Oui, la formation est une obligation écrite du règlement DORA, et elle vise deux publics. L'article 5, §4, du règlement (UE) 2022/2554 impose aux membres de l'organe de direction de suivre régulièrement une formation spécifique au risque lié aux TIC. L'article 13, §6, impose à l'entité financière d'intégrer à ses plans de formation des modules obligatoires de sensibilisation à la sécurité des TIC et de résilience opérationnelle numérique, pour tous les employés et pour la direction.
Dans la plupart des établissements, le sujet arrive par une question simple, posée en comité des risques ou lors d'un contrôle : « montrez-nous ce que vos équipes et votre direction ont suivi sur le risque TIC ». La difficulté n'est pas de trouver un support de formation. Elle est de pouvoir démontrer, population par population, qui a été formé, sur quoi, à quel niveau et quand. Ce guide reprend les textes mot à mot, puis décrit ce qu'un programme de formation DORA doit contenir et comment le rendre traçable.
Ce que DORA impose en matière de formation
Le règlement DORA est applicable depuis le 17 janvier 2025, sans transposition (article 64). Quatre dispositions organisent la formation, et elles se lisent ensemble.
Article 5, §4 : la formation de l'organe de direction
Le texte est précis : « Les membres de l'organe de direction de l'entité financière maintiennent activement à jour des connaissances et des compétences suffisantes pour comprendre et évaluer le risque lié aux TIC et son incidence sur les opérations de l'entité financière, notamment en suivant régulièrement une formation spécifique proportionnée au risque lié aux TIC géré. »
Trois mots portent l'obligation. « Activement » : une formation suivie une fois lors de la nomination ne suffit pas. « Régulièrement » : la formation se répète. « Spécifique » : un module générique de cybersécurité destiné à tout le personnel ne répond pas, à lui seul, à l'exigence faite aux dirigeants. Cette obligation est cohérente avec l'article 5, §2, qui confie à l'organe de direction « la responsabilité ultime de la gestion du risque lié aux TIC ».
Article 13, §6 : des modules obligatoires pour tout le personnel
Le second texte vise l'ensemble de l'organisation : « Les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu'elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires. Ces programmes et formations sont destinés à tous les employés et aux membres de la direction et présentent un niveau de complexité proportionné à leurs fonctions. »
Deux conséquences pratiques. D'abord, ces modules ne sont pas optionnels : ils font partie du plan de formation, au même titre que les formations réglementaires déjà connues du secteur. Ensuite, un contenu unique pour tous ne suffit pas : le niveau de complexité doit suivre la fonction exercée.
Les prestataires TIC tiers, par le contrat
L'article 13, §6, ajoute que, « le cas échéant », les entités financières incluent leurs prestataires tiers de services TIC dans leurs programmes de formation, conformément à l'article 30, §2, point i). Ce point i) fait des « conditions de participation des prestataires tiers de services TIC aux programmes de sensibilisation à la sécurité des TIC et aux formations à la résilience opérationnelle numérique » une clause obligatoire des contrats de services TIC. La formation des prestataires se règle donc d'abord dans le contrat.
Le budget, voté par la direction
L'article 5, §2, point g), charge l'organe de direction d'allouer et de réexaminer périodiquement le budget de résilience opérationnelle numérique, « y compris les programmes pertinents de sensibilisation à la sécurité des TIC et les formations pertinentes à la résilience opérationnelle numérique visés à l'article 13, paragraphe 6 ». La formation n'est pas seulement un sujet RH : c'est une ligne budgétaire que la direction doit approuver et revoir.
Qui doit être formé, et à quel niveau ?
L'article 13, §6, vise « tous les employés et les membres de la direction ». En pratique, la proportionnalité conduit à distinguer au moins cinq populations :
- L'organe de direction (conseil d'administration ou de surveillance, direction générale) : lecture du risque TIC, appétence et tolérance au risque, arbitrages budgétaires, rôle en cas d'incident majeur.
- Les fonctions TIC et sécurité : un niveau technique élevé, aligné sur les politiques de l'entité et sur les enseignements des incidents et des tests.
- Les métiers exposés (paiements, front office, relation client, comptabilité, achats) : reconnaissance des fraudes et des tentatives d'ingénierie sociale, réflexes de signalement.
- Les fonctions de contrôle (conformité, risques, audit interne) : compréhension du cadre DORA pour en vérifier l'application.
- Les prestataires TIC tiers, lorsque le contrat le prévoit.
