CONFORMITÉ · DORA
MDR DORA : SOC managés pour banques, assurances et FinTech
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) est entré en application le 17 janvier 2025. Contrairement à NIS2, il s'agit d'un règlement directement applicable : pas de transposition nationale, application uniforme dans toute l'UE. Le périmètre est précis : établissements de crédit, entreprises d'investissement, prestataires de services de paiement, organismes d'assurance et de réassurance, sociétés de gestion d'OPCVM/FIA, agences de notation, dépositaires centraux, contreparties centrales, prestataires de services sur cryptoactifs (MiCA), prestataires de financement participatif. Soit, en pratique, l'essentiel de la chaîne de la finance régulée européenne.
DORA repose sur cinq piliers : gouvernance et gestion des risques TIC (chapitre II), gestion des incidents TIC (chapitre III), tests de résilience opérationnelle numérique (chapitre IV), gestion des risques liés aux prestataires tiers TIC (chapitre V), partage d'informations (chapitre VI). Le pilier qui structure le marché MDR est le chapitre V : toute entité financière doit tenir un registre d'informations sur ses prestataires TIC, en informer ses autorités compétentes, et faire approuver les clauses contractuelles obligatoires. Lorsque le MDR est jugé « prestataire de fonctions essentielles ou importantes », la barre monte : audit obligatoire, plan de sortie, clauses de localisation des données et de sous-traitance encadrées.
Deuxième élément structurant : les tests de résilience numérique avancés, dits TLPT (Threat-Led Penetration Testing). Les entités financières « significatives » au sens DORA doivent en réaliser au moins tous les trois ans. La méthodologie de référence est TIBER-EU, déjà déployée par l'Eurosystème. Le MDR n'est pas l'exécutant TLPT (rôle réservé à des testeurs accrédités), mais il est en première ligne pour absorber le scénario red team et démontrer la capacité de détection-réponse. Les autorités européennes de surveillance (EBA, EIOPA, ESMA) supervisent désormais directement les prestataires TIC critiques transverses au marché, dans un cadre nouveau pour le secteur cyber.
En pratique, un MDR DORA-compliant doit prouver trois choses : une gouvernance sécurité documentée et auditable (référentiel ISO 27001 ou équivalent), une couverture identité/cloud renforcée (les incidents financiers post-2023 ont quasiment tous transité par ces deux surfaces), et une capacité à absorber un TLPT — ce qui exige une maturité opérationnelle réelle, des playbooks éprouvés et un CERT structuré. DORA n'impose pas de capital européen au prestataire, mais l'article 28.4 introduit une exigence de sous-traitance « notifiée » qui rend les chaînes opaques inopérantes.
01 — PÉRIMÈTRE
Qui est concerné ?
Sont soumis à DORA en France : tous les établissements de crédit (BNP, Société Générale, Crédit Agricole, mutualistes), entreprises d'investissement (banques d'affaires, brokers), prestataires de services de paiement, organismes d'assurance et de réassurance (AXA, CNP, Covéa), sociétés de gestion d'actifs (Amundi, Lazard…), agences de notation, dépositaires centraux (Euroclear), bourses (Euronext), contreparties centrales (LCH SA), prestataires de services sur cryptoactifs agréés MiCA, prestataires de financement participatif. Les microentreprises bénéficient d'un régime allégé. L'ACPR et l'AMF sont les autorités françaises compétentes.
02 — TEXTE LÉGAL
Articles & exigences clés
Cadre de gestion des risques TIC
L'entité tient à jour un cadre formel de gestion des risques TIC, approuvé par l'organe de direction, revu au moins annuellement. Le MDR contribue à la cartographie des risques et à l'évaluation continue de la posture.
Gestion des incidents TIC majeurs
Classification des incidents selon des seuils précisés par les RTS. Notification à l'autorité compétente : alerte initiale sous 4h dès classification majeur, rapport intermédiaire sous 72h, rapport final sous 1 mois. Le MDR fournit la base factuelle (chronologie, périmètre, impact).
