DORA et formation à la sensibilisation à la sécurité : ce que l'article 13 exige de chaque salarié (2026)

En bref : la loi sur la résilience opérationnelle numérique (DORA, règlement (UE) 2022/2554) s’applique aux banques, aux assureurs, aux entreprises d’investissement, aux établissements de paiement, aux fonds de pension et aux autres entités financières de l’UE depuis le 17 janvier 2025. L’article 13, paragraphe 6, rend obligatoires les programmes de sensibilisation à la sécurité des TIC et les formations à la résilience opérationnelle numérique dans le cadre de la formation du personnel, tant pour l’ensemble des salariés que pour les cadres supérieurs, à un niveau d’approfondissement adapté à chaque fonction. L’article 5 attribue la responsabilité finale des risques liés aux TIC à l’organe de direction, qui doit prévoir un budget pour ces formations et maintenir ses propres connaissances à jour grâce à des formations régulières et spécifiques. Aux Pays-Bas, la DNB et l’AFM veillent au respect de la réglementation et peuvent infliger des amendes. Ce qu’elles souhaitent voir, ce sont des preuves : qui a été formé, sur quels sujets, à quelle fréquence, et si cela a entraîné un changement de comportement.

Aperçu des exigences de formation DORA

La loi DORA ne comporte pas de chapitre spécifique consacré à la formation. Les obligations sont réparties entre plusieurs articles et une norme technique. Voici ce qu’elles signifient et ce qu’il faut présenter lorsque l’inspecteur vous le demande.

Qui relève de la loi DORA ?

L'article 2, paragraphe 1, énumère vingt types d'entités financières. Parmi celles-ci figurent : les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services liés aux crypto-actifs, les plateformes de négociation, les gestionnaires de fonds, les assureurs, les intermédiaires d'assurance, les institutions de retraite, les agences de notation de crédit et les plateformes de financement participatif.

Il existe toutefois des exceptions. Les intermédiaires d’assurance qui sont des micro-entreprises, des petites ou des moyennes entreprises ne relèvent pas de ce champ d’application, tout comme les institutions de retraite comptant au total 15 membres au maximum. Les petites entreprises d’investissement non interconnectées, les établissements de paiement et les établissements de monnaie électronique exemptés, ainsi que les petites institutions de retraite, sont soumis à un cadre simplifié en matière de risques informatiques, tel que prévu à l’article 16. Même ce régime allégé les oblige néanmoins à mettre en place des programmes de sensibilisation et des formations à la résilience à l’intention du personnel et de la direction, « en fonction des besoins et du profil de risque informatique ».

Les prestataires de services TIC tiers constituent le dernier élément de la liste. La plupart d’entre eux sont soumis à la réglementation DORA par le biais des contrats conclus avec leurs clients. Les plus grands d’entre eux font l’objet d’une surveillance directe : le 18 novembre 2025, les autorités européennes de surveillance ont publié la première liste des prestataires de services TIC tiers critiques, comprenant 19 entreprises allant des fournisseurs de cloud hyperscale aux éditeurs de logiciels financiers.

Les cinq piliers en bref

L'article 1er définit le champ d'application de la loi DORA, généralement articulé autour de cinq piliers :

• Gestion des risques liés aux TIC. Cadre, gouvernance et contrôles documentés (articles 5 à 16). La formation s'inscrit dans ce cadre.
• Signalement des incidents. Classer les incidents majeurs liés aux TIC et les signaler au supérieur hiérarchique.
• Tests de résilience opérationnelle numérique. Un programme de tests fondé sur les risques et, pour les entités désignées, des tests d'intrusion axés sur les menaces au moins tous les trois ans (article 26).
• Risques liés aux tiers dans le domaine des TIC. Exigences contractuelles, registre annuel des informations et surveillance des prestataires essentiels.
• Partage d'informations. Échange volontaire de renseignements sur les menaces entre entités financières.

Ce que prévoit l'article 13, paragraphe 6, en matière de formation

La phrase clé est concise : « Les entités financières doivent mettre en place des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, sous forme de modules obligatoires dans leurs programmes de formation du personnel. Ces programmes et formations doivent s'appliquer à l'ensemble des salariés ainsi qu'aux cadres supérieurs, et leur niveau de complexité doit être adapté à l'étendue de leurs fonctions. »

Trois mots font toute la différence. « Obligatoire » signifie qu’une formation en ligne facultative sur l’intranet ne fait pas l’affaire. «Tous» signifie que cela concerne aussi bien la réceptionniste que le directeur financier, et non pas uniquement une sélection de postes à haut risque. «Adaptée» signifie qu’un module générique unique pour tous ne suffit pas non plus : un développeur ayant accès à l’environnement de production a besoin d’une formation plus approfondie qu’un collègue des services généraux. Le même paragraphe ajoute que, le cas échéant, les prestataires de services informatiques tiers doivent être inclus dans la formation, et l’article 30, paragraphe 2, point i), exige que les contrats précisent les conditions à cet effet.

