Entré en application le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act) a rebattu les cartes de la conformité dans le secteur financier. Longtemps cantonnée aux équipes IT et cybersécurité, la résilience opérationnelle numérique est désormais une responsabilité partagée avec les directions conformité, et un nouveau front de recrutement sur des profils hybrides particulièrement rares.
🔍 Ce que vous allez découvrir...
DORA, de quoi s'agit-il ?
Le règlement DORA impose à la quasi-totalité des acteurs du secteur financier européen (établissements bancaires, sociétés de gestion, infrastructures de marché, entreprises d’investissement, mais aussi prestataires de services sur crypto-actifs et plateformes de financement participatif) un cadre commun de gestion des risques liés aux technologies de l’information et de la communication (TIC). Les entités de plus petite taille bénéficient de régimes de conformité simplifiés, mais aucun acteur régulé n’échappe totalement au dispositif.
DORA repose sur quatre piliers opérationnels :
- La gouvernance et la gestion des risques TIC. Cartographie des risques, politiques de sécurité, plans de continuité d’activité et de gestion de crise.
- La notification des incidents majeurs, avec un calendrier strict détaillé plus bas.
- Les tests de résilience opérationnelle. Tests de vulnérabilité, tests d’intrusion et simulations de crise, réalisés annuellement, avec des tests avancés fondés sur la menace tous les trois ans pour les entités les plus importantes.
- La gestion du risque lié aux prestataires tiers TIC. Tenue d’un registre à jour des prestataires, clauses contractuelles de protection, et stratégies de sortie pour les fonctions critiques externalisées.
Le compte à rebours des 4 heures : la notification des incidents
C’est le pilier qui structure le plus directement l’organisation interne des équipes. Une fois un incident classé comme majeur, trois échéances s’enchaînent : notification initiale dans les 4 heures suivant la classification (et au plus tard 24 heures après la détection), rapport intermédiaire dans les 72 heures suivant la notification initiale, puis rapport final sous un mois.
En France, le canal de déclaration dépend de l’autorité de tutelle. Les banques, assureurs et établissements de paiement relevant de l’ACPR déclarent via le portail OneGate. Les sociétés de gestion, entreprises d’investissement et prestataires sur actifs numériques relevant de l’AMF utilisent la messagerie sécurisée Sesterce pour les incidents, et l’interface ROSA pour le registre annuel des prestataires tiers. Un groupe mixte, soumis aux deux autorités, doit donc gérer deux interlocuteurs et deux portails distincts.
Sanctions et pouvoirs de contrôle
DORA ne fixe pas de plafond européen unique pour les entités financières : l’article 50 du règlement (UE) 2022/2554 renvoie chaque État membre à son propre droit national, à condition que les sanctions restent effectives, proportionnées et dissuasives. En France, l’ACPR et l’AMF disposent chacune du pouvoir de prononcer des injonctions de mise en conformité, des suspensions temporaires d’activité et, dans les cas les plus graves, un retrait d’agrément.
Le règlement fixe en revanche un montant harmonisé pour les prestataires tiers de services TIC désignés comme critiques au niveau européen : jusqu’à 1 % de leur chiffre d’affaires mondial journalier moyen, pendant six mois maximum.
Pourquoi DORA complique le recrutement
DORA a un effet direct et documenté sur le marché de l’emploi conformité et IT risk : les entités financières, notamment les plus petites structures, rencontrent des difficultés croissantes à recruter les bons profils, ce qui les pousse parfois à recourir à des prestataires externes à coût supplémentaire.
