Conformité DORA : panorama des solutions, exigence par exigence

Réponse rapide — Aucune famille d'outils ne couvre seule DORA. Excel, registre dédié, GRC, TPRM, ticketing et conseil répondent chacun à un chantier. Le critère décisif n'est pas le catalogue de fonctions : c'est la capacité à relier actifs, fonctions, prestataires, contrats, risques et incidents, puis à en dériver le RoI et les notifications sans ressaisie.

Famille	Ce qu'elle règle bien	Ce qu'elle laisse de côté
Tableurs	Premier recensement, diagnostic	Remise xBRL-CSV, liens entre objets, piste d'audit
Outil registre	Export superviseur, contrôles LEI / validation	Pilotage continu tiers, contrats, incidents
GRC généraliste	Contrôles, plans d'action, reporting multi-référentiels	Données métier du RoI, calendrier d'incidents
TPRM	Diligence fournisseur, notation, certifications	Rattachement aux fonctions critiques, concentration
Outil d'incidents	Détection et traitement opérationnel	Classification réglementaire et notification ACPR
Conseil / tests	Interprétation, politiques, TLPT	Dispositif vivant après la mission

Depuis le 17 janvier 2025, le règlement DORA s'applique à l'ensemble des entités financières régulées : sociétés de gestion, assureurs, établissements de paiement, entreprises d'investissement. Près de deux ans plus tard, la question n'est plus « faut-il s'y mettre ? » mais « avec quoi ? ».

Le marché répond en ordre dispersé. Un outil pour produire le registre d'information au format xBRL-CSV. Un autre pour évaluer les prestataires. Une suite GRC héritée d'un projet ISO 27001. Des modèles Excel, des cabinets, des prestataires de tests d'intrusion. Chacun répond à une partie du problème, rarement à l'ensemble.

Cet article dresse le panorama des familles de solutions, ce que chacune couvre réellement, et les critères pour choisir sans multiplier les outils. Il complète le guide logiciel DORA : quand quitter Excel et bien choisir, qui traite du seuil de bascule et de la grille RFP. Ici, l'angle est différent : exigence par exigence, ce que chaque famille sait faire — et ce qu'elle laisse de côté.

Ce que DORA demande vraiment : six chantiers, pas un

Avant de parler d'outils, il faut partir des besoins. DORA est souvent présenté en cinq piliers. En pratique, une entité financière doit produire et maintenir six ensembles de livrables, qui ne mobilisent ni les mêmes équipes ni les mêmes données. Pour une vue par niveaux (gouvernance → opérationnel → preuve), voir aussi la cartographie des livrables DORA.

Chantier	Ce qu'il faut produire	Qui est mobilisé
Gouvernance et cadre de gestion du risque TIC	Politiques, procédures, rôles, revue annuelle par l'organe de direction	Direction, RSSI, conformité
Gestion des risques TIC	Cartographie des actifs et fonctions critiques ou importantes, analyse de risques, plan de traitement	RSSI, DSI, métiers
Risques liés aux prestataires TIC	Registre d'information, évaluation des prestataires, clauses contractuelles de l'article 30, stratégies de sortie	Achats, juridique, conformité
Incidents TIC	Classification, notification des incidents majeurs (notification initiale, rapport intermédiaire, rapport final), registre des incidents	Exploitation, RSSI, conformité
Tests de résilience	Programme de tests annuel, suivi des vulnérabilités, TLPT pour les entités désignées	RSSI, prestataires de tests
Partage d'information	Participation aux dispositifs d'échange sur les menaces (volontaire)	RSSI

Deux constats à retenir. D'abord, aucun de ces chantiers n'est autonome : un incident touche un actif, cet actif soutient une fonction critique, cette fonction dépend d'un prestataire, ce prestataire figure au registre. Ensuite, le superviseur ne regarde plus seulement l'existence des documents. Il regarde leur cohérence entre eux.

Le registre d'information en est la meilleure illustration. Pour la campagne 2026, l'ACPR a ouvert sa plateforme de collecte du 1er janvier au 31 mars 2026, sur des données arrêtées au 31 décembre 2025 (webinaire ACPR du 23 janvier 2026), et l'AMF a déjà précisé les modalités de la collecte 2027 pour les sociétés de gestion. Ces registres ne restent pas dans un tiroir : les autorités européennes s'en sont servies pour désigner, le 18 novembre 2025, la première liste de prestataires TIC critiques placés sous leur surveillance directe. Un registre incohérent avec vos contrats ou votre cartographie se voit.

Panorama des solutions de conformité DORA

Six grandes familles coexistent aujourd'hui. Aucune n'est mauvaise en soi. Chacune a été conçue pour un besoin précis, et c'est ce périmètre d'origine qui détermine ce qu'elle laisse de côté.

1. Les tableurs et modèles Excel

C'est le point de départ de la plupart des entités, et ce n'est pas un tort. Un modèle de registre bien construit permet de recenser les contrats, d'identifier les manques et de structurer un premier diagnostic.

