Le règlement sur la résilience opérationnelle numérique (DORA) s'applique aux banques, assureurs, établissements de paiement, prestataires de crypto-actifs et à leurs prestataires TIC critiques dans toute l'UE. Contrairement à un cadre que l'on adopte volontairement, DORA est un règlement avec une date : il s'applique depuis le 17 janvier 2025. La plupart des équipes de conformité y voient une obligation de journalisation et de notification d'incidents. De plus près, c'est aussi une obligation de preuve — et c'est dans cette moitié que se trouve la faille.
Ce que l'article 9 demande réellement
L'article 9 de DORA impose aux entités financières des politiques et des outils garantissant l'« authenticité, l'intégrité, la disponibilité et la confidentialité » des données — y compris celles des journaux et pistes d'audit servant à reconstituer les incidents. L'attente du superviseur n'est pas que vous ayez conservé les enregistrements. C'est que vous puissiez démontrer qu'il s'agit des originaux, non altérés, lorsqu'un régulateur ou une autorité de résolution le demande.
Une hypothèse tacite imprègne la plupart des implémentations : que le système qui a produit le journal est aussi un témoin fiable de l'intégrité de ce journal. La logique de résilience de DORA brise cette hypothèse. Si le système TIC est compromis — le scénario même pour lequel DORA existe —, sa propre attestation que les journaux sont intacts ne vaut pas grand-chose.
Là où « nous journalisons tout » montre ses limites
Une journalisation exhaustive est nécessaire et la plupart des entités régulées le font bien. La faille apparaît aux trois moments qui comptent le plus pour un superviseur :
- Reconstitution après un incident — DORA attend que vous reconstituiez la séquence des événements. Si les journaux résidaient dans le système compromis, la reconstitution repose sur des données qu'un attaquant a pu modifier.
- Enregistrements de tiers et de prestataires TIC — DORA s'étend aux prestataires critiques. Prouver que l'enregistrement d'un prestataire est intact est bien plus simple quand les deux parties vérifient face à une référence externe partagée plutôt que d'échanger des exports de journaux.
- Démonstration indépendante — un régulateur n'a pas à vous croire sur parole quant au bon fonctionnement des contrôles de rétention et d'immuabilité. Une intégrité que quiconque peut vérifier face à un ancrage externe transforme une affirmation en fait démontrable.
L'échéance est passée — pourquoi est-ce toujours un déclencheur d'achat ?
Janvier 2025 était la date d'application, pas le plateau de conformité. Les autorités de supervision ont passé la première année à recenser les entités et à évaluer les bases de référence. Le basculement en cours va de « avez-vous une politique ? » à « montrez-nous la preuve » — et la seconde question est celle à laquelle la preuve d'intégrité répond directement.
Les entités qui bougent en premier ne sont pas celles qui journalisent le plus mal. Ce sont celles dont les auditeurs et régulateurs ont commencé à poser la seconde question et qui préfèrent y répondre par un ancrage vérifiable plutôt que par une capture d'écran d'une politique de rétention.
Comment la preuve d'intégrité s'insère dans le flux DORA
Ajouter une couche de vérification ne remplace ni votre SIEM, ni votre pipeline de journaux, ni votre processus d'incident. Elle fonctionne en parallèle, scellant les enregistrements que ces systèmes produisent déjà :
Quand un superviseur vous demande de démontrer qu'un enregistrement d'audit donné est l'original, vous fournissez un paquet de preuve : le hachage de l'enregistrement, sa position dans l'arbre de Merkle et la référence sur la chaîne publique où la racine a été ancrée à un instant connu. Rien de tout cela n'exige que le régulateur fasse confiance au système qui a produit le journal — ce qui est précisément l'objet de DORA.
Qui en est responsable dans l'entité
DORA a confié le risque TIC à l'organe de direction, si bien que ceux qui interrogent sur la preuve d'intégrité sont de moins en moins des ingénieurs :
- Responsable conformité — porte la relation avec le régulateur et doit traduire « nous avons des contrôles » en « voici la preuve démontrable ».
- RSSI / risque TIC — porte la posture de résilience et sait que des journaux auto-attestés sont le maillon faible d'une reconstitution de brèche.
- Audit interne — porte la ligne d'assurance et profite d'une intégrité vérifiable sans dépendre du système audité.
Le cadrage honnête pour une conversation DORA
DORA ne nomme ni blockchain, ni arbres de Merkle, ni aucune technologie précise — et méfiez-vous de tout fournisseur qui prétend le contraire. Ce que DORA exige, c'est une intégrité démontrable à une partie indépendante. Ancrer des enregistrements sur une chaîne publique en est une voie structurellement solide, car la preuve ne dépend pas du bon comportement continu du système examiné. La question pour votre prochaine revue DORA est simple : pour chaque piste d'audit critique, pouvons-nous prouver à un régulateur qu'elle n'a pas changé — sans lui demander de faire confiance au système qui l'a produite ?
DORA ne demande pas si vous avez conservé les enregistrements. Il demande si vous pouvez prouver que ce sont les originaux — à quelqu'un qui n'a aucune raison de faire confiance au système qui les a produits.