SECTEUR · BANQUE & FINANCE
MDR banque finance : SOC managés DORA pour BFI et assurance
Le secteur financier français — banques de financement et d'investissement (BFI), banques de détail, assureurs, asset managers, fintechs régulées — a basculé en mode DORA (Digital Operational Resilience Act) au 17 janvier 2025. Le règlement européen impose un cadre unifié de résilience opérationnelle numérique, dont la supervision des prestataires tiers critiques (TIC) par les autorités sectorielles (ACPR, AMF, EIOPA). Concrètement, un MDR opérant pour une banque française doit désormais accepter d'être audité par l'ACPR via son client, documenter sa chaîne de sous-traitance et tenir des SLA contractuels chiffrés — pas de promesse marketing.
La BFI française a une particularité : sa maturité cyber est historiquement supérieure à la moyenne des secteurs réglementés (équipes internes étoffées, threat intelligence financière partagée via TIBER-FR et la Bank of France), et son architecture est souvent multi-cloud avec des stacks américaines acceptées (CrowdStrike, Microsoft Defender, Splunk) sous réserve d'un encadrement contractuel et géographique des données. Le tier non-souverain US est donc recevable ici, contrairement à la santé ou aux OIV stricts — sous réserve que le contrat traite explicitement le CLOUD Act et que l'hébergement des logs reste en UE.
Reste que les pure-players français à grande capacité de réponse (Intrinsec, Advens, Almond, Orange Cyberdefense) ont des atouts spécifiques pour la BFI : SLA chiffrés publiés, qualifs PASSI LPM, PCI DSS portées en interne, capacité IR/forensics rapide. Le bon choix dépend du périmètre : core banking et SWIFT pousseront vers des acteurs souverains qualifiés ; canaux digitaux et CRM peuvent accepter une stack US encadrée.
01 — RÉFÉRENTIELS
Contexte réglementaire
DORA (Digital Operational Resilience Act)
Règlement européen 2022/2554 applicable depuis le 17 janvier 2025 à toutes les entités financières UE. Impose une gouvernance des risques TIC, un registre des prestataires critiques, des tests de résilience (TLPT — Threat-Led Penetration Testing) et un droit d'audit étendu sur le MDR. L'autorité de supervision (en France l'ACPR pour les banques) peut désigner un prestataire MDR comme critique et le superviser directement.
ACPR / AMF
L'ACPR (Autorité de Contrôle Prudentiel et de Résolution) et l'AMF (Autorité des Marchés Financiers) supervisent respectivement les établissements bancaires/assurantiels et les acteurs de marché. Leurs notices techniques sur l'externalisation des fonctions critiques (notamment cybersécurité) imposent un encadrement contractuel strict.
PCI DSS
Le standard de sécurité des données de l'industrie des cartes de paiement (PCI DSS v4.0) s'applique à tout acteur qui stocke, traite ou transmet des données carte. Un MDR qui supervise un périmètre PCI doit soit être lui-même évalué PCI DSS, soit isoler les flux PCI dans un sous-périmètre contractuel — point d'attention récurrent en RFP.
TIBER-FR
Programme de tests cyber red-team coordonné par la Banque de France et l'EBA, sur le modèle TIBER-EU. Les banques systémiques françaises y participent : leurs prestataires MDR doivent pouvoir collaborer avec les Red Teams TIBER agréées et documenter leurs propres capacités de blue team.
02 — GRILLE DE CHOIX
Critères d'achat propres au secteur
- 01Capacité à soutenir un audit DORA : registre des sous-traitants, droit d'audit étendu, plan de sortie documenté.
- 02SOC 24/7 avec SLA chiffrés contractuels (MTTA, MTTR, prise en charge incident critique). Intrinsec publie ses SLA, c'est une rareté FR.
- 03CERT/CSIRT intégré ou partenaire qualifié, mobilisable sous 1 à 2 h pour IR/forensics — la BFI a besoin de vitesse, pas seulement de qualité.
- 04BYO multi-stack accepté : la BFI a souvent des stacks préexistantes (Splunk, QRadar, Sentinel) qu'elle ne souhaite pas remplacer.
- 05Couverture identité (IAM bancaire, PAM) et threat intelligence financière (TIBER, FS-ISAC, partenariats CTI sectoriels).
