Le 17 janvier 2025, le règlement DORA (Digital Operational Resilience Act) est entré en application. Son objectif : renforcer la résilience numérique du secteur financier européen. Banques, assureurs, gestionnaires de fonds, mais aussi intermédiaires d'assurance de grande taille.
Quand un courtier entend "résilience numérique", "gestion des risques TIC" et "tests de pénétration", la réaction naturelle est de se demander si tout ça le concerne vraiment. La réponse courte : non si votre bureau est une micro, petite ou moyenne entreprise, car la FSMA exclut ces intermédiaires du règlement. Les bonnes pratiques ci-dessous restent utiles.
Êtes-vous concerné ?
La FSMA a publié une documentation pédagogique dédiée pour clarifier le sujet. Le règlement couvre les intermédiaires d'assurance, de réassurance et à titre accessoire, mais exclut ceux qui sont des micro, petites ou moyennes entreprises.
Un intermédiaire est pleinement soumis au règlement à partir de 250 travailleurs en équivalent temps plein, ou si son chiffre d'affaires dépasse 50 millions d'euros et son total de bilan 43 millions d'euros.
Ce que vous devez faire concrètement
Voici cinq bonnes pratiques, inspirées des thèmes de DORA, pour un bureau de 2 à 10 personnes.
1. Identifier vos prestataires TIC critiques. Listez tous les logiciels et services cloud que vous utilisez au quotidien : Portima, votre CRM, votre messagerie, votre solution de signature électronique, votre hébergeur web, votre outil de visioconférence. C'est votre registre de prestataires TIC. L'essentiel est de savoir de qui vous dépendez.
2. Vérifier vos contrats. Chaque prestataire TIC critique devrait avoir un contrat qui mentionne les niveaux de service, la localisation des données et les conditions de résiliation. Si votre CRM tourne sur un serveur dont vous ignorez la localisation, c'est un point à clarifier.
3. Mettre en place un minimum de sécurité. Authentification à deux facteurs sur vos comptes sensibles (email, CRM, Portima). Sauvegardes régulières. Mots de passe uniques et complexes. Un antivirus à jour. Ce sont des fondamentaux, pas des luxes.
4. Savoir réagir en cas d'incident. Si votre boîte mail est piratée, si vos données clients fuitent, si votre CRM est inaccessible pendant 24 heures : que faites-vous ? Pour les entités soumises à DORA, un incident majeur se notifie au plus tard 24 heures après sa détection, avec un rapport intermédiaire dans les 72 heures suivant la notification initiale. Préparez un document simple avec les contacts, la procédure et les responsabilités.
5. Documenter le tout. Un fichier partagé avec la liste de vos prestataires, vos mesures de sécurité et votre procédure d'incident suffit pour un petit bureau. L'objectif est de pouvoir démontrer que vous avez une approche structurée, proportionnelle à votre taille.
Le piège des dix outils
Beaucoup de courtiers utilisent un empilement d'outils : un CRM d'un côté, un logiciel de comparaison d'un autre, un outil d'emailing séparé, un hébergeur web différent, une solution de signature chez un cinquième prestataire. Chaque outil ajouté est un prestataire TIC supplémentaire à auditer, un contrat à vérifier, une surface de risque en plus.
Moins vous avez de prestataires critiques, moins votre exposition est élevée. Un écosystème intégré qui couvre plusieurs fonctions (site web, email marketing, gestion de la satisfaction) réduit mécaniquement le nombre de contrats à gérer et la complexité de votre registre TIC.
C'est l'une des raisons pour lesquelles nous avons conçu l'écosystème NextMove comme une plateforme intégrée : un seul prestataire pour votre site, votre newsletter et votre mesure de satisfaction. Une seule ligne dans votre registre de prestataires au lieu de trois.
Être soi-même en ordre
Le courtier qui vend de la cybersécurité à ses clients a intérêt à être lui-même en ordre.
Pas de panique, de la méthode
DORA n'a pas été conçu pour écraser les petits bureaux. Le principe de proportionnalité est inscrit dans le texte. Ce qu'il faut à un bureau de trois personnes, ce n'est pas un département IT dédié. C'est une démarche structurée, documentée, adaptée à votre réalité.
Cinq actions, un fichier partagé, et la certitude de savoir qui appeler quand ça tourne mal. C'est à la portée de chaque bureau. Et c'est le minimum pour dormir tranquille.