Programme de tests de résilience numérique
Tests réguliers (scans de vulnérabilités, tests d'intrusion, simulations) annuels au minimum. TLPT (test de pénétration fondé sur la menace) au moins tous les 3 ans pour les entités significatives, selon TIBER-EU. Le MDR est cible passive du red team — pas exécutant — mais doit démontrer qu'il détecte.
Gestion des risques liés aux prestataires tiers TIC
Registre d'informations sur les contrats TIC, due diligence préalable, clauses contractuelles obligatoires (audit, sous-traitance, localisation des données, plan de sortie), stratégie multi-fournisseurs pour les fonctions critiques.
Clauses contractuelles obligatoires
Tout contrat TIC doit prévoir : description complète des services, localisation des données et traitements, droit d'audit (de l'entité et des autorités), clauses de coopération avec les superviseurs, plans de continuité et de sortie, exigences accessibilité du personnel clé du prestataire.
Supervision des prestataires TIC critiques par les AES
Les prestataires TIC désignés « critiques » (au niveau européen, sur seuils de concentration et substituabilité) tombent sous la supervision directe de l'AES leader (EBA, EIOPA ou ESMA). Pouvoirs d'inspection, recommandations contraignantes, amendes journalières pouvant atteindre 1 % du CA mondial.
03 — IMPLICATIONS MDR
Critères MDR qui découlent du référentiel
- 01Référentiel de gouvernance sécurité documenté (ISO 27001 a minima, idéalement SOC 2 Type II ou équivalent) — la due diligence DORA art. 28 le réclame quasi systématiquement
- 02Couverture surfaces identité et cloud renforcée — l'écrasante majorité des incidents financiers post-2023 transite par ces vecteurs (Okta, Microsoft Entra, AWS/Azure SaaS)
- 03Capacité à absorber un exercice TLPT TIBER-EU — playbooks rouges/violets éprouvés, CERT structuré, retour d'expérience documenté
- 04Clauses contractuelles DORA-ready (audit, sous-traitance, localisation, plan de sortie) — refus systématique des « clauses standards » non-amendables
- 05Reporting incident classifié selon les seuils RTS DORA (impact financier, nombre de clients touchés, durée d'indisponibilité, propagation transfrontière) — pas du reporting cyber générique
- 06Cartographie de la chaîne d'approvisionnement TIC du MDR lui-même — sous-traitants déclarés, localisations, certifications transmises
- 07Indicateurs MTTA / MTTR / couverture contractualisés et audités — l'ACPR/AMF demande des éléments objectifs en cas de revue
- 08Continuité opérationnelle prouvée (PCA/PRA du MDR, redondance des SOC, plan en cas d'incident majeur affectant le prestataire lui-même)
04 — SÉLECTION (11)
Fournisseurs éligibles
Excellent· 5
Orange Cyberdefense
Souverain FRMulti-SOC panEU/monde (~16-18 SOCs), références BFI historiques, certifications ISO 27001/22301 standards, capacité TLPT via la filière red team groupe. Le quadruple ANSSI (PASSI + PDIS + PRIS + PACS) couvre la due diligence DORA art. 28 sans contestation possible.
Force spécifique → Capacité d'opérer simultanément sur Microsoft Sentinel/Defender (stack par défaut majoritaire BFI) et sur des stacks souveraines (HarfangLab, Sekoia) — souplesse architecturale rare.
Thales
Souverain FRQuadruple qualif ANSSI + SecNumCloud via S3NS + plateforme Cybels propriétaire. Profil défense / grand compte assumé donc rompu aux exigences de gouvernance, audit, supervision (équivalent fonctionnel ESA). Capacité TLPT via les équipes red team Thales Group.
Force spécifique → Stack souveraine bout-en-bout disponible — pertinent pour les institutions financières françaises qui veulent réduire l'exposition CLOUD Act sur leurs données sensibles.
Capgemini / Sogeti
Souverain FRLeader des quadrants ISG Provider Lens France 2025 (MDR Services + Next-Gen SOC/MDR Large Accounts). Capgemini Defend est l'un des deux ou trois plus gros opérateurs MDR/SOC français, références banques majeures (BNP, SG, Crédit Agricole) connues sur le marché. Stack Microsoft Sentinel/Defender + CrowdStrike + Palo Alto = exactement ce que la BFI déploie.
