DORA pour le courtier : la cybersécurité du cabinet de courtage, 5 piliers appliqués au quotidien

Article rédigé en janvier 2026 à destination des dirigeants de cabinets de courtage et de leurs responsables conformité. Les références réglementaires reflètent l'état du droit applicable à la date de publication.

Pour un courtier, DORA est le cadre de la cybersécurité du cabinet de courtage : gouvernance, gestion des risques, incidents, tests de résilience et prestataires ICT. Le Digital Operational Resilience Act est entré en application le 17 janvier 2025. Issu du règlement UE 2022/2554 du 14 décembre 2022, ce texte impose à toute entité financière européenne — y compris les courtiers et courtiers grossistes en assurance — une discipline opérationnelle nouvelle sur la sécurité de leur système d'information.

Un an après l'entrée en vigueur, l'ACPR a commencé à intégrer DORA dans ses contrôles thématiques cyber. Pour un cabinet de courtage, la question n'est plus « DORA me concerne-t-il ? » mais « comment démontrer ma conformité au prochain contrôle ? ». Cet article décrit les 5 piliers DORA, le registre des prestataires critiques de l'article 28 et une checklist d'audit applicable à votre extranet grossiste. La protection des données personnelles des clients (registre des traitements, sous-traitance avec le grossiste, durées de conservation) relève du RGPD et fait l'objet d'un guide distinct : RGPD du cabinet de courtage.

DORA : ce que ça change pour un cabinet de courtage

Le règlement UE 2022/2554 vise les entités financières au sens large : banques, assureurs, mutuelles, gestionnaires d'actifs, et — c'est la nouveauté — intermédiaires d'assurance immatriculés à l'ORIAS. Un courtier indépendant, un courtier grossiste, un agent général numérique sont tous concernés.

L'objectif du texte est de remplacer une mosaïque de recommandations sectorielles par un socle commun européen opposable. Avant DORA, la cybersécurité du courtage relevait de la recommandation ACPR 2019-R-01, du règlement Solvabilité II pour les grands acteurs, du RGPD pour les données personnelles et de bonnes pratiques de la profession. Aucun de ces textes n'imposait un standard unifié sur la résilience opérationnelle. DORA comble ce vide.

Pour un cabinet de courtage, trois changements concrets se manifestent dès 2025-2026 :

1. Une obligation documentaire renforcée. Le dirigeant doit pouvoir produire à tout moment une politique de sécurité ICT, un registre des fournisseurs critiques et une procédure d'incident. Le « ça marche, je n'ai jamais eu de problème » n'est plus une défense recevable lors d'un contrôle ACPR.
2. Une responsabilité directe sur la chaîne des prestataires. DORA impose au courtier de cartographier ses tiers ICT (extranet du grossiste, logiciel de gestion, hébergeur, messagerie professionnelle, signature électronique) et de s'assurer que chacun respecte un niveau de sécurité aligné.
3. Un régime de notification d'incidents. Tout incident majeur lié au système d'information doit être notifié à l'ACPR dans les délais prévus par les standards techniques. La rétention silencieuse d'un incident cyber est désormais sanctionnable.

Le texte intégral est consultable sur EUR-Lex et l'ACPR publie ses orientations sectorielles sur acpr.banque-france.fr.

Les 5 piliers DORA

Le règlement s'organise autour de cinq blocs structurels. Chacun appelle des livrables précis pour un cabinet de courtage.

1. Gouvernance et organisation ICT

Définition. Le pilier gouvernance impose qu'une personne identifiée au sein de l'entité porte la responsabilité de la résilience opérationnelle. Pour un cabinet de moins de 50 salariés, cette responsabilité revient en général au dirigeant lui-même, qui peut s'appuyer sur un référent technique externe.

Livrable type. Une politique de sécurité ICT en 10 à 15 pages, datée et signée, révisée annuellement. Elle décrit la cartographie du système d'information, les niveaux d'accès, la politique de mots de passe, la gestion des sauvegardes et la chaîne de décision en cas d'incident. Sans ce document, le cabinet est en défaut formel dès le premier contrôle.

2. Gestion des risques ICT

Définition. Le pilier risques exige une identification continue des menaces pesant sur le système d'information : phishing, ransomware, vol de données, indisponibilité d'un prestataire critique, erreur humaine. Cette cartographie est révisée au moins une fois par an et après tout changement majeur.

Livrable type. Une matrice de risques classant chaque menace par probabilité et impact, associée à un plan de traitement (acceptation, réduction, transfert, évitement). Pour un courtier, trois risques méritent une attention particulière : l'attaque ransomware sur le poste de travail, la compromission d'une messagerie professionnelle et l'indisponibilité prolongée de l'extranet grossiste.

