DORA et cartographie SI : obligations pour le secteur financier en 2026

Le règlement européen DORA (Digital Operational Resilience Act) est entré en application le 17 janvier 2025. Depuis cette date, les entités financières de l'Union européenne -- banques, assurances, sociétés de gestion, prestataires de services de paiement, mais aussi de nombreuses fintech et PME du secteur financier -- doivent se conformer à un ensemble d'exigences strictes en matière de résilience opérationnelle numérique.

Parmi ces exigences, la cartographie du système d'information occupe une place centrale. Impossible de gérer les risques ICT (Information and Communication Technology), d'identifier les dépendances critiques ou de tester sa résilience sans une connaissance fine de son patrimoine applicatif et de ses flux de données.

Cet article décrypte les obligations DORA, explique concrètement comment la cartographie SI répond à ces exigences, et propose une démarche pragmatique pour les PME et ETI du secteur financier.

DORA : ce qu'il faut retenir

L'objectif du règlement

DORA (Règlement (UE) 2022/2554) vise à harmoniser et renforcer la résilience opérationnelle numérique du secteur financier européen. L'objectif est clair : s'assurer que les entités financières peuvent résister, réagir et se rétablir face à toute perturbation grave liée aux technologies de l'information et de la communication (TIC).

Contrairement à la directive NIS2 qui doit être transposée en droit national, DORA est un règlement européen : il s'applique directement dans tous les États membres, sans transposition. Les règles sont les mêmes à Paris, Francfort ou Amsterdam.

Qui est concerné ?

Le périmètre de DORA est large. Sont concernés :

Les entités financières :

• Établissements de crédit (banques)
• Entreprises d'investissement
• Sociétés de gestion d'actifs (SGP, OPCVM, FIA)
• Compagnies d'assurance et de réassurance
• Intermédiaires d'assurance
• Établissements de paiement et de monnaie électronique
• Prestataires de services sur crypto-actifs
• Dépositaires centraux de titres
• Contreparties centrales
• Plateformes de négociation
• Référentiels centraux
• Agences de notation de crédit
• Administrateurs d'indices de référence
• Prestataires de services de financement participatif
• Institutions de retraite professionnelle

Les prestataires tiers critiques de services TIC :

DORA introduit une supervision directe des prestataires de services TIC désignés comme "critiques" par les autorités européennes (ESA). Si vous êtes fournisseur cloud, hébergeur ou éditeur de logiciel pour des entités financières, vous pouvez être concerné.

Le point important pour les PME : DORA ne prévoit pas de seuil de taille. Une fintech de 20 personnes qui fournit des services de paiement est soumise aux mêmes obligations fondamentales qu'une grande banque, même si le principe de proportionnalité permet d'adapter les exigences à la taille et à la complexité de l'organisation.

Les cinq piliers de DORA

DORA s'articule autour de cinq piliers :

Ce que DORA exige concrètement en matière de cartographie

Article 8 : Identification des actifs TIC

L'article 8 du règlement DORA est explicite. Les entités financières doivent :

• Identifier, classifier et documenter l'ensemble des fonctions métier, des rôles et des responsabilités supportés par les actifs TIC
• Identifier toutes les sources de risques TIC, en particulier l'exposition aux risques et les dépendances à des prestataires tiers
• Réaliser un inventaire de tous les actifs d'information et des actifs TIC, y compris ceux situés hors site, les actifs réseau et les équipements matériels
• Cartographier les liens et interdépendances entre les actifs TIC, les processus et les fonctions métier critiques

Concrètement, cela signifie que vous devez disposer d'une cartographie à jour qui répond à ces questions :

• Quelles sont mes applications et mes systèmes ?
• Quelles fonctions métier dépendent de quelles applications ?
• Quelles applications dépendent de quels prestataires tiers ?
• Quels sont mes flux de données critiques ?
• Quelles sont mes dépendances techniques (serveurs, réseaux, cloud) ?

Article 28 : Registre des prestataires tiers TIC

DORA impose la tenue d'un registre d'informations sur l'ensemble des accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers. Ce registre doit inclure :

• L'identification des prestataires
• Les services fournis
• Les fonctions métier supportées
• Les lieux de traitement des données
• Les clauses de sous-traitance

Ce registre est directement lié à la cartographie SI : il s'agit de documenter qui fournit quoi, pour supporter quelle fonction métier.

Article 11 : Plans de continuité et de reprise

Les entités financières doivent disposer de plans de continuité d'activité et de reprise pour les systèmes TIC. Ces plans doivent couvrir les fonctions critiques ou importantes et tenir compte de l'analyse d'impact métier (BIA).