Force spécifique → Réseau 17 CDC monde + 6200+ cyber experts en 50+ pays — capacité de scaling unique pour groupes BFI multi-juridictionnels.
Sopra Steria
Souverain FRTriplet ANSSI PASSI + PDIS + PRIS + 1600 experts cyber FR + offre RightSecurity MXDR sur Microsoft Sentinel ciblée BFI. Profondeur sectorielle bancaire historique du groupe. CERT mobilisable >100 ETP — capacité d'absorption d'un incident majeur compatible avec les SLA DORA.
Force spécifique → Suite MACTAN propriétaire en alternative à RightSecurity — choix architectural offert à la banque (souverain vs Microsoft).
Eviden (ex-Atos)
Non-souverainPDIS ANSSI active + PASSI haut + SecNat via Atos Digital Security. Plateforme AIsaac Cyber Mesh mature, références BFI européennes connues, CERT structuré (Bydgoszcz Pologne). DORA n'impose pas le capital UE — ce qui réintroduit Eviden malgré son tier non-souverain dans notre taxonomie. La plateforme AWS Security Lake est en revanche un choix à valider DORA art. 28.
Force spécifique → Profondeur opérationnelle historique BFI (le groupe Atos a opéré une part significative des SOCs banque européens) — l'expérience compte sur DORA.
Bon· 3
Advens
Souverain FRTriple ANSSI + SOC FR 24/7 + capacité d'action active. Plateforme mySOC orchestre stacks BFI standards (Microsoft Sentinel, CrowdStrike, SentinelOne). Profil pure-player FR avec ancrage banque/assurance régionale, monte progressivement sur les grands comptes BFI.
Force spécifique → Souveraineté capitalistique FR rare à cette échelle — différenciateur face aux ESN multi-juridictionnelles dans les analyses de concentration DORA.
Intrinsec
Souverain FRPASSI LPM + PRIS Élevé + PACS. SLA chiffrés publiés (alertes <5min, IR <2h, CERT <1h) — directement réutilisables dans le reporting RTS DORA. Filiation Neurones cotée + sister entity Cloud Temple SecNumCloud = chaîne d'approvisionnement TIC limpide.
Force spécifique → Modèle Full Outsourced SOC mature pour midmarket BFI — alternatif à Capgemini/Sopra Steria sur les ETI financières.
I-Tracing
Souverain FRPivot français du MSSP grand compte avec 35 clients du CAC40, dont la BFI est largement représentée. SOC FR + suivi rotation via filiales hors UE — à déclarer dans le registre DORA art. 28, mais factuel et auditable. PASSI + PAMS.
Force spécifique → Capital Eurazeo + Sagard (FR) + Oakley (UK) — exposition UK post-Brexit à signaler dans le registre DORA, mais hors zone à risque type FISA.
Acceptable· 3
Arctic Wolf
Non-souverainModèle Concierge Security Team nommée = couverture du besoin DORA d'interlocuteur identifié. SOC Frankfurt EU (pas FR). Plateforme Aurora US (response_authority guidée, pas active sur kill process / quarantine). Acceptable pour entité financière déjà cliente, à conditions claires sur les clauses art. 28 et 30.
Force spécifique → Modèle co-managé naturel — préserve la gouvernance interne du RSSI bancaire.
Sophos
Non-souverainDevenue leader pure-play MDR mondial post-Secureworks (fév 2025) — l'historique Secureworks sur la BFI US/UK est documenté. 3 modes de réponse configurables (Authorize/Collaborate/Notify-Only) compatibles avec une gouvernance bancaire rigoureuse. Plateforme Sophos Central AWS Frankfurt/Dublin — CLOUD Act à déclarer DORA art. 28.
Force spécifique → BYO endpoint réel (Defender, CrowdStrike, SentinelOne acceptés) — flexibilité bienvenue dans une banque hétérogène.
Palo Alto (Unit 42)
Non-souverainUnit 42 Managed XSIAM 2.0 (fév 2026) bundle 250h Unit 42 IR/an avec Breach Response Guarantee — réponse à incident DORA-compatible. Région data plane EU = Pays-Bas. Plateforme imposée (Cortex XSIAM/XDR) — à valider dans la due diligence art. 28.
