Cybersécurité du cabinet de courtage : le standard DORA appliqué au quotidien

Article rédigé en janvier 2026 à destination des dirigeants de cabinets de courtage et de leurs responsables conformité. Les références réglementaires reflètent l'état du droit applicable à la date de publication.

Le Digital Operational Resilience Act, plus connu sous l'acronyme DORA, est entré en application le 17 janvier 2025. Issu du règlement UE 2022/2554 du 14 décembre 2022, ce texte impose à toute entité financière européenne — y compris les courtiers et courtiers grossistes en assurance — une discipline opérationnelle nouvelle sur la sécurité de leur système d'information.

Un an après l'entrée en vigueur, l'ACPR a commencé à intégrer DORA dans ses contrôles thématiques cyber. Pour un cabinet de courtage, la question n'est plus « DORA me concerne-t-il ? » mais « comment démontrer ma conformité au prochain contrôle ? ». Cet article décrit les 5 piliers DORA, le registre des prestataires critiques de l'article 28 et une checklist d'audit applicable à votre extranet grossiste.

DORA : ce que ça change pour un cabinet de courtage

Le règlement UE 2022/2554 vise les entités financières au sens large : banques, assureurs, mutuelles, gestionnaires d'actifs, et — c'est la nouveauté — intermédiaires d'assurance immatriculés à l'ORIAS. Un courtier indépendant, un courtier grossiste, un agent général numérique sont tous concernés.

L'objectif du texte est de remplacer une mosaïque de recommandations sectorielles par un socle commun européen opposable. Avant DORA, la cybersécurité du courtage relevait de la recommandation ACPR 2019-R-01, du règlement Solvabilité II pour les grands acteurs, du RGPD pour les données personnelles et de bonnes pratiques de la profession. Aucun de ces textes n'imposait un standard unifié sur la résilience opérationnelle. DORA comble ce vide.

Pour un cabinet de courtage, trois changements concrets se manifestent dès 2025-2026 :

1. Une obligation documentaire renforcée. Le dirigeant doit pouvoir produire à tout moment une politique de sécurité ICT, un registre des fournisseurs critiques et une procédure d'incident. Le « ça marche, je n'ai jamais eu de problème » n'est plus une défense recevable lors d'un contrôle ACPR.
2. Une responsabilité directe sur la chaîne des prestataires. DORA impose au courtier de cartographier ses tiers ICT (extranet du grossiste, logiciel de gestion, hébergeur, messagerie professionnelle, signature électronique) et de s'assurer que chacun respecte un niveau de sécurité aligné.
3. Un régime de notification d'incidents. Tout incident majeur lié au système d'information doit être notifié à l'ACPR dans les délais prévus par les standards techniques. La rétention silencieuse d'un incident cyber est désormais sanctionnable.

Le texte intégral est consultable sur EUR-Lex et l'ACPR publie ses orientations sectorielles sur acpr.banque-france.fr.

Les 5 piliers DORA

Le règlement s'organise autour de cinq blocs structurels. Chacun appelle des livrables précis pour un cabinet de courtage.

1. Gouvernance et organisation ICT

Définition. Le pilier gouvernance impose qu'une personne identifiée au sein de l'entité porte la responsabilité de la résilience opérationnelle. Pour un cabinet de moins de 50 salariés, cette responsabilité revient en général au dirigeant lui-même, qui peut s'appuyer sur un référent technique externe.

Livrable type. Une politique de sécurité ICT en 10 à 15 pages, datée et signée, révisée annuellement. Elle décrit la cartographie du système d'information, les niveaux d'accès, la politique de mots de passe, la gestion des sauvegardes et la chaîne de décision en cas d'incident. Sans ce document, le cabinet est en défaut formel dès le premier contrôle.

2. Gestion des risques ICT

Définition. Le pilier risques exige une identification continue des menaces pesant sur le système d'information : phishing, ransomware, vol de données, indisponibilité d'un prestataire critique, erreur humaine. Cette cartographie est révisée au moins une fois par an et après tout changement majeur.

Livrable type. Une matrice de risques classant chaque menace par probabilité et impact, associée à un plan de traitement (acceptation, réduction, transfert, évitement). Pour un courtier, les trois risques majeurs identifiés en 2025-2026 sont l'attaque ransomware sur le poste de travail, la compromission d'une messagerie professionnelle et l'indisponibilité prolongée de l'extranet grossiste.

3. Gestion et notification des incidents

Définition. DORA impose un processus formalisé de détection, classification, traitement et notification des incidents. Tout incident majeur — défini par la perte de disponibilité, d'intégrité ou de confidentialité au-delà d'un seuil — doit être notifié à l'autorité compétente.