Sans cartographie SI, il est impossible de :

• Identifier les systèmes qui supportent les fonctions critiques
• Évaluer l'impact de la perte d'un système
• Définir les priorités de reprise (RTO/RPO)
• Tester la reprise de manière réaliste

Comment la cartographie SI répond aux exigences DORA

Niveau 1 : L'inventaire applicatif

Le premier niveau est l'inventaire complet de vos applications et systèmes. Pour chaque élément, documentez au minimum :

• Nom et description
• Éditeur / technologie
• Type d'hébergement (interne, cloud, hybride)
• Prestataire tiers (si applicable)
• Criticité métier (critique, importante, standard)
• Statut de cycle de vie (en production, en retrait, en projet)

Cet inventaire répond directement à l'exigence d'identification des actifs TIC de l'article 8.

Niveau 2 : Les relations et dépendances

Le deuxième niveau cartographie les liens entre les éléments :

• Application <-> Fonction métier : quelle application supporte quelle fonction ?
• Application <-> Prestataire : quelle application est fournie ou hébergée par quel tiers ?
• Application <-> Application : quels flux de données entre applications ?
• Application <-> Infrastructure : sur quelle infrastructure repose chaque application ?

Ce niveau répond à l'exigence de cartographie des interdépendances et alimente le registre des prestataires tiers (article 28).

Niveau 3 : L'analyse de criticité et d'impact

Le troisième niveau exploite la cartographie pour produire des analyses :

• Analyse d'impact métier (BIA) : si l'application X tombe, quelles fonctions métier sont impactées ?
• Analyse de concentration : suis-je trop dépendant d'un seul prestataire cloud ?
• Identification des SPOF : quelles applications n'ont pas de solution de secours ?
• Matrice de criticité : quels systèmes nécessitent les PCA/PRA les plus robustes ?

Démarche pragmatique pour les PME du secteur financier

Étape 1 : Nommer un responsable (semaine 1)

DORA exige une gouvernance claire des risques TIC. Identifiez un responsable (souvent le DSI ou le RSSI dans une PME) qui pilotera la démarche de cartographie et de conformité.

Étape 2 : Réaliser l'inventaire applicatif (semaines 2-3)

Commencez par lister vos applications. Pour une PME financière de 50 à 500 personnes, vous avez typiquement entre 30 et 150 applications. Partez de ce que vous connaissez :

• Les applications métier (front-office, back-office, reporting réglementaire)
• Les applications transverses (messagerie, RH, comptabilité)
• Les services cloud (SaaS, IaaS, PaaS)
• Les outils de sécurité (antivirus, pare-feu, SIEM)

Un outil comme UrbaHive permet de saisir cet inventaire en quelques heures, avec un plan gratuit (25 applications, 1 utilisateur, sans limite de durée). Pour un périmètre plus large, les plans payants restent accessibles : Starter à 29 €/mois (100 applications, 5 utilisateurs), Professional à 99 €/mois (200 applications, 25 utilisateurs).

Étape 3 : Cartographier les dépendances (semaines 3-5)

Une fois l'inventaire réalisé, identifiez les relations :

• Quelles applications dépendent de quel prestataire tiers ?
• Quels flux de données circulent entre les applications ?
• Quelles fonctions métier sont supportées par quelles applications ?

C'est la partie la plus riche en valeur. Elle révèle souvent des dépendances insoupçonnées et des concentrations de risques.

Étape 4 : Évaluer la criticité (semaine 5-6)

Pour chaque application et chaque prestataire, évaluez :

• La criticité métier : quel impact si cette application est indisponible ?
• Le RTO (Recovery Time Objective) : en combien de temps devez-vous restaurer le service ?
• Le RPO (Recovery Point Objective) : quelle perte de données est acceptable ?
• La substituabilité : pouvez-vous basculer sur une solution alternative ?

Étape 5 : Constituer le registre des prestataires tiers (semaine 6-7)

À partir de la cartographie, construisez le registre exigé par l'article 28. Pour chaque prestataire TIC :

Étape 6 : Maintenir la cartographie à jour (continu)

La cartographie DORA n'est pas un exercice ponctuel. Elle doit être maintenue à jour en continu. C'est là où un outil collaboratif fait la différence : quand plusieurs personnes peuvent contribuer et mettre à jour la cartographie, elle reste vivante. Quand c'est un fichier Excel géré par une seule personne, elle est obsolète au bout de quelques semaines.

Les sanctions en cas de non-conformité

Les autorités de supervision nationales (en France, l'ACPR et l'AMF) sont habilitées à :

• Émettre des injonctions de mise en conformité
• Imposer des sanctions administratives dont le montant peut être significatif
• Publier des déclarations publiques identifiant l'entité en infraction
• Suspendre ou retirer des autorisations d'exercice dans les cas les plus graves

Pour les prestataires tiers TIC désignés comme critiques, les autorités européennes (ESA) peuvent imposer des astreintes journalières pouvant atteindre 1 % du chiffre d'affaires quotidien moyen mondial.

Le risque n'est pas seulement financier : c'est aussi un risque réputationnel majeur dans un secteur où la confiance est fondamentale.