Force spécifique → Hotline EMEA (+31 20 299 3130) + IR retainer = délais maîtrisés pour le SLA 4h initial response DORA.
05 — EXCLUSIONS
Non recommandés pour ce référentiel
Sont exclus de la sélection DORA : (1) les MDR sans gouvernance documentée ni références BFI — c'est notamment le cas de Dataxium, Algosecure, Magellan Sécurité, AntemetA et Alekso, qui n'offrent pas la profondeur opérationnelle attendue par une autorité prudentielle ; (2) les pure-players régionaux sans capacité à absorber un TLPT — Hexanet, Linkt, BLUE, Exodata sont compétents en MDR mais leur taille ne permet pas de soutenir un exercice TIBER-EU sur un établissement significatif ; (3) Stoik et Dattak, dont le modèle assurance-driven est intéressant pour la PME financière mais inadapté à un établissement bancaire ou un asset manager soumis à DORA — le MDR est bundle, pas service indépendant, et la chaîne contractuelle ne correspond pas aux exigences art. 30. Bitdefender et Microsoft Defender Experts peuvent répondre à DORA pour un établissement plus petit, mais les clauses standard exigent une négociation poussée. La sélection privilégie volontairement la maturité BFI démontrée à la souveraineté capitalistique stricte — DORA n'impose pas un capital européen, mais exige une transparence opérationnelle qui élimine les acteurs opaques.
06 — RFP
Questions à poser au fournisseur
- ☐Êtes-vous prêts à signer les clauses contractuelles DORA art. 30 (audit, sous-traitance, localisation, plan de sortie) sans amendement substantiel ?
- ☐Disposez-vous d'une certification ISO 27001 valide (numéro, périmètre, date d'expiration) et idéalement SOC 2 Type II ou équivalent ?
- ☐Quel est votre processus de notification d'incident classifié selon les seuils RTS DORA (alerte <4h sur incident majeur) ? Workflow ACPR/AMF documenté ?
- ☐Pouvez-vous fournir un retour d'expérience anonymisé sur un TLPT TIBER-EU (ou équivalent red team avancé) que vous avez absorbé pour un client ?
- ☐Listez votre chaîne de sous-traitance TIC sur le périmètre de notre contrat : entités juridiques, localisations, certifications, droit d'audit ?
- ☐Quelles sont vos références BFI européennes vérifiables (taille d'établissement, durée de la relation) ?
- ☐Vos données et celles que vous traitez pour nous sont-elles stockées dans l'UE ? Hors UE ? Sous quelle juridiction (CLOUD Act, FISA section 702) ?
- ☐Quel est votre plan de continuité MDR en cas d'incident majeur vous affectant directement ? Redondance SOC ? Plan de communication ?
07 — À RETENIR
Conclusion
DORA pousse le marché MDR financier français vers une polarisation : d'un côté les grandes ESN françaises (Capgemini, Sopra Steria, Orange Cyberdefense, Thales) et Eviden, capables d'absorber les exigences de gouvernance, de TLPT et de supervision AES sur les établissements significatifs ; de l'autre, les pure-players FR (Advens, Intrinsec, I-Tracing) qui montent en gamme et offrent une alternative souveraine sur des établissements de taille moyenne. Les éditeurs MDR US (Arctic Wolf, Sophos, Palo Alto Unit 42, Microsoft Defender Experts) restent en jeu côté DORA — le règlement n'exige pas de capital européen — mais imposent un travail contractuel sérieux sur les art. 28 et 30. Notre recommandation : si vous êtes une entité significative au sens DORA, démarrez une consultation 3-5 acteurs panachant un grand ESN FR, un pure-player FR et un éditeur international, et faites les clauses art. 30 valider par votre direction juridique avant le scoring technique. Le mauvais réflexe à éviter : sélectionner un MDR sur la seule profondeur technique sans avoir vérifié la signabilité contractuelle DORA.
MDR conforme DORA : trouver le bon fournisseur
On vous met en relation avec 3 fournisseurs vraiment éligibles DORA (pas juste « compatible » sur le papier). Réponse sous 24h ouvrées, indépendant, gratuit.