Conformité DORA pour les assureurs en 2026

DORA — le Digital Operational Resilience Act de l'UE — s'applique aux services financiers depuis janvier 2025. Pour les assureurs, c'est le cadre le plus systématique jamais imposé sur la résilience opérationnelle numérique. Il modifie ce que signifie « s'appuyer sur un fournisseur ».

Pourquoi DORA existe et ce qu'il essaie de résoudre

Les régulateurs financiers ont observé une concentration croissante des services financiers sur un petit nombre de fournisseurs cloud et technologiques. Une défaillance chez l'un pourrait cascader à travers le système financier. DORA impose un cadre pour prévenir, détecter et récupérer.

Les cinq piliers de la conformité DORA

1. Gestion des risques ICT (framework, gouvernance)
2. Reporting des incidents (avec seuils et délais spécifiques)
3. Tests de résilience opérationnelle numérique
4. Gestion des risques tiers ICT
5. Partage d'informations sur les menaces cyber

Exigences de piste d'audit et journalisation sous DORA

DORA exige des journaux détaillés de tous les événements ICT significatifs — incidents, tentatives d'accès, modifications de configuration, actions administratives. Rétention appropriée et disponibilité pour les régulateurs et enquêtes.

Ce que DORA exige dans les contrats fournisseur de plateforme de sinistres

• Droits d'audit et d'inspection
• Notification d'incident dans des délais définis
• Continuité et reprise après sinistre testées
• Localisation et résidence des données
• Stratégies de sortie documentées

Lacunes de conformité DORA courantes dans les opérations sinistres

Contrats fournisseur silencieux sur les droits d'audit ; pas de vue centralisée des dépendances tierces ; tests de continuité non conformes aux exigences DORA ; workflow de notification d'incident non aligné aux seuils DORA.

Voir la page souveraineté EU et journalisation d'audit sous EU AI Act.

Conclusion

DORA n'est pas un exercice de conformité — c'est un changement d'attente sur la résilience opérationnelle. Les assureurs qui traitent leur plateforme comme une boîte noire fournisseur découvrent que DORA leur demande d'en connaître l'architecture.