DORA : l'impact sur le recrutement cyber dans la finance
DORA : quels profils cyber recruter dans la banque, l'assurance et la finance pour tenir le risque informatique, les incidents, les tests et les prestataires.
Depuis le 17 janvier 2025, le règlement DORA s'applique aux banques, assureurs, entreprises d'investissement, établissements de paiement et à de nombreux autres acteurs financiers. Beaucoup d'équipes sécurité ont d'abord traité le sujet comme un projet de conformité. Elles découvrent ensuite qu'il s'agit surtout d'une question de compétences : qui va piloter le risque informatique, tenir le registre des prestataires, qualifier un incident majeur ou coordonner un test d'intrusion fondé sur la menace ? Cet article relie les exigences du texte aux profils à recruter, et propose une manière de prioriser.
DORA en bref
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, est disponible sur eur-lex.europa.eu. Contrairement à la directive NIS2, c'est un règlement : il s'applique directement dans tous les États membres, sans transposition. Pour les entités financières qu'il couvre, il joue le rôle de règle sectorielle spécifique par rapport à NIS2.
En France, la supervision relève principalement de l'ACPR et de l'AMF, selon le type d'entité. Le texte est complété par des normes techniques (RTS et ITS) qui précisent les modalités, par exemple les critères de classification des incidents ou le format du registre d'information.
Deux principes comptent pour le recrutement :
- La proportionnalité. L'article 4 prévoit que les mesures tiennent compte de la taille, du profil de risque et de la nature des activités. Certaines petites entités bénéficient d'un cadre simplifié (article 16).
- La responsabilité de la direction. L'article 5 rend l'organe de direction responsable du cadre de gestion du risque informatique. Ses membres doivent entretenir des connaissances suffisantes, notamment par une formation régulière.
Cet article ne remplace pas une analyse juridique. Le périmètre exact et les obligations applicables à votre entité sont à vérifier avec vos équipes conformité et vos autorités de supervision.
Les cinq piliers et ce qu'ils demandent en compétences
DORA s'organise autour de cinq grands chapitres d'obligations. Chacun appelle des savoir-faire différents.
Gestion du risque informatique
Le chapitre II demande un cadre de gestion du risque lié aux technologies de l'information et de la communication (TIC) : identification des actifs et des dépendances, protection, détection, réponse, rétablissement, sauvegardes, continuité d'activité. L'article 6 prévoit aussi de confier la gestion et le suivi de ce risque à une fonction de contrôle disposant d'une indépendance appropriée, distincte des équipes opérationnelles et de l'audit interne.
Concrètement, cette exigence fait naître ou grossir un poste de deuxième ligne : un responsable du risque informatique capable de challenger la DSI, de suivre les plans d'action et de rendre compte à la direction.
Gestion et notification des incidents
Le chapitre III impose un processus de gestion des incidents liés aux TIC, une classification selon des critères définis, et la notification des incidents majeurs à l'autorité compétente en plusieurs étapes (notification initiale, rapport intermédiaire, rapport final). Les délais sont fixés par les normes techniques associées.
Tenir ces étapes suppose de détecter vite, de qualifier correctement et de documenter l'incident pendant qu'il se déroule. C'est un travail de SOC et de réponse à incident, mais aussi de coordination avec la conformité.
Tests de résilience opérationnelle numérique
Le chapitre IV demande un programme de tests proportionné : évaluations de vulnérabilités, revues de code, tests de scénarios, tests d'intrusion, entre autres. Les entités désignées par les autorités doivent en plus mener, en principe tous les trois ans, des tests d'intrusion fondés sur la menace (TLPT, pour threat-led penetration testing), inspirés du cadre européen TIBER-EU. L'article 27 fixe des exigences sur les testeurs et encadre le recours à des testeurs internes.
Risque lié aux prestataires tiers de TIC
Le chapitre V est souvent le plus lourd en charge de travail. Il demande une stratégie sur le risque des prestataires, un registre d'information recensant les accords contractuels avec les prestataires de services TIC, des clauses contractuelles minimales (article 30) et des stratégies de sortie. Les prestataires jugés critiques au niveau européen font en outre l'objet d'une supervision par les autorités européennes de surveillance.
Partage d'informations
Le chapitre VI permet aux entités financières d'échanger des informations sur les menaces au sein de dispositifs de confiance. C'est une possibilité plutôt qu'une obligation, mais elle suppose des personnes capables d'exploiter et de partager du renseignement sur la menace.
