Réglementation IT · 6 min de lecture
Depuis le 17 janvier 2025, DORA est entré en application. Et depuis cette date, je reçois régulièrement la même question de la part de family offices : « Est-ce que ça nous concerne vraiment ? »
Réponse courte : ça dépend. Réponse utile : lisez ce qui suit.
Qui est vraiment concerné ?
DORA cible les entités financières soumises à agrément. Si votre family office est agréé AMF en France ou FSMA en Belgique, ou si vous gérez des actifs pour compte de tiers sous délégation formelle, vous êtes probablement dans le périmètre. C’est le cas notamment des gestionnaires de fonds alternatifs (AIFM) et des sociétés de gestion de portefeuille.
Les family offices purement familiaux, sans activité de gestion pour tiers et sans agrément, sont généralement hors champ. Mais la frontière est parfois plus floue qu’elle n’y paraît — une co-gestion avec un proche extérieur à la famille peut suffire à faire basculer la qualification.
En cas de doute, la question mérite cinq minutes avec votre juriste, pas un an d’attente.
Ce que DORA impose concrètement
Le règlement s’articule autour de cinq axes. Je vais être direct sur ce qui compte vraiment pour une structure de taille intermédiaire.
La gestion du risque informatique. Vous devez documenter vos systèmes critiques, identifier les dépendances, et démontrer que vous avez une politique de sécurité. Ce n’est pas un audit annuel — c’est un processus continu. La plupart des structures que j’accompagne n’ont pas de cartographie IT à jour. C’est le premier chantier.
La gestion des incidents. Un incident de sécurité doit être détecté, documenté et reporté. Pas forcément à un régulateur dans tous les cas, mais tracé en interne. Si vous n’avez pas de procédure minimale, le jour où quelque chose arrive, vous perdrez deux fois : sur l’incident lui-même, et sur l’absence de traçabilité.
Les tests de résilience. DORA demande que vous testiez effectivement votre capacité à récupérer après un incident. Pas juste à « avoir des sauvegardes ». Tester, c’est restaurer dans un environnement de test, mesurer le temps, documenter le résultat. La différence entre une sauvegarde et une sauvegarde testée, c’est la différence entre une assurance et une vraie protection.
La gestion des tiers. Votre MSP, votre hébergeur, votre éditeur de logiciels — ils font partie de votre surface de risque. DORA exige que vos contrats avec des prestataires critiques contiennent des clauses spécifiques : audit, continuité, notification d’incident. Si vos contrats datent d’avant 2023, il y a de fortes chances qu’ils ne couvrent pas ces exigences.
Le partage d’informations. Moins structurant pour la plupart des petites structures. À traiter en dernier.
L’état réel de la plupart des structures
Je ne vais pas tourner autour du pot : la quasi-totalité des family offices de taille intermédiaire que j’ai audités étaient en retard sur ces points. Pas d’inventaire IT documenté, sauvegardes jamais testées depuis des mois, contrats prestataires sans clause de sécurité, aucun plan de continuité écrit.
Ce n’est pas un jugement — c’est simplement que personne n’avait jamais posé la question sous cet angle. DORA force à se la poser.
Par où commencer si vous partez de zéro
Trois chantiers, dans cet ordre.
D’abord l’inventaire : dressez la liste de vos systèmes critiques (messagerie, CRM, comptabilité, stockage de documents). Une journée de travail suffit pour une première version utilisable. C’est la base sur laquelle tout le reste s’appuie.
Ensuite les sauvegardes : testez-les. Pas juste vérifiez qu’elles tournent — restaurez réellement un jeu de données dans un environnement isolé. Si vous ne l’avez pas fait dans les six derniers mois, faites-le cette semaine.
Enfin les contrats tiers : regardez ce que dit le contrat de votre prestataire IT principal sur la sécurité, la notification d’incident, les audits. Si ces clauses n’existent pas, c’est une conversation à avoir lors du prochain renouvellement — ou avant.
DORA n’est pas conçu pour paralyser des structures qui fonctionnent bien. Il est conçu pour forcer à documenter ce qui devrait déjà exister. Autant s’en servir.