Le régime allégé ne supprime pas l'obligation. Les entités soumises au cadre simplifié de l'article 16 (petites entreprises d'investissement non interconnectées, établissements de paiement et de monnaie électronique exemptés, petites institutions de retraite professionnelle) doivent elles aussi élaborer, selon l'article 16, §1, point h), « des programmes de sensibilisation en matière de sécurité des TIC et de formation à la résilience opérationnelle numérique à l'intention du personnel et de la direction ». Et l'article 13, §6, ne prévoit aucune exception pour les microentreprises.
Que mettre dans un programme de formation DORA ?
Le règlement fixe l'obligation, pas le programme. Les thèmes ci-dessous découlent des autres articles de DORA et de son règlement délégué (UE) 2024/1774 : chacun correspond à une obligation que les collaborateurs doivent pouvoir appliquer.
Phishing et ingénierie sociale
Un module efficace montre des cas réels du secteur : faux ordre de virement, usurpation d'un dirigeant ou d'un prestataire, page de connexion contrefaite, demande urgente de changement de coordonnées bancaires. L'objectif n'est pas de faire peur, mais d'installer un réflexe : vérifier par un second canal et signaler.
Détecter et signaler un incident
Le pilier « incidents » de DORA impose des délais courts. Selon l'article 5 du règlement délégué (UE) 2025/301, la notification initiale d'un incident majeur intervient dans les 4 heures suivant sa classification comme majeur, et au plus tard 24 heures après que l'entité en a eu connaissance. Ce compteur dépend du premier collaborateur qui remarque une anomalie. Le règlement délégué (UE) 2024/1774 en tire la conséquence : son article 19 impose que les membres du personnel connaissent les canaux de notification mis en place pour la détection des comportements anormaux. Pour mesurer ce que ces déclarations donnent à l'échelle européenne, voir notre actualité sur le premier bilan des incidents TIC majeurs publié par les superviseurs européens.
Prestataires et sous-traitance TIC
Les achats, les métiers qui souscrivent un outil SaaS et les équipes informatiques doivent savoir qu'un nouveau service TIC n'est pas un simple achat : il entre au registre d'informations (article 28, §3) et son contrat doit comporter les clauses de l'article 30. Le même article 19 du règlement délégué 2024/1774 vise d'ailleurs aussi le personnel des prestataires qui accède aux actifs TIC de l'entité. Sur les attentes les plus récentes du superviseur bancaire, voir les orientations finales de l'EBA alignées sur le registre DORA.
Continuité d'activité et gestion de crise
Les plans de continuité et de rétablissement (article 11) ne fonctionnent que si chacun connaît son rôle : qui alerter, quels outils de repli utiliser, quoi dire et ne pas dire aux clients. Les enseignements des tests et des incidents réels doivent être intégrés « de manière continue » (article 13, §3) : un module de formation qui ne change jamais après un incident est un signal faible pour un contrôleur.
Le module dédié à la direction
Pour l'organe de direction, la formation porte moins sur les réflexes que sur la décision : lire une cartographie des risques TIC, fixer le niveau de tolérance au risque (article 6, §8), approuver la politique de continuité, comprendre la concentration sur quelques prestataires, et savoir ce qui est attendu de la direction pendant les premières heures d'un incident majeur.
Fréquence et traçabilité : ce qu'il faut pouvoir démontrer
DORA ne fixe pas de fréquence chiffrée. Le texte dit « régulièrement » pour la direction et « modules obligatoires » pour le personnel. En pratique, un rythme annuel minimal complété par des rappels plus courts, et une mise à jour après chaque incident significatif, permet de répondre à ces deux termes. C'est un choix d'organisation, à documenter, pas une exigence chiffrée du règlement.
Ce qui compte, devant l'ACPR ou l'AMF, c'est la preuve. Un dossier de formation DORA solide contient :
- le plan de formation, avec les modules DORA identifiés comme obligatoires et leur public cible ;
- la correspondance entre chaque population et le niveau de complexité du contenu (article 13, §6) ;
- les taux de réalisation par population, datés, et les relances effectuées ;
- les résultats des évaluations (quiz, simulations de phishing) et leur évolution ;
- la trace des sessions suivies par chaque membre de l'organe de direction (article 5, §4) ;
- la décision budgétaire de la direction (article 5, §2, point g)) ;
- les clauses de formation prévues dans les contrats TIC concernés (article 30, §2, point i)).
Pourquoi le micro-learning est adapté aux exigences de DORA
Une session annuelle de deux heures coche une case mais s'oublie vite. Trois caractéristiques des formats courts répondent mieux à la lettre du texte.