Ce constat s’inscrit dans une pénurie plus large : le secteur de la cybersécurité comptait un déficit mondial estimé à près de 5 millions de postes en 2024 (étude ISC2 Cybersecurity Workforce Study). Face à cette tension, les entreprises déploient des stratégies diversifiées pour couvrir leurs besoins compliance et IT risk liés à DORA :
- Miser sur la formation interne de collaborateurs déjà en poste
- Recruter directement des profils seniors, déjà opérationnels
- Développer des programmes d’alternance pour former leurs futurs talents
- Recruter des profils non-IT (finance, juridique) en reconversion vers ces enjeux de digitalisation
Le profil recherché : hybride, entre conformité, IT et cyber
C’est là le vrai changement de paradigme introduit par DORA : les entités ne cherchent plus seulement des experts techniques en cybersécurité, ni de purs juristes conformité, mais des profils capables de faire le lien entre les deux mondes. Concrètement, cela se traduit par une recherche accrue de :
- Compliance Officers capables de dialoguer avec les équipes IT sur la cartographie des risques et les registres de prestataires
- Risk Managers TIC connaissant à la fois le cadre réglementaire et les enjeux opérationnels de la DSI
- Chefs de projet conformité réglementaire pilotant la mise en œuvre des obligations en central
- Juristes réglementaires spécialisés en droit du numérique et des contrats IT, pour sécuriser les clauses avec les prestataires critiques
Au-delà des compétences techniques, rapidement datées face à l’évolution des menaces, les recruteurs valorisent de plus en plus la capacité d’apprentissage continu et l’adaptabilité, plus déterminantes à moyen terme que la seule maîtrise d’un référentiel réglementaire figé. Ce profil hybride se distingue de celui, plus généraliste, du Compliance Officer classique, dont nous détaillons les missions et les niveaux de rémunération dans notre fiche Compliance Officer / Responsable Conformité.
Un marché de l'emploi déjà très actif
Le volume d’offres liées à la conformité DORA a fortement progressé depuis l’entrée en application du règlement : plusieurs centaines d’offres d’emploi mentionnant explicitement DORA sont aujourd’hui publiées en continu sur les plateformes généralistes, un niveau d’activité qui confirme la structuration progressive de cette nouvelle brique de la fonction conformité au sein des directions des risques et des directions IT.
DORA s’inscrit dans un mouvement réglementaire plus large, entre MiCA sur les crypto-actifs et l’AI Act sur l’intelligence artificielle, qui redessine en profondeur les besoins de recrutement conformité. Nous avons détaillé cette dynamique d’ensemble dans notre article Recrutement Compliance 2026 : l’impact de MiCA, DORA et l’AI Act.
Ce qu'il faut anticiper pour recruter efficacement
Sur ces profils hybrides, rares par construction, l’approche directe reste la méthode la plus efficace : peu de candidats sont en recherche active, et l’essentiel du vivier qualifié doit être identifié et approché de façon proactive. C’est particulièrement vrai pour les postes combinant compliance et culture IT/cyber, où le sourcing généraliste atteint rapidement ses limites.
FAQ
DORA concerne-t-il uniquement les grandes banques ?
Non. Le règlement couvre la quasi-totalité des entités financières régulées, y compris les sociétés de gestion, les prestataires sur crypto-actifs et les plateformes de financement participatif, avec des exigences proportionnées selon la taille de l’entité.
Qui doit porter la conformité DORA en interne : l'IT ou la conformité ?
Les deux, de façon coordonnée. DORA impose une gouvernance conjointe : la direction conformité pilote le cadre réglementaire et la déclaration aux autorités, tandis que la DSI porte la mise en œuvre technique des dispositifs de résilience.
Quel est le délai pour notifier un incident majeur ?
La notification initiale doit intervenir dans les 4 heures suivant la classification de l’incident comme majeur, et au plus tard 24 heures après sa détection. Un rapport intermédiaire suit sous 72 heures, puis un rapport final sous un mois.
Pourquoi est-il si difficile de recruter sur ces postes ?
Parce que le profil recherché est hybride par nature, à la croisée de la réglementation financière, de l’IT et de la cybersécurité, sur un marché déjà en tension structurelle sur les compétences cyber.
Vous recrutez un profil Compliance/IT Risk lié à DORA ?
CreditJob identifie et approche directement les profils hybrides conformité/IT risk les plus recherchés du marché, sur des délais maîtrisés. Parlons de votre besoin de recrutement.