Partage d'information sur les menaces — DORA — conformité et résilience opérationnelle numérique

Table des matières

Pourquoi ce chapitre change la posture face à la menace

Jusqu'ici, les chapitres précédents ont traité DORA comme un ensemble d'obligations internes : cartographier ses risques, tester sa résilience, gérer ses prestataires, notifier ses incidents. Ce chapitre change de registre. Il porte sur ce que DORA autorise — et encourage — plutôt que sur ce qu'il impose : la mise en commun, entre entités financières, d'informations sur les menaces et les attaquants.

L'idée sous-jacente est simple. Un indicateur de compromission observé chez une banque aujourd'hui sera probablement réutilisé contre une compagnie d'assurance ou un gestionnaire d'actifs demain. Les groupes d'attaquants ciblant le secteur financier réemploient leurs infrastructures et leurs modes opératoires d'une victime à l'autre. Une entité qui détecte tôt et partage vite raccourcit la fenêtre d'exposition de tout un secteur — un raisonnement de bien public, rare dans un texte réglementaire qui, ailleurs, ne fait qu'imposer des obligations descendantes.

Le partage d'information sur les menaces au sens de l'article 45 est volontaire. DORA ne contraint aucune entité à rejoindre un ISAC ni à publier le moindre indicateur. Ce qui est encadré, ce sont les conditions dans lesquelles ce partage, s'il a lieu, doit se dérouler pour rester licite et utile.

Le cadre légal : l'article 45

L'article 45 du règlement DORA porte sur les « arrangements de partage d'informations sur les cybermenaces ». Il pose un principe d'autorisation encadrée plutôt qu'une obligation. Les entités financières peuvent échanger entre elles des informations et des renseignements sur les cybermenaces, notamment :

des indicateurs de compromission (adresses IP, empreintes de fichiers malveillants, domaines associés à une campagne) ;
des tactiques, techniques et procédures observées chez les attaquants ;
des alertes de sécurité et des configurations d'outils de détection ;
des analyses de vulnérabilités et de leur exploitation active.

Cet échange doit répondre à quatre conditions cumulatives fixées par le texte :

viser à renforcer la résilience opérationnelle numérique des entités participantes — pas un objectif commercial ou concurrentiel déguisé ;
se dérouler au sein de communautés de confiance, c'est-à-dire des dispositifs à accès contrôlé, pas des canaux ouverts ;
s'appuyer sur des arrangements protégeant la nature potentiellement sensible des informations échangées, avec des règles de conduite respectant pleinement la confidentialité des affaires, la protection des données à caractère personnel et les règles de concurrence ;
pouvoir associer, lorsque c'est pertinent, les autorités compétentes, la Banque centrale européenne et les autorités européennes de surveillance (EBA, ESMA, EIOPA).

DORA ne crée pas les ISAC. Ces structures existaient déjà, portées par des initiatives sectorielles antérieures au règlement. Ce que DORA apporte, c'est une base légale explicite qui sécurise juridiquement la pratique et fixe les garde-fous à respecter — ce qui lève une ambiguïté qui freinait certains établissements, notamment sur le terrain du droit de la concurrence.

Volontaire ou obligatoire : ne pas confondre trois régimes

L'erreur la plus fréquente en début de mise en conformité consiste à mélanger trois obligations distinctes de DORA qui touchent toutes, de près ou de loin, à la circulation d'informations sur la sécurité :

Article	Nature	Déclencheur	Destinataire
Article 19	Obligatoire	Incident TIC majeur avéré	Autorité compétente nationale
Article 20	Volontaire (encouragée)	Cybermenace significative, non matérialisée en incident	Autorité compétente nationale
Article 45	Volontaire	Détection d'un indicateur ou d'un mode opératoire utile aux pairs	Communauté de confiance (ISAC), autorités si pertinent

Les articles 19 et 20 organisent une remontée verticale, de l'entité vers son superviseur — obligatoire pour l'un, encouragée pour l'autre, mais toujours à sens unique vers l'autorité. L'article 45 organise, lui, une circulation horizontale entre pairs du secteur, dans une logique d'entraide opérationnelle plutôt que de reporting réglementaire. Une entité peut très bien notifier un incident majeur à son autorité au titre de l'article 19 sans jamais avoir partagé le moindre indicateur technique avec son ISAC, et inversement.

Partager un indicateur de compromission au sein d'un ISAC ne dispense en rien de la notification d'incident majeur à l'autorité compétente si les critères de l'article 19 sont réunis. Ce sont deux obligations parallèles, qui peuvent coexister sur un même événement sans se substituer l'une à l'autre.