- La répétition. Des séquences de quelques minutes, réparties dans l'année, entretiennent les réflexes que la direction doit « maintenir activement » et que le personnel doit appliquer sous pression.
- Les contenus par métier. Découper la formation en modules courts permet de composer un parcours par population, ce qui répond directement à l'exigence de complexité « proportionnée à leurs fonctions ».
- La traçabilité. Chaque module suivi et chaque réponse sont enregistrés : le dossier de preuve se constitue au fil de l'eau, sans tableur à reconstituer avant un contrôle.
Le micro-learning a aussi ses limites, qu'il vaut mieux assumer : il ne remplace ni les exercices de gestion de crise, ni les tests de résilience prévus aux articles 24 et 25, ni la formation technique approfondie des équipes de sécurité. Il couvre le socle commun et l'entretien des réflexes.
Articuler la formation DORA avec les autres formations obligatoires
Une entité financière cumule plusieurs obligations de formation. Les traiter dans un plan unique évite les doublons et la fatigue des collaborateurs.
- LCB-FT : le Code monétaire et financier impose la formation des collaborateurs à la lutte contre le blanchiment. Notre guide sur la formation LCB-FT détaille son contenu et ce que contrôle l'ACPR.
- RGPD : l'article 39 du RGPD confie au DPO la sensibilisation et la formation du personnel participant aux traitements. Voir notre guide sur la sensibilisation RGPD.
- AI Act : depuis le 2 février 2025, l'article 4 du règlement (UE) 2024/1689 impose aux fournisseurs et aux déployeurs de systèmes d'IA de garantir un niveau suffisant de maîtrise de l'IA à leur personnel.
- NIS 2 : pour une entité financière, DORA est l'acte sectoriel qui prévaut sur les dispositions équivalentes de NIS 2, dont l'article 20 sur la formation des dirigeants. Voir DORA, NIS 2, RGPD : quel texte s'applique à votre organisation ? et, pour les entités hors secteur financier, les obligations NIS 2.
Les thèmes se recoupent largement : un module phishing sert à la fois DORA, NIS 2 et la protection des données. Pour comparer les formats disponibles, voir notre sélection d'outils de sensibilisation à la cybersécurité. Le texte du règlement DORA est disponible sur EUR-Lex : règlement (UE) 2022/2554 au format PDF.
Questions fréquemment posées
La formation DORA est-elle obligatoire ?
Oui. L'article 13, §6, du règlement (UE) 2022/2554 impose aux entités financières d'intégrer à leurs programmes de formation, sous forme de modules obligatoires, une sensibilisation à la sécurité des TIC et une formation à la résilience opérationnelle numérique. L'article 5, §4, impose en plus aux membres de l'organe de direction de suivre régulièrement une formation spécifique au risque lié aux TIC.
Qui doit être formé au titre de DORA ?
Tous les employés et les membres de la direction de l'entité financière, avec un niveau de complexité proportionné à leurs fonctions (article 13, §6). Les entités soumises au cadre simplifié de l'article 16 et les microentreprises ne sont pas dispensées. Les prestataires TIC tiers sont inclus le cas échéant, selon les conditions prévues au contrat.
À quelle fréquence former les équipes et la direction ?
DORA ne fixe pas de fréquence chiffrée. Il exige une formation « régulière » de la direction et des modules obligatoires dans le plan de formation du personnel. Un rythme annuel minimal, complété par des rappels courts et une mise à jour après chaque incident significatif, est une pratique courante, à documenter dans le plan de formation.
Les prestataires TIC doivent-ils être formés ?
Le cas échéant, oui. L'article 13, §6, prévoit d'inclure les prestataires tiers de services TIC dans les programmes de formation pertinents, et l'article 30, §2, point i), impose de fixer dans le contrat les conditions de leur participation. C'est donc au moment de la rédaction ou de la renégociation du contrat que le sujet se règle.
Comment prouver la formation au superviseur ?
En conservant un dossier daté : plan de formation identifiant les modules DORA obligatoires, parcours par population, taux de réalisation, résultats des évaluations, sessions suivies par chaque membre de la direction, décision budgétaire de l'organe de direction et clauses de formation des contrats TIC. Une plateforme qui enregistre chaque module suivi simplifie la constitution de ce dossier.
Sensibiliser vos équipes et votre direction à DORA
Leto propose des modules de micro-learning pour sensibiliser vos collaborateurs et votre direction aux risques TIC et à la résilience opérationnelle numérique : découvrir l'offre de sensibilisation.
