DORA formation : ce que prévoient les articles 13 et 5

La formation DORA est une obligation du règlement (UE) 2022/2554. Les entités financières doivent proposer à tout leur personnel, direction comprise, des programmes de sensibilisation à la sécurité des TIC. Elles doivent y ajouter des formations à la résilience opérationnelle numérique. Le texte parle de modules obligatoires, sans imposer de format. Un e-learning annuel peut donc en faire partie, mais il n'est pas la seule réponse.

Voici ce que prévoient les articles 13 et 5, qui est concerné, et comment bâtir un programme qui change les réflexes.

Ce que DORA demande : l'article 13, paragraphe 6

DORA s'applique depuis le 17 janvier 2025, directement dans tous les États membres, sans loi de transposition. L'article 13, paragraphe 6, demande aux entités financières d'élaborer ces programmes de sensibilisation et ces formations. Elles doivent les intégrer à leurs plans de formation du personnel sous forme de modules obligatoires.

Ces programmes visent tous les employés et les membres de la direction. Le niveau de complexité doit être proportionné à leurs fonctions. Le texte ne fixe ni fréquence, ni durée, ni support.

Les prestataires tiers de services TIC peuvent aussi être concernés « le cas échéant ». Cela dépend des conditions prévues dans les contrats (article 30, paragraphe 2, point i).

Qui est concerné par la formation DORA

Le champ d'application figure à l'article 2 du règlement. Il couvre notamment les établissements de crédit et de paiement, les entreprises d'investissement et les assureurs. Il vise aussi les intermédiaires d'assurance et les prestataires de services sur crypto-actifs. La liste complète est à consulter sur EUR-Lex.

Le régime simplifié de l'article 16 reprend la même exigence. Il demande lui aussi des programmes de sensibilisation et de formation pour le personnel et la direction. Les petites structures ne sont donc pas dispensées.

La formation de la direction : l'article 5

L'article 5, paragraphe 4, vise l'organe de direction. Ses membres doivent maintenir activement à jour des connaissances et des compétences suffisantes pour comprendre et évaluer le risque lié aux TIC. Ils doivent suivre régulièrement une formation spécifique, proportionnée à ce risque.

L'article 5, paragraphe 2, fait aussi de l'organe de direction le responsable du budget. Il doit allouer des moyens aux programmes de sensibilisation et aux formations visés à l'article 13, paragraphe 6, et les réexaminer périodiquement. La formation n'est donc pas qu'une affaire de service formation : c'est un sujet de gouvernance.

Ce que le texte ne dit pas, et ce que les superviseurs attendent

DORA ne définit pas ce qu'est une formation « suffisante ». Dans sa base de questions-réponses, l'AEAPP (l'autorité européenne des assurances) indique que ces formations doivent être adaptées aux fonctions des personnels et de la direction. La lecture est donc proportionnée : un membre du conseil, un conseiller en agence et un administrateur système n'ont pas les mêmes besoins.

Le règlement délégué (UE) 2024/1774 précise le cadre de gestion du risque TIC. Il ajoute que le personnel doit connaître les canaux de signalement des comportements anormaux. Savoir à qui remonter une alerte fait donc partie de la formation.

En France, l'ACPR a publié une notice DORA sur les TIC en décembre 2024 et une annexe TIC au rapport sur le contrôle interne. Un établissement doit s'attendre à devoir expliquer son programme, son public et ses évaluations.

Pourquoi l'e-learning annuel ne règle pas le risque humain

Un module sur les mots de passe et les liens suspects transmet une information. Il ne prépare pas à l'appel d'un faux conseiller, d'un faux prestataire ou d'un faux collègue du support. Celui-ci presse le salarié pour obtenir un code ou une validation.

Dans ces situations, l'interlocuteur est poli, informé et pressé. Le salarié doit trouver des mots pour vérifier, refuser et signaler, souvent en quelques secondes. Ce réflexe se construit en le pratiquant. Notre article sur les limites de l'e-learning pour les réflexes de cybersécurité en explique le mécanisme.

DORA demande une formation à la résilience opérationnelle numérique, pas une attestation de lecture. Un programme qui ne change pas ce que font les personnes un jour d'attaque remplit la lettre du texte, pas son objectif.

Un scénario type pour une équipe de back-office

Imaginons un appel reçu par une gestionnaire de paiements. L'interlocuteur se présente comme un technicien d'un prestataire informatique de la banque. Il explique qu'un incident bloque des virements et demande, pour le résoudre, un code reçu par SMS sur le téléphone de la gestionnaire.