Les ISAC : ce que c'est et comment cela fonctionne

Un ISAC (Information Sharing and Analysis Centre) est une structure sectorielle, généralement associative ou adossée à une fédération professionnelle, qui organise l'échange de renseignement cyber entre ses membres. Dans le secteur financier, on trouve des initiatives à plusieurs échelles :

des dispositifs internationaux comme FS-ISAC, qui regroupe des milliers d'institutions financières à travers le monde et opère des flux d'indicateurs quasi temps réel ;
des cercles nationaux ou régionaux, parfois adossés à des fédérations bancaires ou à des associations de la place, avec un fonctionnement plus resserré et souvent davantage orienté vers l'échange qualitatif entre pairs de confiance ;
des groupes de travail sectoriels animés en lien avec les CSIRT nationaux (CERT-FR pour la France), qui font le lien entre le secteur privé et les capacités publiques de détection.

Le fonctionnement type repose sur une adhésion contrôlée — vérification de l'identité du membre, engagement contractuel de confidentialité — puis sur des canaux dédiés : plateformes de partage d'indicateurs structurés (formats STIX/TAXII notamment), listes de diffusion chiffrées, réunions périodiques de threat intelligence.

Deux circuits distincts : le partage volontaire entre pairs au sein d'un ISAC, et la remontée institutionnelle vers l'autorité compétente, les autorités européennes de surveillance et les CSIRT.

Une banque régionale détecte une campagne de phishing ciblant ses clients professionnels, avec un domaine d'hameçonnage et une adresse IP de collecte identifiés. Elle publie ces deux indicateurs, anonymisés de tout élément identifiant sa propre infrastructure, sur la plateforme de son ISAC. Dans les heures qui suivent, deux autres établissements membres bloquent préventivement ces indicateurs sur leurs passerelles de messagerie, avant même d'avoir été ciblés par la même campagne.

Ce qui circule, et ce qui ne doit pas circuler

L'article 45 vise explicitement des informations techniques de nature défensive : indicateurs de compromission, modes opératoires, alertes, outils de configuration. Il ne vise pas — et ne peut en aucun cas couvrir — l'échange d'informations commerciales sensibles entre concurrents.

Cette frontière est structurante et se traduit concrètement par :

anonymisation systématique de toute donnée permettant d'identifier l'entité victime, sauf accord exprès de celle-ci pour être nommée (utile pour coordonner une réponse commune à une campagne active) ;
exclusion des données commerciales : volumes de transactions, parts de marché ou stratégies tarifaires n'ont strictement rien à faire dans un canal de threat intelligence, même de façon incidente ;
minimisation des données personnelles : un journal brut contenant des adresses IP clientes ou des identifiants utilisateurs doit être filtré avant diffusion, l'objectif étant l'indicateur technique, pas la donnée source complète.

Confidentialité et protocole TLP

La plupart des dispositifs de partage de renseignement cyber, ISAC compris, utilisent le Traffic Light Protocol (TLP) pour indiquer le niveau de diffusion autorisé d'une information :

Niveau	Diffusion autorisée
TLP:RED	Destinataires nommés uniquement, aucune rediffusion
TLP:AMBER	Organisation du destinataire et ses clients concernés, sur besoin d'en connaître
TLP:GREEN	Communauté sectorielle élargie, hors diffusion publique
TLP:CLEAR (ex-WHITE)	Diffusion publique sans restriction

Ce marquage n'est pas une formalité décorative : il conditionne juridiquement ce que le destinataire a le droit de faire de l'information reçue. Rediffuser un indicateur marqué TLP:AMBER en dehors du périmètre autorisé constitue une rupture de l'arrangement de confiance et peut, à terme, exclure l'entité fautive du dispositif.

Avant de rejoindre un ISAC, vérifiez que votre équipe sécurité sait lire et respecter le TLP dans ses propres outils de diffusion interne (SIEM, plateforme de threat intelligence, tickets). Un indicateur TLP:AMBER copié tel quel dans un rapport transmis à un partenaire commercial est une violation, même involontaire.

Droit de la concurrence : un garde-fou à ne pas sous-estimer

L'échange d'informations entre concurrents est, par principe, surveillé par le droit de la concurrence. Un partage mal cadré pourrait, en théorie, servir de paravent à une coordination anticoncurrentielle. C'est précisément pour cette raison que l'article 45 impose que les arrangements de partage respectent pleinement les règles de concurrence applicables.

