Menace dominante
Fraude par manipulation, comptes piratés
Textes
DORA (en vigueur), RGPD
Le contexte
Une réglementation dédiée, une fraude qui se déplace
Depuis le 17 janvier 2025, le règlement DORA impose aux entités financières une gestion du risque informatique, la notification des incidents majeurs, des tests de résilience et la maîtrise de leurs prestataires TIC. L'ACPR et l'AMF en contrôlent l'application. La fraude, elle, se déplace vers la manipulation des clients.
516 M€
de fraude par manipulation en 2025[1]
x 2
la part de la manipulation dans la fraude aux moyens de paiement, en quatre ans[1]
19
prestataires TIC critiques désignés le 18 novembre 2025[3]
Les menaces
Ce qui vise votre secteur
- 01
La fraude par manipulation
Faux conseiller, substitution d'IBAN, fausse demande de virement : 516 M€ en 2025, une part de la fraude totale qui a doublé en quatre ans. La parade passe autant par les parcours clients et les procédures internes que par la technique.[1]
- 02
Les comptes et messageries piratés
Le piratage de compte est la première menace pour les entreprises en 2025 selon Cybermalveillance.gouv.fr (21 % des assistances, +52 %). Dans la finance, un compte volé ouvre la porte aux fraudes au virement et aux fuites de données clients.[2]
- 03
Le risque porté par les prestataires TIC
Cloud, infogérance, éditeurs : les autorités européennes ont désigné le 18 novembre 2025 dix-neuf prestataires TIC critiques, supervisés directement. Pour tous les autres, le contrôle vous revient.[3]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- En vigueur
DORA
Cadre de gestion du risque TIC approuvé par la direction, registre d'information des contrats avec les prestataires TIC, programme de tests de résilience (et tests d'intrusion fondés sur la menace, TLPT, pour les entités désignées), partage d'informations sur les menaces.
- En vigueur
Notifier les incidents majeurs
Notification initiale dans les 4 heures suivant la classification comme majeur et au plus tard 24 heures après la détection, rapport intermédiaire sous 72 heures, rapport final sous un mois (règlement délégué (UE) 2025/301).
- Selon votre situation
DORA ou NIS2 ?
Pour une entité financière, DORA s'applique à la place de NIS2 sur la gestion du risque TIC et la notification des incidents. Les acteurs hors du champ de DORA peuvent relever de NIS2, dont la loi française de transposition n'est pas encore votée.
- En vigueur
RGPD
Données clients : sécurité adaptée au risque (article 32), analyse d'impact pour le profilage et le scoring, notification des violations à la CNIL sous 72 heures.
Pour décider
Prestataires TIC : ce que DORA change
Que vous soyez une entité financière ou son fournisseur :
- Entité financière : vos contrats avec les prestataires TIC doivent prévoir niveaux de service, localisation des données, droits d'audit, notification des incidents et stratégie de sortie (article 30). Demandez-les à chacun de vos prestataires, nous compris.
- Prestataire d'une banque ou d'un assureur : attendez-vous à des questionnaires, des audits et des clauses DORA. Un plan d'action documenté et des tests réguliers vous y préparent.
- Un test de résilience n'est pas forcément un TLPT. Pour la plupart des entités, tests d'intrusion ciblés, tests de restauration et exercices de crise démontrent la démarche ; les TLPT ne concernent que les entités désignées par l'autorité.
- Notre offre dédiée de conformité DORA est en préparation : son prix et son calendrier figurent sur la page Tarifs.
- Le nom et le CV de l'intervenant figurent dans la proposition, avant signature : une information utile pour votre registre.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions du secteur financier
DORA s'applique-t-il à un courtier ou à une petite société de gestion ?
DORA vise une vingtaine de catégories d'entités financières, dont les sociétés de gestion et les intermédiaires d'assurance, avec des allègements pour les plus petites ; les intermédiaires d'assurance qui sont des micro, petites ou moyennes entreprises en sont exclus. Vérifiez votre statut auprès de l'ACPR ou de l'AMF.
Un pentest par an suffit-il pour DORA ?
Non. DORA demande un programme de tests proportionné (analyses de vulnérabilités, tests d'intrusion, tests de scénarios, tests de restauration), conduit au moins une fois par an sur les systèmes qui supportent des fonctions critiques ou importantes.
Pouvez-vous mener un TLPT ?
Non. Les TLPT suivent le cadre TIBER-EU, avec des exigences propres sur les testeurs et une supervision par l'autorité. Nous intervenons en amont : tests d'intrusion, exercices de crise et préparation des équipes.
En combien de temps faut-il notifier un incident majeur ?
Notification initiale dans les 4 heures suivant sa classification comme majeur, et au plus tard 24 heures après sa détection ; rapport intermédiaire sous 72 heures ; rapport final sous un mois.
Sources (5)Afficher
- [1]Banque de France, rapport de l'Observatoire de la sécurité des moyens de paiement 2025 (septembre 2026)
- [2]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [3]ESMA, DORA et liste des prestataires TIC critiques désignés (2025)
- [4]Règlement (UE) 2022/2554 (DORA), EUR-Lex (2022)
- [5]Règlement délégué (UE) 2025/301 (notification des incidents majeurs), EUR-Lex (2025)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).