- 06Pour les BFI mature, le tier non-souverain US est acceptable sous encadrement DORA/RGPD strict ; pour les banques mutualistes, les caisses régionales ou les acteurs sous contrainte souveraine, privilégier les pure-players FR.
03 — SÉLECTION (8)
Fournisseurs recommandés
Intrinsec
Souverain FRTriple qualif PASSI LPM + PRIS Élevé + PACS, SLA chiffrés publiés (alertes <5 min, prise en charge critique <15 min, mobilisation IR/forensic <2 h, CERT <1 h) — rareté française. Filiale du groupe coté Neurones, capital souverain UE.
I-Tracing
Souverain FRPure-player MSSP grand compte avec 35 clients du CAC 40 (références BFI implicites), modèle « vos outils » qui colle à la stack hétérogène d'une banque. Nuance souveraineté : Oakley Capital UK en co-control, SOC rotation via filiales hors UE.
Orange Cyberdefense
Souverain FRQuatre qualifs ANSSI (PASSI + PDIS + PRIS + PACS), option FR-strict contractualisable pour clients souverains BFI, stack mixte (Microsoft Sentinel + Cortex XSIAM + options Sekoia/HarfangLab). Référencé UGAP marché SSI public.
Advens
Souverain FRTriple qualif PASSI + PDIS + PRIS, plateforme mySOC qui orchestre stacks souveraines et américaines selon le choix client — adapté aux architectures BFI hybrides. Capital majoritairement français.
Almond
Souverain FRTriplet PASSI LPM + PACS + PRIS hérité d'Amossys (intégration achevée 2026), SOC CWATCH 24/7 sur Microsoft Sentinel — adapté aux BFI Microsoft-natives. Absence de PDIS à signaler pour OIV finance.
Capgemini / Sogeti
Souverain FRLeader ISG Provider Lens France 2025 « MDR Services » et « Next-Gen SOC/MDR Large Accounts », capacité industrielle pour les grands comptes BFI. Stack dominante Microsoft + CrowdStrike, options souveraines via partenaires. Delivery international à encadrer DORA.
CrowdStrike
Non-souverainPlateforme Falcon mature avec MTTC médian publié à 1 minute, 5 actions de containment complètes, warranty 1 à 2 M$. Recevable BFI multi-cloud sous condition d'encadrement contractuel CLOUD Act et hébergement EU. Tier non-souverain assumé.
Sopra Steria
Souverain FRTriplet PASSI + PDIS + PRIS via la filiale IS&S, double offre MACTAN 100 % FR pour la défense et RightSecurity MXDR sur Microsoft pour les grands comptes — flexibilité utile en BFI hybride. Capital coté FR contrôlé par holding familiale Sopra GMT.
04 — EXCLUSIONS
Non recommandés pour ce secteur
Stoik et Dattak (MDR assurance) sont par construction réservés à leurs assurés ou au canal MSP white-label : intéressants pour des PME du secteur financier non-régulées mais inadaptés aux banques et assureurs régulés. Sophos et Bitdefender sont des éditeurs solides mais peu présents sur les RFP BFI françaises. Microsoft Defender Experts et Palo Alto Unit 42 sont souvent intégrés indirectement via les intégrateurs (Capgemini, Orange CD) plutôt qu'achetés en direct par les DSI bancaires françaises.
05 — À RETENIR
Conclusion
Le secteur financier reste l'un des marchés les plus exigeants et les plus instrumentés du MDR français. Depuis DORA, la question n'est plus « avez-vous un SOC ? » mais « pouvez-vous documenter contractuellement votre chaîne de sous-traitance, vos SLA chiffrés et votre plan de sortie ? ». Notre comparateur permet de filtrer les fournisseurs sur leurs SLA publiés, leurs qualifications ANSSI et leur compatibilité avec une stack multi-cloud. Pour les RFP en cours, pensez à demander explicitement la documentation TLPT (TIBER-FR) et la cartographie des sous-traitants — ce sont les deux points de blocage les plus fréquents en short-list.
Vous cherchez un MDR pour le secteur banque & finance ?
Décrivez votre périmètre en 90 secondes. On vous met en relation avec 3 fournisseurs adaptés à vos contraintes (HDS, NIS2, OIV…). Réponse sous 24h ouvrées, indépendant, gratuit.