DORA : la résilience opérationnelle, côté ingénierie

Par Cédric Barme · Fondateur de NSY

Le règlement européen DORA (Digital Operational Resilience Act), applicable depuis janvier 2025, impose aux entités financières de démontrer leur résilience numérique — pas seulement de la déclarer. La documentation juridique abonde ; ce qui manque le plus souvent, c'est le volet ingénierie. C'est celui que NSY prend en charge.

Ce que DORA exige concrètement des équipes techniques

• Cartographier les risques TIC — inventaire des actifs, des flux et des dépendances (internes et prestataires), criticité de chaque fonction : impossible à faire sérieusement sans comprendre l'architecture réelle, pas celle des slides.
• Tester la résilience — pas des plans sur papier : des scénarios de panne exécutés (perte d'un site, d'un broker de messagerie, d'un fournisseur cloud), avec mesure des temps de rétablissement réels face aux engagements.
• Maîtriser les prestataires TIC — réversibilité, portabilité des données, stratégies de sortie testables : des exigences qui se traduisent en choix d'architecture (voir cloud privé et hybride), pas seulement en clauses contractuelles.
• Notifier les incidents majeurs — ce qui suppose de les détecter, de les qualifier et d'en retracer la chronologie : l'observabilité n'est plus un confort, c'est une obligation.

La démarche NSY

NSY intervient là où le juridique s'arrête : traduire les exigences en travaux d'ingénierie priorisés. Un diagnostic technique d'abord — cartographie réelle du système, écarts par rapport aux exigences, chiffrage des remédiations. Puis l'exécution : durcissement des points faibles identifiés (souvent la messagerie, les socles applicatifs vieillissants — voir la migration Java EE — et l'observabilité), scénarios de test de résilience, documentation exploitable en cas de contrôle.

Pourquoi un regard extérieur indépendant

Les écarts DORA les plus coûteux sont ceux que l'on ne voit plus de l'intérieur : la dépendance « temporaire » devenue structurelle, le plan de secours jamais rejoué, le prestataire irremplaçable de fait. Un consultant indépendant, habitué aux environnements ACPR/AMF depuis 2018 et sans lien avec vos fournisseurs, n'a aucun intérêt à minimiser un écart — ni à en inventer. Les questions fréquentes précisent le cadre d'intervention.

Par où commencer

Un diagnostic court cible d'abord les fonctions critiques : quelques semaines pour obtenir la carte des risques techniques et un plan de remédiation priorisé par impact. Décrivez votre périmètre via le formulaire — réponse sous 48 heures ouvrées, avec une lecture honnête de ce qui relève de l'urgence et de ce qui peut attendre.