3. Gestion et notification des incidents

Définition. DORA impose un processus formalisé de détection, classification, traitement et notification des incidents. Tout incident majeur — défini par la perte de disponibilité, d'intégrité ou de confidentialité au-delà d'un seuil — doit être notifié à l'autorité compétente.

Livrable type. Une procédure d'incident en 4 phases : détection, qualification, traitement, retour d'expérience. Les courtiers doivent maintenir un journal des incidents daté, traçable, accessible sur demande de l'ACPR. La notification se fait via un formulaire standardisé dans les délais fixés par les normes techniques (rapport initial dans les 24 heures pour les incidents majeurs).

4. Tests de résilience opérationnelle

Définition. Toute entité financière doit tester périodiquement la robustesse de son système d'information : tests d'intrusion, exercices de bascule sur les sauvegardes, simulation de panne fournisseur. Le régime de proportionnalité allège les obligations pour les TPE de courtage, mais ne les supprime pas.

Livrable type. Un plan de tests annuel comprenant au minimum un exercice de restauration de sauvegarde, un test de continuité (que se passe-t-il si l'extranet du grossiste est indisponible 48 heures ?) et une revue des accès utilisateurs. Le compte rendu écrit de chaque test fait partie du dossier de conformité.

5. Gestion des tiers ICT

Définition. Le pilier tiers ICT est le plus structurant pour un cabinet de courtage car la majorité de son outillage est externalisée. Il impose une due diligence avant contractualisation, un contrat écrit intégrant les clauses DORA et un suivi continu de la performance du fournisseur.

Livrable type. Pour chaque fournisseur ICT, le cabinet conserve un dossier comprenant : le contrat signé avec clauses DORA (article 30 du règlement), la fiche de description du service, l'analyse de criticité, les engagements de niveau de service (disponibilité, délai de remédiation, plan de réversibilité), et la trace de la revue annuelle.

Le registre des prestataires critiques

L'article 28 du règlement DORA impose à chaque entité financière de tenir un registre des prestataires de services TIC, mis à jour en continu et communicable à l'autorité de tutelle sur demande. C'est l'obligation la plus visible du règlement pour un cabinet de courtage.

Le registre liste tous les prestataires qui fournissent au cabinet une fonction numérique de production ou de support : extranet du grossiste, logiciel de gestion de portefeuille, hébergeur de la messagerie, solution de signature électronique, prestataire de sauvegarde cloud, antivirus professionnel, fournisseur d'authentification.

Pour chaque prestataire, le registre précise :

• la raison sociale et le numéro d'identification du fournisseur ;
• la description du service fourni et son intégration dans la chaîne de production ;
• la criticité du service : critique, important, standard. Un service est critique si son indisponibilité interrompt la souscription ou la gestion sinistre. Il est important s'il dégrade fortement la productivité sans bloquer l'activité ;
• la localisation des données (UE, hors UE, mixte) ;
• les clauses contractuelles DORA intégrées (résiliation, audit, réversibilité, notification d'incident) ;
• la date de la dernière revue annuelle.

La classification de criticité est centrale. Un extranet de grossiste sur lequel passe l'essentiel de la production est un prestataire critique au sens de DORA. Sa défaillance déclenche une notification ACPR et un plan de continuité. Un logiciel d'édition de courriers, lui, reste standard. Cette distinction conditionne le niveau d'exigence contractuelle et le rythme des revues.

Un registre dématérialisé, tenu sous forme de tableau structuré avec un horodatage de chaque modification, facilite sa mise à jour et sa communication. Il recoupe partiellement le registre des activités de traitement prévu par l'article 30 du RGPD : les deux peuvent être tenus ensemble, à condition de bien distinguer les colonnes propres à chaque texte. La trame du registre RGPD (finalités, bases légales, destinataires, durées de conservation) est détaillée dans notre article sur le registre des traitements du cabinet de courtage.

Cas pratique : votre extranet grossiste est-il conforme DORA ?

Exemple illustratif (fictif). Un petit cabinet de courtage généraliste fait passer l'essentiel de sa production par l'extranet d'un courtier grossiste. Son dirigeant décide d'auditer cette relation avant un éventuel contrôle de l'ACPR.

L'audit suit une checklist en 8 points applicable à toute relation cabinet-grossiste.