Le scénario teste trois gestes : vérifier l'identité par un canal indépendant, refuser de communiquer le code, signaler l'appel. Les phrases utiles sont courtes :

• « Je ne communique jamais de code par téléphone. Je vous rappelle sur le numéro du contrat. »
• « Donnez-moi votre nom et votre service, je les note et je préviens la sécurité. »
• « Si c'est urgent, l'incident sera ouvert par le circuit habituel. »

Ces gestes se retrouvent dans nos articles sur le refus sous pression au téléphone et sur le contre-appel. Ils relèvent bien de la résilience opérationnelle : un incident évité vaut mieux qu'un incident bien géré.

Les erreurs fréquentes dans les programmes DORA

• Oublier la direction. Elle est visée deux fois, aux articles 5 et 13.
• Traiter la formation comme un simple dossier de preuve. Le texte parle de résilience, donc de comportements.
• Un contenu identique pour tous. La proportionnalité aux fonctions est dans le texte.
• Ne former qu'à l'écrit. Les attaques par téléphone ne se préparent pas qu'avec des textes.
• Ne pas revoir le programme. L'organe de direction doit le réexaminer périodiquement.

Construire un programme DORA qui fonctionne

1. Segmenter les publics. Direction, conseillers et front office, back-office et trésorerie, équipes informatiques, support. Chaque groupe reçoit les situations qui le concernent.
2. Combiner les formats. Des modules courts pour les connaissances de base, des sessions de pratique pour les gestes sensibles.
3. Entraîner à l'oral. Les attaques par téléphone se jouent en conversation. La mise en situation est le bon format pour y répondre.
4. Débriefer et rejouer. Un retour précis sur ce qui a été dit, puis une nouvelle tentative.
5. Conserver des traces. Qui, quand, sur quoi, avec quelle évaluation, y compris pour la direction.

Une grille de cinq questions pour auditer votre programme

• Tous les employés et tous les membres de la direction sont-ils couverts ?
• Le contenu est-il adapté à chaque fonction ?
• Les modules sont-ils obligatoires, comme le demande le texte ?
• Le personnel sait-il à qui signaler un incident ?
• Pouvez-vous prouver ce qui a été acquis, et pas seulement ce qui a été ouvert ?

La mise en situation, un moyen de remplir l'obligation

Face Up permet aux formateurs de créer leurs propres jeux de rôle à partir de leurs cas réels, avec l'aide d'un assistant de conception. L'apprenant parle, à la voix ou en vidéo, avec un persona joué par une IA. Ce peut être un faux conseiller bancaire ou un faux prestataire informatique.

Il reçoit ensuite un débriefing : points forts, points à améliorer, plan d'action et citations de ce qu'il a dit. Il peut rejouer. Pour le secteur bancaire, nous détaillons les scénarios dans notre article sur le vishing dans les banques. La question de la preuve est traitée dans l'article sur la traçabilité de la formation.

Questions fréquentes

DORA impose-t-elle un nombre d'heures de formation ?

Non. L'article 13, paragraphe 6, parle de programmes et de modules obligatoires, sans durée ni fréquence chiffrée. Le niveau doit être proportionné aux fonctions des personnes formées.

Faut-il former aussi les dirigeants ?

Oui, à deux titres. Ils sont visés par l'article 13 comme tous les membres de la direction. L'article 5 demande en outre à l'organe de direction de suivre régulièrement une formation spécifique au risque TIC.

Les prestataires de services TIC sont-ils concernés ?

Ils peuvent l'être. L'article 13 évoque les prestataires tiers « le cas échéant ». L'article 30 prévoit que les contrats peuvent leur demander de suivre les programmes de l'entité.

Un e-learning suffit-il pour être conforme ?

Le texte n'interdit aucun format. En pratique, une entité devra montrer que son programme est adapté aux fonctions et porte sur les risques réels. Un module uniforme le démontre mal.

Pour passer de l'attestation à la pratique, commencez par les équipes les plus exposées au téléphone, puis étendez le programme. Notre panorama des formations obligatoires situe DORA parmi les autres obligations, et l'article sur la formation des dirigeants dans NIS2 en donne le pendant européen. Pour voir un jeu de rôle sur un de vos cas, réservez une démonstration.