Des exigences aux profils
| Exigence DORA | Profil principal | Ce qu'il apporte |
|---|---|---|
| Responsabilité de la direction, feuille de route | RSSI / CISO | Porte le sujet au comité de direction, arbitre, rend compte |
| Fonction de contrôle du risque informatique | Responsable risque informatique, profil GRC senior | Cadre de gestion du risque, indicateurs, challenge de la première ligne |
| Registre d'information, clauses contractuelles | Analyste risque prestataires TIC | Inventaire des contrats, évaluation des prestataires, suivi des engagements |
| Classification et notification des incidents | Analyste SOC, spécialiste réponse à incident | Détection, qualification, chronologie factuelle pour les rapports |
| Programme de tests, TLPT | Responsable des tests de sécurité, pentester, red teamer | Pilotage des campagnes, lecture critique des résultats, coordination des TLPT |
| Continuité et rétablissement | Responsable continuité d'activité | Plans de continuité, exercices, tests de restauration |
| Sécurité du cloud et des identités | Ingénieur sécurité cloud, ingénieur IAM | Mesures techniques de protection, gestion des accès |
| Contrôle indépendant | Auditeur informatique (troisième ligne) | Revue du cadre et de son efficacité |
Comme pour NIS2, un même profil couvre souvent plusieurs lignes dans une entité de taille moyenne. L'enjeu est d'éviter qu'une ligne reste sans responsable, et de respecter la séparation entre ceux qui opèrent et ceux qui contrôlent. Notre article sur les profils à recruter pour NIS2 détaille la même démarche hors secteur financier.
Les profils les plus disputés
Le responsable du risque informatique
C'est souvent le poste le plus difficile à pourvoir. Il faut une double culture : comprendre une architecture, un plan de reprise ou une chaîne de dépendances cloud, et maîtriser les codes du risque opérationnel et de la supervision bancaire. Les candidats viennent généralement de la GRC, de l'audit informatique ou du conseil en risques. Notre guide pour recruter un analyste GRC donne une base d'évaluation, à compléter par une mise en situation sur un cas propre au secteur financier.
L'analyste risque prestataires
Le registre d'information et la revue des contrats demandent de la rigueur, de la ténacité et une aisance avec les achats et le juridique. Ce profil peut venir de la conformité, des achats ou de la GRC. Il est fréquemment sous-estimé, alors que c'est lui qui débloque une grande partie du chapitre V.
Le pilote des tests de résilience
Même quand les TLPT sont réalisés par un prestataire externe, l'entité doit les préparer, définir le périmètre, coordonner l'équipe de contrôle interne et exploiter les résultats. Un ancien pentester ou red teamer qui sait parler aux métiers est précieux. Pour évaluer ces compétences, voir notre guide pour recruter un pentester.
Le responsable de la réponse à incident
La notification des incidents majeurs exige des faits vérifiés, vite. Un responsable réponse à incident structure le processus, prépare les modèles de rapport avec la conformité et organise des exercices. Voir notre article pour recruter un responsable de la réponse à incident.
Prioriser ses recrutements
Pour une entité qui renforce son équipe face à DORA, voici un ordre qui fonctionne souvent :
- Clarifier le pilotage. Un RSSI identifié et une fonction de contrôle du risque informatique distincte. Sans eux, les autres recrutements manquent de cadre. Voir notre guide pour recruter un RSSI.
- Traiter les prestataires. Un analyste risque prestataires, car le registre et la revue des contrats prennent du temps et dépendent de nombreux interlocuteurs.
- Sécuriser la chaîne incident. Détection, qualification et notification : un SOC (interne ou managé) piloté par une personne interne, et une capacité de réponse à incident.
- Structurer les tests. Un pilote du programme de tests, en particulier si votre entité est susceptible d'être désignée pour des TLPT.
- Renforcer la troisième ligne. Un auditeur informatique capable de vérifier l'efficacité du dispositif.
L'ordre se module selon votre point de départ. Une banque déjà dotée d'un SOC mature mettra l'accent sur le risque prestataires ; un établissement de paiement en forte croissance commencera souvent par le pilotage.
Les pièges à éviter
- Chercher « un profil DORA ». Ce métier n'existe pas. Partez des exigences non couvertes et recrutez les compétences correspondantes.
- Confondre les lignes de défense. Placer la fonction de contrôle du risque sous la DSI qu'elle doit challenger affaiblit son indépendance.
- Tout externaliser. Recourir à des prestataires est légitime, mais la responsabilité reste chez l'entité financière. Il faut en interne des personnes capables de piloter et de lire les livrables.
- Recruter sur le seul vocabulaire réglementaire. Un candidat qui cite les articles du texte n'est pas forcément capable de qualifier un incident ou de revoir un contrat cloud. Évaluez sur des cas pratiques.
- Sous-estimer la concurrence. Tout le secteur financier recrute les mêmes profils en même temps. Un processus lent fera perdre les meilleurs candidats.
En résumé
DORA ne crée pas de nouveaux métiers, mais il rend indispensables des fonctions que beaucoup d'entités financières avaient laissées diffuses : un contrôle indépendant du risque informatique, une gestion rigoureuse des prestataires, une chaîne incident capable de notifier vite et un programme de tests piloté. Identifiez les trous, respectez la séparation des rôles, puis recrutez dans l'ordre qui réduit le plus vite votre exposition.
Vous renforcez votre équipe pour répondre à DORA ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques adaptés au poste. Découvrez notre méthode ou partagez votre besoin.