1. Contrat écrit avec clauses DORA. La convention de courtage inclut-elle les clauses DORA (article 30) : audit, résiliation, réversibilité, notification d'incident ? Une convention ancienne qui n'intègre aucune de ces clauses appelle un avenant.
2. Engagements de disponibilité. L'extranet affiche-t-il un taux de disponibilité contractuel (par exemple 99,5 %) ? Y a-t-il un délai garanti de remédiation en cas d'incident ? Sans engagement écrit, le service ne peut être classé critique en confiance.
3. Authentification forte. L'accès à l'extranet est-il protégé par une authentification à deux facteurs (mot de passe + code SMS ou application) ? L'authentification simple par mot de passe est insuffisante pour un service critique.
4. Journalisation des accès. Le grossiste fournit-il, sur demande, l'historique des connexions et des actions sensibles (consultation d'un dossier, export de données, modification d'un contrat) ? Cette traçabilité conditionne la capacité du courtier à investiguer un incident.
5. Hébergement et localisation des données. Où sont stockées les données (UE, hors UE) ? Une localisation hors UE oblige à documenter la base juridique du transfert (clauses contractuelles types, décision d'adéquation).
6. Plan de continuité communiqué. Le grossiste accepte-t-il de transmettre un résumé de son plan de continuité d'activité (PCA) et de son plan de reprise (PRA) ? L'opacité totale est un signal d'alerte.
7. Réversibilité technique. Le cabinet peut-il exporter son portefeuille (contrats actifs, clients, historiques de sinistres) dans un format structuré exploitable ? La clause de réversibilité doit être éprouvée par un test, pas seulement écrite.
8. Revue annuelle planifiée. Une revue annuelle de la prestation est-elle inscrite au calendrier ? Elle examine les incidents survenus, les indicateurs de service et l'évolution des risques.

À l'issue de l'audit, le cabinet regroupe ses constats dans un dossier écrit et, si nécessaire, négocie des avenants avec son grossiste et avec l'éditeur de son logiciel de gestion. Ce dossier sert ensuite de base à la revue annuelle et à la réponse à un éventuel contrôle.

Pour aller plus loin sur la chaîne conformité courtage, lisez aussi notre checklist du devoir de conseil DDA face à un contrôle ACPR, notre guide LCB-FT pour courtier en assurance : obligations concrètes et notre article méthodologique Extranet courtier grossiste : 7 critères pour évaluer un vrai outil de production. Et pour transformer le sujet cyber en offre commerciale auprès de vos clients professionnels, voir distribuer la cyberassurance TPE-PME via un grossiste.

Appliquer la checklist à l'extranet Tutassur

Tutassur, courtier grossiste en assurance immatriculé à l'ORIAS sous le n° 22001730 et soumis au contrôle de l'ACPR, met à la disposition des cabinets partenaires un extranet (app.tutassur.fr), une API et une marque blanche. Pour un cabinet soumis à DORA, ces outils sont des prestataires TIC à inscrire dans son registre de l'article 28, avec leur niveau de criticité.

La checklist en 8 points ci-dessus s'applique à cette relation comme à toute autre : demandez par écrit les éléments dont votre dossier de conformité a besoin (authentification, journalisation, localisation des données, continuité, réversibilité) et conservez les réponses. Pour la formation continue de vos équipes, les formations DDA de Tutassur Academy complètent le dispositif.

Les conditions du partenariat (ouverture de code en ligne sur parcours-odc.tutassur.fr en quatre étapes, aucun minimum de production pour démarrer, convention sans exclusivité de cabinet) sont détaillées sur la page Devenir partenaire.

Foire aux questions

DORA s'applique-t-elle aux TPE de courtage ? Oui, avec un principe de proportionnalité (article 4). Les cabinets de moins de 10 salariés relèvent du régime allégé : pas de tests TLPT, gouvernance ICT portée par le dirigeant, registre simplifié. La traçabilité des incidents, la gestion des accès et le contrat écrit avec les fournisseurs ICT critiques restent obligatoires.

Quels documents préparer pour un contrôle ACPR ? Sept documents minimum : politique de sécurité ICT, registre des prestataires (article 28), cartographie des risques, procédure d'incident, preuves des tests de résilience, plan de continuité et contrats fournisseurs avec clauses DORA.

Quelles sanctions ACPR en cas de non-conformité ? Avertissement, blâme, interdiction temporaire ou sanction pécuniaire jusqu'à 10 M€ ou 5 % du CA annuel mondial. Le montant dépend de la gravité du manquement, et la décision peut être publiée sur le site de l'ACPR.

DORA et RGPD : différences pour un courtier ? Le RGPD (UE 2016/679) protège les données personnelles ; DORA (UE 2022/2554) protège la résilience opérationnelle. Les deux se recoupent sur l'article 32 RGPD (sécurité du traitement), mais DORA va plus loin sur la chaîne fournisseurs et impose des tests que le RGPD n'exige pas. Les deux conformités se traitent en parallèle ; le volet RGPD est détaillé dans notre guide sur la sous-traitance RGPD avec le grossiste et les durées de conservation.