Pendant toute l'année 2025, les autorités de supervision (ACPR, BCE et leurs homologues européens) ont privilégié l'accompagnement des établissements financiers dans leur mise en conformité. Cette phase d'apprentissage laisse désormais place à une phase plus mature : depuis début 2026, les autorités nationales compétentes conduisent des contrôles actifs et s'appuient sur les données du Registre d'information, dont les premières échéances de soumission sont passées début 2026, notamment en mars pour de nombreux établissements.
Ce que montre l'actualité
Plusieurs signaux confirment que 2026 marque une étape de maturité pour DORA, plutôt qu'une simple montée en pression.
Les tests de résilience deviennent plus rigoureux et plus concrets. Les premières campagnes de tests d'intrusion pilotés par la menace (TLPT, articles 26-27) menées en 2026 dans le cadre de DORA représentent un investissement réel , typiquement de l'ordre de 200 000 à 600 000 euros par cycle pour une entité significative, et pouvant dépasser cette fourchette pour les établissements les plus systémiques ou les périmètres les plus larges. C'est le signe que les établissements construisent une preuve de résilience solide, au-delà de la simple déclaration.
Les autorités affinent leur méthode de supervision. En 2025-2026, la Commission des sanctions de l'ACPR n'a pas encore rendu de décision publique au titre de DORA, ce qui reflète une approche encore progressive et proportionnée de la part du régulateur.
Le sujet gagne en importance jusqu'au sommet des institutions européennes. La BCE a organisé une réunion dédiée avec les plus grandes banques de la zone euro pour échanger sur les risques de cybersécurité posés par les nouveaux modèles d'IA , un format de rencontre rare qui témoigne de l'attention portée au sujet à l'échelle du secteur. (Cette information provient d'un relais du Financial Times ; nous te recommandons de vérifier auprès d'une source primaire avant publication officielle.)
Le cadre réglementaire de référence reste le texte officiel du règlement DORA publié par l'ACPR, ainsi que sa présentation par l' AMF.
Le vrai enjeu : passer de la formation à la preuve de résilience
Notre whitepaper met en lumière un constat partagé par de nombreux établissements : la plupart disposent déjà de programmes de formation solides. Les collaborateurs complètent des modules, les administrateurs archivent des attestations. DORA (articles 5, 6, 13, 24 et 25) invite à aller plus loin, avec une gouvernance active au niveau du conseil, des tests réguliers fondés sur le risque, et une documentation continue démontrant la capacité de l'organisation à détecter, signaler et corriger les comportements à risque avant qu'ils ne deviennent des incidents.
Pour les DSI, RSSI et responsables conformité, l'enjeu n'est plus de cocher des cases « formation », mais de produire des preuves exploitables en supervision comme en interne : « Voici comment nous mesurons et réduisons le risque humain, et voici l'historique qui le démontre. »
| Approche traditionnelle | Approche alignée DORA |
|---|---|
| Formation annuelle | Tests et mesures continus |
| Taux de complétion = succès | Changement de comportement = succès |
| Même contenu pour tous | Adapté aux risques et aux rôles |
| Registres de formation | Traçabilité complète : tests + résultats + remédiation |
Les questions que posent naturellement les auditeurs
Lors des échanges avec les superviseurs et les auditeurs, quatre questions reviennent de façon récurrente :
« Montrez-moi comment le risque humain est mesuré dans votre registre des risques TIC. »
« Quelle est votre exposition de référence et comment a-t-elle évolué ? »
« Démontrez que vos tests sont fondés sur les risques et réguliers. »
« Où avez-vous identifié des faiblesses et quelles remédiations ont été mises en œuvre ? »
Les établissements capables de répondre avec des données concrètes (historique de 12 à 24 mois, mesure de référence, registre de remédiation) transforment ces échanges en une opportunité de démontrer leur sérieux et leur avance en matière de résilience opérationnelle.
En conclusion
2026 marque une étape naturelle dans la trajectoire DORA : celle où la démonstration de résilience devient un atout de crédibilité, autant vis-à-vis des régulateurs que des clients et partenaires. À terme, cette capacité à démontrer sa résilience pourrait devenir un critère de différenciation dans les appels d'offres et les due diligences clients, au même titre que la conformité SOC 2 ou ISO 27001. Les organisations qui ont commencé tôt à documenter leur progression en tirent déjà un bénéfice concret, et celles qui s'y mettent maintenant ont encore toutes les cartes en main pour bien faire.