Les limites apparaissent vite. Excel n'est pas un format de remise : le superviseur attend un paquet xBRL-CSV qui respecte des règles de validation strictes. Les mises à jour se font à la main, sans piste d'audit. Et surtout, chaque fichier vit seul : le registre ne connaît pas la cartographie, qui ne connaît pas les incidents.

Pour qui : les structures qui démarrent, ou en complément temporaire d'un outil.

2. Les outils dédiés au registre d'information

Apparus en 2024 et 2025 pour répondre à la première campagne de remise, ces outils règlent un problème réel : produire un fichier conforme à la taxonomie européenne, contrôler les identifiants LEI, passer les règles de validation.

Leur force est aussi leur limite. Ils traitent le registre comme une fin, alors qu'il n'est qu'une photographie annuelle d'un travail continu : évaluer les prestataires, suivre les clauses, anticiper les sorties. Une fois le fichier déposé, l'outil n'aide plus à piloter. Voir le guide du registre d'information pour ce que le RoI exige réellement en amont.

Pour qui : les entités dont le seul point de douleur est la remise annuelle.

3. Les plateformes GRC généralistes

Les suites de gouvernance, risques et conformité couvrent large : référentiels de contrôles, campagnes d'évaluation, plans d'action, reporting. Beaucoup ont ajouté un « module DORA » à leur catalogue ISO 27001, NIS2 ou RGPD.

L'approche fonctionne pour des organisations dotées d'une équipe GRC capable de paramétrer l'outil. Elle montre ses limites ailleurs. DORA y devient une liste d'exigences à cocher, alors que ses obligations les plus lourdes (registre, contrats, incidents) reposent sur des données métier, pas sur des questionnaires. Les projets de déploiement se comptent souvent en mois.

Pour qui : les grands groupes multiréglementaires avec une équipe GRC structurée.

4. Les solutions de gestion des risques tiers (TPRM)

Ces outils automatisent l'évaluation des fournisseurs : questionnaires de sécurité, notation, suivi des certifications, parfois surveillance externe de la surface d'attaque. Ils sont précieux pour industrialiser les diligences.

Mais le TPRM classique raisonne fournisseur par fournisseur. DORA raisonne par fonction critique ou importante : quel prestataire soutient quelle fonction, avec quel niveau de substituabilité, quelle concentration, quelle stratégie de sortie. Sans lien avec la cartographie et le registre, l'évaluation reste hors sol. Voir le cycle de vie TPRM sous DORA.

Pour qui : les entités avec un large portefeuille de prestataires à évaluer.

5. Les outils de gestion des incidents

Outils de ticketing, SIEM, plateformes de réponse à incident : ils détectent et traitent. Ils ne sont pas conçus pour la logique réglementaire de DORA, qui impose de classer chaque incident selon des critères précis (clients touchés, durée, impact géographique, données, criticité des services) puis de notifier les incidents majeurs selon un calendrier très serré.

Le risque est connu : l'incident est bien géré techniquement, mais la notification part en retard ou avec une classification fragile, faute d'avoir sous la main les fonctions impactées et les prestataires impliqués. L'arbre de décision de classification et les délais de notification détaillent ce que l'outil opérationnel ne couvre pas seul.

Pour qui : complément indispensable côté opérationnel, à relier au dispositif de conformité.

6. Le conseil et les prestataires de tests

Cabinets, consultants indépendants, prestataires de tests d'intrusion et de TLPT : ils apportent l'expertise que les outils n'ont pas. Interprétation du texte, proportionnalité, rédaction des politiques, renégociation des contrats, tests.

Leur limite est structurelle : une mission produit des livrables, pas un dispositif vivant. Six mois après, la cartographie a vieilli, de nouveaux contrats ont été signés, et l'entité repart souvent d'Excel. C'est le même constat que dans du diagnostic ponctuel au dispositif vivant.

Pour qui : tout le monde, à un moment ou à un autre. La question est de savoir sur quoi l'expertise s'appuie dans la durée.

Le vrai sujet : la fragmentation

Mis bout à bout, ces outils couvrent théoriquement tout DORA. En pratique, une entité qui les empile se retrouve avec quatre ou cinq référentiels de prestataires, autant de listes d'actifs, et aucune vue d'ensemble.

Famille	Gouvernance	Risques TIC	Registre et tiers	Contrats	Incidents	Tests
Tableurs	Partiel	Partiel	Partiel	Non	Partiel	Non
Outil registre	Non	Non	Oui	Partiel	Non	Non
GRC généraliste	Oui	Oui	Partiel	Partiel	Partiel	Partiel
TPRM	Non	Non	Partiel	Partiel	Non	Non
Outil d'incidents	Non	Non	Non	Non	Oui	Non
Conseil et tests	Oui	Oui	Partiel	Oui	Partiel	Oui

Le tableau montre des couvertures. Il ne montre pas l'essentiel : les liens entre les colonnes. Or c'est là que DORA se joue.

Prenons un cas courant. Un prestataire d'hébergement subit une panne. Pour notifier dans les délais, il faut savoir en quelques heures quelles fonctions critiques il soutient, combien de clients sont touchés, si d'autres prestataires dépendent de lui. Pour tirer les leçons ensuite, il faut relire son contrat (niveaux de service, droit d'audit, clause de sortie), réévaluer sa criticité, mettre à jour le registre et le plan de traitement des risques. Six chantiers, un seul événement.

