DORA : le nouveau guide de l'AFG pour les SGP décrypté

Focus — DORA : l'AFG actualise son guide pratique pour les SGP, la mise en œuvre s'intensifie

L'Association Française de la Gestion financière (AFG) a publié une mise à jour de son guide pratique dédié à la cybersécurité et au règlement DORA (Digital Operational Resilience Act). Cette nouvelle version, datée de juin 2026, s'adresse directement aux Sociétés de Gestion de Portefeuille (SGP) et marque un tournant : l'ère du cadrage théorique est révolue, place à une mise en œuvre prescriptive et détaillée.

Cette actualisation intervient alors que l'échéance de janvier 2025 pour l'application de DORA est passée, et que les entités financières, notamment les SGP, sont désormais pleinement engagées dans le déploiement de leurs dispositifs. L'enjeu principal est de traduire les exigences réglementaires complexes de DORA en actions concrètes et auditables, en particulier sur les volets de la gouvernance, de la gestion des incidents et de la maîtrise des risques liés aux prestataires tiers.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le règlement (UE) 2022/2554, dit DORA, est un texte législatif européen qui établit un cadre harmonisé et complet sur la résilience opérationnelle numérique pour le secteur financier. Son objectif est de garantir que toutes les entités financières de l'Union Européenne disposent des capacités nécessaires pour résister à tous les types de perturbations et de menaces liées aux technologies de l'information et de la communication (TIC), y compris les cyberattaques.

Le périmètre de DORA est extrêmement large. Il couvre près de 21 types d'entités financières, incluant les banques, les compagnies d'assurance, les entreprises d'investissement, et bien sûr, les sociétés de gestion de portefeuille (SGP). Fait notable, il s'applique également, pour la première fois de manière directe, aux prestataires de services TIC critiques pour le secteur financier, comme les fournisseurs de services cloud. Le règlement s'articule autour de cinq piliers fondamentaux : la gestion des risques liés aux TIC, la gestion et la notification des incidents, les tests de résilience opérationnelle numérique, la gestion des risques liés aux prestataires tiers, et le partage d'informations sur les menaces.

La base légale et réglementaire

La base légale de cette refonte est le Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022. Entré en vigueur le 16 janvier 2023, il est devenu pleinement applicable le 17 janvier 2025. Ce texte a pour ambition de mettre fin à la fragmentation réglementaire qui prévalait en Europe en matière de cybersécurité financière, en instaurant des règles uniques et directement applicables dans tous les États membres.

Le règlement est complété par une série de normes techniques de réglementation (RTS) et de normes techniques d'exécution (ITS), élaborées par les Autorités Européennes de Surveillance (EBA, ESMA, EIOPA). Ces textes techniques précisent les exigences de DORA dans des domaines clés, comme le cadre de gestion des risques, la classification des incidents, ou encore le contenu des contrats avec les prestataires TIC. En France, l'AMF et l'ACPR sont les autorités compétentes pour superviser l'application de DORA pour les entités sous leur juridiction. Les sanctions en cas de non-conformité peuvent être significatives, incluant des amendes administratives pouvant atteindre un pourcentage du chiffre d'affaires annuel total.

De la théorie à la pratique : l'AFG passe à la vitesse supérieure

La première version du guide de l'AFG en 2023 visait à sensibiliser et à aider les SGP à cadrer leur projet de mise en conformité. La version 2026, quant à elle, adopte une posture résolument opérationnelle. Elle part du principe que les SGP ont déjà défini leur feuille de route et se concentre sur les modalités de mise en œuvre concrète. Le message est clair : la conformité DORA n'est plus un projet, mais un processus continu intégré aux opérations.

L'accent mis sur la gouvernance et la responsabilité du conseil d'administration ('board') est particulièrement notable. Le guide détaille les attendus en matière de supervision par l'organe de direction, qui doit non seulement valider la stratégie de résilience numérique, mais aussi en comprendre les subtilités et être capable de challenger les équipes opérationnelles. Cela implique des reportings plus clairs, des indicateurs de risques pertinents (KRI) et une formation continue des administrateurs aux cyber-risques.

Le renforcement des exigences sur les tiers est une autre évolution majeure. Le guide traduit les obligations de DORA en clauses contractuelles précises, en exigences d'audit des prestataires et, surtout, en stratégies de sortie ('exit plans'). Pour chaque service TIC externalisé, en particulier auprès d'un prestataire critique, la SGP doit désormais disposer d'un plan documenté et testé pour assurer une transition vers un autre fournisseur ou une réinternalisation sans perturber ses activités critiques. C'est un défi majeur, notamment face à la concentration du marché sur quelques grands acteurs du cloud.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer, un Risk Manager ou un MLRO, cette nouvelle version du guide impose une révision immédiate des dispositifs en place. Voici un plan d'action en 5 étapes :

1. Mettre à jour le cadre de gouvernance des risques TIC : Revoyez votre politique de gestion des risques TIC pour y intégrer les aspects prescriptifs du guide. Assurez-vous que les rôles et responsabilités sont clairement définis, jusqu'au niveau du conseil d'administration. Définissez et formalisez les lignes de reporting et les indicateurs clés qui seront présentés au board.

2. Cartographier et durcir les contrats avec les prestataires tiers : Lancez un audit complet de tous les contrats avec les fournisseurs de services TIC. Identifiez les prestataires critiques. Pour chacun, vérifiez la présence des clauses obligatoires de DORA (droits d'audit, exigences de sécurité, localisation des données, etc.) et engagez des renégociations si nécessaire. Formalisez et testez les stratégies de sortie.

3. Industrialiser la gestion des incidents : Le processus de gestion des incidents doit être sans faille. Assurez-vous que la classification des incidents (majeurs ou non) est conforme aux critères des RTS. Testez la chaîne de communication interne et externe pour garantir une notification aux autorités compétentes (AMF/ACPR) dans les délais impartis.

4. Planifier un programme de tests de résilience avancés : Allez au-delà des tests de vulnérabilité standards. Planifiez des tests plus complexes comme des tests de basculement des datacenters ou des simulations de crise impliquant le top management. Pour les SGP les plus importantes, la préparation aux tests d'intrusion avancés (Threat-Led Penetration Testing - TLPT) doit être une priorité.

5. Formaliser le registre d'information sur les tiers : Mettez en place et maintenez à jour le registre d'information sur l'ensemble des services TIC externalisés, comme l'exige l'article 28 de DORA. Ce registre doit être suffisamment détaillé pour permettre une supervision efficace des risques et doit pouvoir être transmis à l'AMF sur demande.

Sources

• 📎 AFG — Cybersécurité : actualisation du guide pratique DORA