L'article 13 s'intitule « Apprendre et évoluer » : les incidents et les résultats des tests doivent être pris en compte dans le cadre global. Un programme qui ne change jamais après un véritable incident de hameçonnage ne correspond pas à cette logique.

Article 5 : le conseil d'administration en assume la responsabilité

En vertu de l’article 5, paragraphe 2, l’organe de direction définit, approuve, supervise et assume la responsabilité de l’ensemble du cadre de gestion des risques liés aux technologies de l’information et de la communication (TIC). Le point a) lui confère « la responsabilité ultime de la gestion des risques liés aux TIC de l’entité financière ». Le point g) lui impose d’allouer et de réexaminer périodiquement le budget, en incluant explicitement les programmes de sensibilisation et de formation visés à l’article 13, paragraphe 6.

L’article 5, paragraphe 4, s’adresse ensuite aux membres du conseil d’administration eux-mêmes : ceux-ci « doivent s’efforcer activement de maintenir à jour les connaissances et compétences nécessaires pour comprendre et évaluer les risques liés aux TIC et leur impact sur les activités de l’entité financière, notamment en suivant régulièrement des formations spécifiques adaptées aux risques liés aux TIC gérés ». La DNB a repris cette formulation dans ses propres diapositives destinées aux assureurs en novembre 2024. La même logique s’applique à la directive NIS 2 : notre article sur la directive NIS 2 et la responsabilité du conseil d’administration explique comment la responsabilité individuelle s’y applique, et la formation des dirigeants montre à quoi peut ressembler un programme destiné au conseil d’administration.

Ce qu'attendent les superviseurs : l'exemple de la DNB et de l'AFM

Aux Pays-Bas, la DNB et l’AFM assurent la supervision de la DORA. La DNB a annoncé en décembre 2024 que la DORA remplaçait son guide « Good Practice Informatiebeveiliging 2023 » pour les entités concernées, et qu’elle fonctionnait selon une approche fondée sur les risques et proportionnée : questionnaires, entretiens et contrôles sur place, assortis de mesures allant d’une lettre d’avertissement à une amende. Le gouvernement néerlandais confirme que les deux autorités de contrôle peuvent infliger une amende à une entreprise financière qui ne se conforme pas à ces dispositions. En France, la supervision de DORA revient à l'ACPR et à l'AMF ; en Belgique, à la BNB et à la FSMA.

La sensibilisation n’est pas une question secondaire pour eux. Lors d’une présentation destinée aux assureurs le 12 novembre 2024, la DNB a énuméré les conclusions de ses contrôles de 2024. L’une d’entre elles : il faut accorder davantage d’attention aux programmes de formation et de sensibilisation. L’AFM avait publié plus tôt dans l’année une fiche d’information s’appuyant sur une auto-évaluation réalisée en 2023 par 212 entreprises d’investissement. Concernant le thème « sensibilisation et formation », 37 % d’entre elles n’atteignaient pas encore le niveau attendu. Ces chiffres sont antérieurs à la DORA, mais ils montrent les domaines dans lesquels l’autorité de surveillance s’attendait à ce que des efforts soient fournis : il faut s’attendre à ce que la question de la formation s’accompagne d’une demande de chiffres.

Quel est le lien entre DORA et NIS2 ?

De nombreuses entités financières sont également considérées comme des entités essentielles ou importantes au sens de la directive NIS2. L’article 1, paragraphe 2, de la directive DORA règle ce chevauchement : pour ces entités, la directive DORA est considérée comme un acte juridique de l’Union spécifique à un secteur au sens de l’article 4 de la directive NIS2. Dans la pratique, la DORA prévaut lorsque les deux textes traitent du même sujet, raison pour laquelle elle est souvent qualifiée de « lex specialis ». Le gouvernement néerlandais l’exprime clairement : en cas de chevauchement des règles, les dispositions de la DORA prévalent pour les établissements financiers.

Aux Pays-Bas, la directive NIS 2 est transposée dans la loi sur la cybersécurité (Cyberbeveiligingswet), en vigueur depuis le 15 août 2026. Pour une banque ou un assureur, cela signifie que la directive DORA constitue le cadre principal en matière de risques informatiques et de formation, tandis que la directive NIS 2 reste applicable aux entités du groupe et aux fournisseurs n’appartenant pas au secteur financier. Notre guide NIS 2 pour 2026 précise qui relève de cette directive, et la section consacrée à la différence entre les directives NIS 1 et NIS 2 explique en quoi son champ d’application s’est élargi. En France, NIS2 sera transposée par la loi Résilience, toujours en discussion au Parlement ; en Belgique, la loi NIS2 du 26 avril 2024 s'applique depuis le 18 octobre 2024.

