, paragraphe 1). Le PCA existant doit être complété et aligné sur ces exigences, pas remplacé.
À quelle fréquence faut-il tester un PCA conforme à DORA ?
Les plans de continuité des activités TIC et les plans de réponse et de rétablissement TIC sont testés au moins une fois par an, ainsi qu'en cas de changement substantiel des systèmes TIC qui soutiennent des fonctions critiques ou importantes (article 11, paragraphe 6, de DORA). Les plans de communication de crise sont également testés.
Les prestataires tiers TIC doivent-ils figurer dans le PCA ?
Oui. DORA exige des plans de continuité testés pour les fonctions critiques ou importantes confiées à des prestataires tiers de services TIC (article 11, paragraphe 4), et des stratégies de sortie pour les services qui soutiennent ces fonctions (article 28, paragraphe 8). Le règlement délégué 2024/1774 intègre la défaillance de prestataires tiers dans les scénarios des plans et, le cas échéant, dans les tests.
Quel texte détaille le contenu attendu du PCA ?
Le règlement délégué (UE) 2024/1774, qui précise les normes techniques de réglementation sur le cadre de gestion du risque lié aux TIC. Ses articles 24, 25 et 26 portent respectivement sur la politique de continuité des activités TIC, sur les tests des plans de continuité et sur les plans de réponse et de rétablissement.
Un grand groupe bancaire ou d'assurance peut-il appliquer le cadre simplifié ?
En principe, non. Le cadre simplifié de l'article 16 est réservé à une liste fermée d'entités, comme les entreprises d'investissement petites et non interconnectées ou certains établissements exemptés. Un grand compte financier applique le cadre complet des articles 5 à 15.
Depuis quand ces exigences s'appliquent-elles ?
Depuis le 17 janvier 2025, date d'application du règlement (UE) 2022/2554 (article 64).
Sources
- Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA), notamment articles 2, 4, 5, 8, 11, 12, 13, 14, 16, 19, 24 à 28 et 64 – EUR-Lex.
- Règlement délégué (UE) 2024/1774 de la Commission, normes techniques de réglementation sur le cadre de gestion du risque lié aux TIC, articles 24 à 26 et titre III – EUR-Lex.
- Directive (UE) 2022/2556 modifiant les directives sectorielles en ce qui concerne la résilience opérationnelle numérique du secteur financier – EUR-Lex.
- En France, les autorités compétentes sont l'ACPR et l'AMF, selon le type d'entité.
Pour aller plus loin
- Guide DORA 2026 : obligations pour les entités financières
- Registre d'informations DORA : guide pratique 2026
- Plan de continuité d'activité : guide 2026 en 8 étapes
- Consultant PCA : industrialiser vos missions de continuité
- DORA vs NIS2 : quelle réglementation s'applique à vous ?
Un logiciel ne rend personne conforme à DORA. ResiPlan aide à tenir au même endroit la BIA, les plans, les exercices et leurs preuves : découvrir le programme de conformité DORA.