Livrable type. Une procédure d'incident en 4 phases : détection, qualification, traitement, retour d'expérience. Les courtiers doivent maintenir un journal des incidents daté, traçable, accessible sur demande de l'ACPR. La notification se fait via un formulaire standardisé dans les délais fixés par les normes techniques (rapport initial dans les 24 heures pour les incidents majeurs).

4. Tests de résilience opérationnelle

Définition. Toute entité financière doit tester périodiquement la robustesse de son système d'information : tests d'intrusion, exercices de bascule sur les sauvegardes, simulation de panne fournisseur. Le régime de proportionnalité allège les obligations pour les TPE de courtage, mais ne les supprime pas.

Livrable type. Un plan de tests annuel comprenant au minimum un exercice de restauration de sauvegarde, un test de continuité (que se passe-t-il si l'extranet du grossiste est indisponible 48 heures ?) et une revue des accès utilisateurs. Le compte rendu écrit de chaque test fait partie du dossier de conformité.

5. Gestion des tiers ICT

Définition. Le pilier tiers ICT est le plus structurant pour un cabinet de courtage car la majorité de son outillage est externalisée. Il impose une due diligence avant contractualisation, un contrat écrit intégrant les clauses DORA et un suivi continu de la performance du fournisseur.

Livrable type. Pour chaque fournisseur ICT, le cabinet conserve un dossier comprenant : le contrat signé avec clauses DORA (article 30 du règlement), la fiche de description du service, l'analyse de criticité, les engagements de niveau de service (disponibilité, délai de remédiation, plan de réversibilité), et la trace de la revue annuelle.

Le registre des prestataires critiques

L'article 28 du règlement DORA impose à chaque entité financière de tenir un registre des prestataires de services TIC, mis à jour en continu et communicable à l'autorité de tutelle sur demande. C'est l'obligation la plus visible — et la plus souvent défaillante — chez les cabinets de courtage français en 2025-2026.

Le registre liste tous les prestataires qui fournissent au cabinet une fonction numérique de production ou de support : extranet du grossiste, logiciel de gestion de portefeuille, hébergeur de la messagerie, solution de signature électronique, prestataire de sauvegarde cloud, antivirus professionnel, fournisseur d'authentification.

Pour chaque prestataire, le registre précise :

• la raison sociale et le numéro d'identification du fournisseur ;
• la description du service fourni et son intégration dans la chaîne de production ;
• la criticité du service : critique, important, standard. Un service est critique si son indisponibilité interrompt la souscription ou la gestion sinistre. Il est important s'il dégrade fortement la productivité sans bloquer l'activité ;
• la localisation des données (UE, hors UE, mixte) ;
• les clauses contractuelles DORA intégrées (résiliation, audit, réversibilité, notification d'incident) ;
• la date de la dernière revue annuelle.

La classification de criticité est centrale. Un extranet de grossiste sur lequel passe 80 % de la production est un prestataire critique au sens de DORA. Sa défaillance déclenche une notification ACPR et un plan de continuité. Un logiciel d'édition de courriers, lui, reste standard. Cette distinction conditionne le niveau d'exigence contractuelle et le rythme des revues.

L'ACPR recommande un registre dématérialisé, idéalement tenu sous forme de tableau structuré avec un horodatage de chaque modification. La CNIL, sur son site cnil.fr, recoupe partiellement ce registre avec celui prévu par l'article 30 du RGPD : les deux peuvent être tenus ensemble, à condition de bien distinguer les colonnes propres à chaque texte.

Cas pratique : votre extranet grossiste est-il conforme DORA ?

Contexte (cas anonymisé). Cabinet de courtage généraliste de l'est de la France, 6 collaborateurs, 1 200 contrats actifs, principal flux de production passant par l'extranet d'un courtier grossiste partenaire. En juin 2025, le dirigeant lance un audit interne après lecture d'une note de l'ACPR annonçant un contrôle thématique cyber.

L'audit suit une checklist en 8 points applicable à toute relation cabinet-grossiste.