DORA et NIS2 : quelle articulation ?

DORA et NIS2 sont deux réglementations complémentaires mais distinctes :

Pour les entités financières, DORA est le texte de référence. Les exigences NIS2 s'appliquent en complément sur les aspects non couverts par DORA, mais c'est DORA qui fixe le cadre spécifique.

La bonne nouvelle : une cartographie SI réalisée pour DORA couvre largement les exigences de NIS2 en matière de connaissance du SI. C'est un investissement à double dividende.

Pourquoi les outils classiques ne suffisent pas

Excel : le faux ami

La majorité des PME financières gèrent encore leur inventaire applicatif dans des fichiers Excel. C'est compréhensible -- c'est l'outil que tout le monde connaît -- mais c'est insuffisant pour DORA :

• Pas de vues graphiques : impossible de visualiser les interdépendances
• Pas de collaboration maîtrisée : un fichier Excel circule par copies, sans rôles ni périmètre de droits
• Pas de traçabilité : qui a modifié quoi, quand ?
• Obsolescence rapide : sans contribution collaborative, le fichier est périmé en quelques semaines
• Pas de relations structurées : les liens entre applications, prestataires et fonctions métier sont difficiles à gérer dans un tableur

Les outils Enterprise : le surdimensionnement

À l'opposé, les solutions comme LeanIX ou Ardoq sont conçues pour les grands groupes. Leur prix (50 000 EUR/an et plus), leur complexité de déploiement et l'absence de support en français les rendent inadaptées aux PME du secteur financier.

L'approche UrbaHive

UrbaHive se positionne entre ces deux extrêmes :

• Plus structuré qu'Excel : un référentiel relié (applications, éditeurs, type de service interne ou externe, serveurs, flux, capacités, processus, responsables), deux diagrammes générés à partir des données, quatre rôles d'accès et un journal d'audit qui enregistre chaque création, modification et suppression avec les valeurs avant/après
• Plus accessible qu'un outil Enterprise : plan gratuit sans limite de durée, démarrage immédiat, plans payants à 29 et 99 €/mois, hébergement dans l'Union européenne
• Utile au socle DORA, sans le remplacer : UrbaHive n'a pas de fonction de conformité ni de registre des prestataires au format de l'article 28. Il fournit l'inventaire, les dépendances (analyse d'impact un niveau à la fois, matrice de couverture capacités × applications) et la traçabilité que le règlement suppose ; les champs personnalisés accueillent ce qui manque nativement (criticité, lieu de traitement, échéance de contrat)

Checklist DORA pour votre cartographie SI

Utilisez cette checklist pour évaluer votre niveau de conformité :

• [ ] Inventaire applicatif complet : toutes les applications et systèmes TIC sont identifiés et documentés
• [ ] Classification de criticité : chaque application est classée (critique, importante, standard)
• [ ] Cartographie des dépendances : les liens applications-fonctions métier sont documentés
• [ ] Registre des prestataires tiers : tous les prestataires TIC sont recensés avec les informations exigées
• [ ] Analyse de concentration : les risques de dépendance à un prestataire unique sont identifiés
• [ ] Analyse d'impact : l'impact de la perte de chaque système critique est évalué
• [ ] Plans de continuité : les PCA/PRA couvrent les systèmes identifiés comme critiques
• [ ] Mise à jour régulière : la cartographie est maintenue à jour (revue au moins trimestrielle)
• [ ] Gouvernance : un responsable est identifié pour la gestion des risques TIC

Notre verdict

La conformité DORA n'est pas optionnelle, et la cartographie SI en est un pilier fondamental. Pour les PME et ETI du secteur financier, l'enjeu est de trouver le bon niveau d'outillage : suffisamment structuré pour répondre aux exigences réglementaires, suffisamment simple pour être effectivement utilisé et maintenu.

Excel est insuffisant. Les outils Enterprise sont surdimensionnés. Un outil comme UrbaHive offre un compromis : un référentiel structuré et tracé pour l'inventaire et les dépendances que DORA suppose connus, avec la simplicité nécessaire à une PME. Le registre de l'article 28, les RTO/RPO et les plans de continuité restent à tenir dans vos propres documents. Pour approfondir les enjeux de sécurité, consultez notre guide sur la cartographie SI et cybersécurité, et pour choisir votre outil, découvrez notre comparatif des outils de cartographie SI.

L'essentiel est de commencer maintenant. DORA est en vigueur depuis janvier 2025. Les autorités de supervision montent progressivement en puissance. Mieux vaut une cartographie imparfaite mais vivante qu'un projet de cartographie parfait qui n'a pas encore démarré.

Démarrez votre cartographie DORA dès aujourd'hui. Avec le plan gratuit UrbaHive, inventoriez vos 25 premières applications et commencez à documenter vos dépendances critiques. Sans engagement, sans carte bancaire. Démarrer gratuitement sur UrbaHive