Un plan de mise en œuvre concret

1. Mettez en correspondance les rôles et les risques. Dressez la liste des fonctions impliquant un pouvoir de paiement, un accès aux processus de production, aux données clients ou aux coordonnées des fournisseurs. Ces fonctions font l'objet d'une analyse plus approfondie ; tout le monde dispose des informations de base.
2. Consignez par écrit la décision du conseil d'administration. Le budget, le périmètre d'intervention et le programme de formation du conseil d'administration doivent être approuvés dans le procès-verbal, conformément aux dispositions de l'article 5, paragraphe 2, point g), et de l'article 5, paragraphe 4.
3. Rendez la ligne de base obligatoire et continue. Un rythme court et récurrent tout au long de l'année est plus efficace qu'un module annuel unique et vous permet de disposer de données chaque mois.
4. Ajoutez des simulations d'hameçonnage et un canal de signalement. Identifiez les personnes qui cliquent et celles qui signalent les tentatives, et assurez-vous que tout le monde sache où signaler ces incidents.
5. Impliquer les fournisseurs. Intégrer la clause relative à la formation prévue à l'article 30, paragraphe 2, point i), dans les contrats TIC nouveaux et renouvelés.
6. Faites le point. Après chaque incident majeur ou chaque test, adaptez le contenu, consignez la modification et intégrez-la dans le rapport annuel destiné à l'instance de direction.

Comment les simulations de hameçonnage et la formation continue permettent d'obtenir des preuves

La directive DORA ne mentionne pas explicitement les simulations de phishing. L’article 25 énumère les tests qu’un programme d’évaluation de la résilience peut inclure, allant des analyses de vulnérabilité aux tests basés sur des scénarios, et laisse le choix à l’entité concernée. Les simulations restent le moyen le plus direct de démontrer que la formation modifie les comportements, et elles s’inscrivent dans le cadre de l’article 13, paragraphe 4, qui exige des entités qu’elles évaluent l’efficacité de leur stratégie de résilience. Un certificat de fin de formation atteste qu’une personne a suivi un module. Une baisse du taux de clics et une hausse du taux de signalement indiquent que la formation a porté ses fruits.

C’est également là que la formation continue porte ses fruits. Avec Guardey, chaque collaborateur relève chaque semaine un défi ludique d’environ trois minutes, les équipes s’affrontent dans un classement et des simulations d’hameçonnage sont intégrées. Il en résulte un bilan par personne et par semaine, que vous pouvez transmettre à l’auditeur sous forme de rapports conformes aux normes NIS2, ISO 27001 et à plus de 40 autres référentiels. Vous êtes déjà certifié ISO 27001 ? Notre guide de formation à la sensibilisation à la sécurité ISO 27001 s'aligne parfaitement sur la directive DORA.

Questions fréquentes

La formation à la sensibilisation à la sécurité est-elle obligatoire en vertu de la loi DORA ?

Oui. L'article 13, paragraphe 6, prévoit que les programmes de sensibilisation à la sécurité des TIC et les formations à la résilience opérationnelle numérique constituent des modules obligatoires dans le cadre de la formation du personnel, tant pour l'ensemble des salariés que pour les cadres supérieurs. Les entités relevant du régime simplifié prévu à l'article 16 doivent également les proposer, en fonction de leurs besoins et de leur profil de risque.

Le conseil d'administration doit-il suivre une formation dans le cadre de la loi DORA ?

Oui. L'article 5, paragraphe 4, impose aux membres de l'organe de direction de maintenir à jour leurs connaissances et leurs compétences, notamment en suivant régulièrement des formations spécifiques, proportionnellement au risque informatique géré.

Depuis quand la loi DORA s'applique-t-elle ?

Depuis le 17 janvier 2025. Le règlement DORA s'applique directement dans chaque État membre sans transposition nationale.

La directive DORA remplace-t-elle la directive NIS2 pour les entités financières ?

Lorsque les deux textes traitent des mêmes sujets, la loi DORA prévaut. L'article 1, paragraphe 2, fait de la loi DORA la loi sectorielle applicable aux entités financières qui sont également considérées comme des entités essentielles ou importantes au sens de la directive NIS2.

Qui supervise DORA en France et en Belgique ?

En France, l'ACPR et l'AMF ; en Belgique, la BNB et la FSMA, chacune pour ses propres entités. Aux Pays-Bas, ce sont la DNB et l'AFM. Les autorités européennes de surveillance supervisent les prestataires tiers critiques de services TIC.