1. Contrat écrit avec clauses DORA. La convention de courtage inclut-elle les clauses DORA (article 30) : audit, résiliation, réversibilité, notification d'incident ? Le cabinet audité a découvert que sa convention datait de 2019 et n'intégrait aucune clause de ce type. Avenant signé en septembre 2025.
2. Engagements de disponibilité. L'extranet affiche-t-il un taux de disponibilité contractuel (par exemple 99,5 %) ? Y a-t-il un délai garanti de remédiation en cas d'incident ? Sans engagement écrit, le service ne peut être classé critique en confiance.
3. Authentification forte. L'accès à l'extranet est-il protégé par une authentification à deux facteurs (mot de passe + code SMS ou application) ? L'authentification simple par mot de passe est insuffisante pour un service critique.
4. Journalisation des accès. Le grossiste fournit-il, sur demande, l'historique des connexions et des actions sensibles (consultation d'un dossier, export de données, modification d'un contrat) ? Cette traçabilité conditionne la capacité du courtier à investiguer un incident.
5. Hébergement et localisation des données. Où sont stockées les données (UE, hors UE) ? Une localisation hors UE oblige à documenter la base juridique du transfert (clauses contractuelles types, décision d'adéquation).
6. Plan de continuité communiqué. Le grossiste accepte-t-il de transmettre un résumé de son plan de continuité d'activité (PCA) et de son plan de reprise (PRA) ? L'opacité totale est un signal d'alerte.
7. Réversibilité technique. Le cabinet peut-il exporter son portefeuille (contrats actifs, clients, historiques de sinistres) dans un format structuré exploitable ? La clause de réversibilité doit être éprouvée par un test, pas seulement écrite.
8. Revue annuelle planifiée. Une revue annuelle de la prestation est-elle inscrite au calendrier ? Elle examine les incidents survenus, les indicateurs de service et l'évolution des risques.

À l'issue de l'audit, le cabinet a regroupé ses constats dans un dossier de 22 pages et signé deux avenants — avec son grossiste principal et son éditeur de logiciel de gestion. Coût du chantier : environ 5 jours de travail interne et 3 000 € d'accompagnement juridique externe. Le dirigeant estime que le risque résiduel est tombé d'un niveau « élevé » à un niveau « maîtrisé ».

Pour aller plus loin sur la chaîne conformité courtage, lisez aussi notre checklist du devoir de conseil DDA face à un contrôle ACPR, notre guide LCB-FT pour courtier en assurance : obligations concrètes et notre article méthodologique Extranet courtier grossiste : 7 critères pour évaluer un vrai outil de production.

Comment Tutassur traite DORA pour ses partenaires

L'extranet Tutassur est dimensionné pour répondre aux exigences DORA dès la signature de la convention. Authentification forte activable, journalisation des accès, hébergement dans l'Union européenne, plan de continuité documenté, clauses DORA pré-rédigées dans la convention partenaire : chaque pilier ICT trouve sa réponse opérationnelle dans la plateforme.

La culture Tech first du back-office de Grenoble se traduit par une politique de sécurité ICT formalisée, une revue annuelle des fournisseurs et un journal des incidents partagé avec les partenaires sur demande. La formation mensuelle tracée délivrée aux courtiers partenaires intègre un module DORA et cybersécurité depuis le second semestre 2025, ce qui contribue à la conformité du partenaire face à son propre obligation de formation.

Pour découvrir le cadre partenaire et les engagements de service associés, la page Devenir partenaire détaille le parcours d'onboarding et les documents transmis dès l'ouverture de code.

Foire aux questions

DORA s'applique-t-elle aux TPE de courtage ? Oui, avec un principe de proportionnalité (article 4). Les cabinets de moins de 10 salariés relèvent du régime allégé : pas de tests TLPT, gouvernance ICT portée par le dirigeant, registre simplifié. La traçabilité des incidents, la gestion des accès et le contrat écrit avec les fournisseurs ICT critiques restent obligatoires.

Quels documents préparer pour un contrôle ACPR ? Sept documents minimum : politique de sécurité ICT, registre des prestataires (article 28), cartographie des risques, procédure d'incident, preuves des tests de résilience, plan de continuité et contrats fournisseurs avec clauses DORA.

Quelles sanctions ACPR en cas de non-conformité ? Avertissement, blâme, interdiction temporaire ou sanction pécuniaire jusqu'à 10 M€ ou 5 % du CA annuel mondial. Pour un cabinet moyen, la fourchette réelle observée se situe entre 50 000 € et 500 000 €, avec publication sur le site de l'ACPR.

RGPD et DORA : différences pour un courtier ? Le RGPD (UE 2016/679) protège les données personnelles ; DORA (UE 2022/2554) protège la résilience opérationnelle. Les deux se recoupent sur l'article 32 RGPD (sécurité du traitement), mais DORA va plus loin sur la chaîne fournisseurs et impose des tests que le RGPD n'exige pas. Les deux conformités se traitent en parallèle.