Quand ces informations vivent dans des outils distincts, chaque incident, chaque contrôle et chaque remise devient un exercice de reconstitution. C'est ce que constatent les superviseurs : les incohérences portent moins sur l'absence de documents que sur leur absence de liens.

D'où l'émergence d'une approche différente : partir d'un modèle de données unique où actifs, fonctions, prestataires, contrats, risques et incidents sont des objets reliés. Le registre d'information n'est plus un fichier à produire, mais une vue générée à partir d'un référentiel tenu à jour. La conformité devient un sous-produit du pilotage des risques, et non l'inverse.

L'intelligence artificielle change aussi la donne sur ce terrain, à condition d'être employée avec mesure. Extraire les clauses d'un contrat de 60 pages, rapprocher un questionnaire fournisseur de son trust center public, signaler qu'un prestataire non critique soutient en réalité une fonction critique : ce sont des tâches où elle fait gagner des jours. Décider de la criticité d'une fonction ou du niveau de risque acceptable reste, en revanche, une décision humaine et traçable.

Comment choisir sa solution DORA : sept questions à poser

Quel que soit l'outil envisagé, ces questions permettent de juger sa pertinence au-delà de la démonstration commerciale. Pour une grille RFP exécutée sur données réelles, voir aussi logiciel DORA : quand quitter Excel.

1. Le registre est-il généré ou ressaisi ? Un registre produit à partir des contrats et de la cartographie reste cohérent. Un registre rempli à part diverge dès la première mise à jour.
2. La remise xBRL-CSV est-elle native ? Import et export au format attendu par l'ACPR et l'AMF, contrôle des règles de validation avant dépôt, gestion des LEI.
3. Un réimport écrase-t-il le travail fait ? Les qualifications humaines (criticité, substituabilité, justification) doivent survivre à une mise à jour des données brutes.
4. Les objets sont-ils reliés ? Depuis un incident, peut-on remonter aux fonctions, actifs, prestataires et contrats concernés en un clic ?
5. L'outil aide-t-il à prioriser ? Une liste de plusieurs centaines d'exigences ne dit pas par où commencer. Une bonne solution indique où se trouvent les manques les plus exposés.
6. Est-il proportionné à votre taille ? DORA prévoit un principe de proportionnalité. Une société de gestion de 40 personnes n'a ni le besoin ni les moyens de paramétrer une suite GRC pendant six mois.
7. Y a-t-il une expertise derrière l'outil ? L'interprétation du texte, la doctrine des superviseurs et les retours de contrôle évoluent. Un logiciel seul ne suit pas ; il faut des gens qui connaissent la place.

En résumé : moins d'outils, plus de liens

Il n'existe pas de solution DORA unique au sens d'un produit miracle. Il existe en revanche une bonne façon de poser le problème : partir des fonctions critiques, relier ce qui en dépend, et laisser les livrables réglementaires découler de ce référentiel plutôt que l'inverse.

C'est la conviction qui a guidé la conception d'Axenia : une plateforme de pilotage des risques SSI pensée pour les entités financières régulées, où registre d'information, contrats, risques tiers, cartographie, incidents, politiques et tests partagent le même modèle de données, avec un accompagnement humain ajusté à la maturité de chaque organisation.

Quelle que soit la voie retenue, le critère décisif reste le même : le jour d'un contrôle ou d'un incident majeur, pouvoir répondre vite, de façon cohérente, et le démontrer.

Questions fréquentes

Un fichier Excel suffit-il pour la remise du registre d'information DORA ?

Non. Excel peut servir de support de travail, mais le superviseur attend un paquet au format xBRL-CSV conforme à la taxonomie européenne. Un fichier rejeté pour erreur de format est assimilé à une absence de remise. Détail des pièges de remise : erreurs RoI 2025.

Faut-il un logiciel GRC pour être conforme à DORA ?

DORA n'impose aucun outil. En revanche, le volume d'informations à maintenir (contrats, prestataires, actifs, incidents) et l'exigence de cohérence rendent la gestion manuelle difficile à tenir dans la durée, même pour une structure de taille moyenne.

DORA s'applique-t-il aux petites sociétés de gestion ?

Oui, sous réserve des exemptions prévues par le texte, avec un principe de proportionnalité et un cadre simplifié pour certaines entités. Le registre d'information reste exigé dans tous les cas pour les entités dans le champ. Voir aussi DORA et SGP : supervision AMF.

Quelle différence entre gestion des risques tiers classique et exigences DORA ?

Le TPRM classique évalue des fournisseurs. DORA demande en plus de rattacher chaque prestataire TIC aux fonctions critiques ou importantes qu'il soutient, d'en mesurer la substituabilité et la concentration, d'intégrer des clauses contractuelles minimales et de prévoir des stratégies de sortie.

Quels sont les délais de notification d'un incident majeur ?

La notification initiale intervient dans les quatre heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après sa détection. Suivent un rapport intermédiaire sous 72 heures et un rapport final sous un mois. Calendrier détaillé : délais de notification d'incident majeur.