En pratique, cela se traduit par un périmètre d'échange strictement limité à l'information technique de sécurité, une gouvernance de l'ISAC séparée de toute instance de représentation commerciale du secteur, et des chartes d'adhésion qui rappellent explicitement cette limite, souvent validées en amont par un conseil juridique. Ce garde-fou explique aussi pourquoi de nombreux ISAC recourent à une agrégation ou une anonymisation centralisée par leur secrétariat plutôt qu'à des échanges bilatéraux directs entre membres concurrents.

RGPD et données personnelles

Les indicateurs de compromission techniques — hachages de fichiers, domaines, adresses IP d'infrastructure attaquante — ne constituent généralement pas des données à caractère personnel au sens du RGPD. Le risque apparaît lorsque l'indicateur est extrait d'un contexte plus large : un journal d'authentification complet, un extrait de messagerie, une liste d'utilisateurs ciblés par une campagne de phishing.

La règle pratique à retenir : tout ce qui identifie ou permet de ré-identifier une personne physique doit être retiré ou pseudonymisé avant diffusion, sauf strict besoin opérationnel documenté et base légale identifiée. Un ISAC sérieux impose cette discipline dans sa charte d'adhésion et propose souvent des gabarits de soumission d'indicateurs qui excluent structurellement les champs à risque.

Le rôle des autorités compétentes

DORA prévoit que les entités financières participant à un arrangement de partage au titre de l'article 45 en informent leur autorité compétente — lors de leur adhésion, et en cas de cessation de participation. Cette notification ne porte pas sur le contenu des échanges, mais sur le fait même de la participation : l'autorité doit savoir quelles entités sont engagées dans quels dispositifs, sans pour autant superviser le détail des indicateurs échangés.

Les autorités peuvent elles-mêmes être associées aux dispositifs de partage lorsque c'est pertinent, aux côtés de la Banque centrale européenne et des autorités européennes de surveillance. En France, l'articulation typique implique :

l'ACPR pour le secteur bancaire et assurantiel, en tant qu'autorité compétente au sens de DORA ;
l'AMF pour les acteurs des marchés financiers ;
le CERT-FR, rattaché à l'ANSSI, comme point de contact technique national pour la coordination sur incidents et menaces, y compris hors périmètre strictement financier ;
les ESAs (EBA, ESMA, EIOPA) au niveau européen, pour la coordination transfrontalière et la remontée agrégée d'informations utiles à la supervision sectorielle.

Omettre cette notification n'invalide pas l'adhésion elle-même, mais constitue un manquement à une obligation distincte de DORA, susceptible d'être relevé lors d'un contrôle — indépendamment de la qualité du partage d'information en tant que tel.

Pièges fréquents observés en pratique

confondre le partage volontaire de l'article 45 avec l'obligation de notification d'incident majeur de l'article 19, au point de ne plus notifier un incident réel parce que « l'ISAC est déjà informé » ;
diffuser un indicateur brut extrait d'un journal de sécurité sans anonymisation, exposant par inadvertance l'identité de la victime ou des données personnelles ;
ignorer le marquage TLP et rediffuser en interne, puis vers des partenaires commerciaux, une information reçue sous restriction ;
rejoindre un ISAC sans en informer l'autorité compétente, ou omettre de la notifier lors d'un retrait ;
laisser le sujet de la threat intelligence sectorielle reposer sur un seul collaborateur, sans procédure documentée ni suppléance en cas d'absence ;
traiter le partage d'information comme un exercice de communication d'image plutôt que comme un outil opérationnel de défense, ce qui conduit à des indicateurs publiés trop tard pour être utiles.

Checklist avant de rejoindre un dispositif de partage

identifier le ou les ISAC pertinents pour le profil de l'entité (national, sectoriel, international) ;
faire valider la charte d'adhésion par la fonction juridique, en particulier sur les clauses de confidentialité et de concurrence ;
former l'équipe sécurité à la lecture et au respect du protocole TLP ;
définir un gabarit interne de soumission d'indicateurs excluant par construction les données personnelles et commerciales ;
notifier l'autorité compétente de la participation, dès l'adhésion effective ;
documenter dans une procédure interne l'articulation entre partage ISAC et notification réglementaire d'incident, pour éviter toute confusion en situation de crise ;
désigner un point de contact et un suppléant pour assurer la continuité de la veille et de la contribution au dispositif.

Ce qu'il faut retenir

Le partage d'information sur les menaces relève d'une logique différente du reste de DORA : il ne s'agit pas d'une contrainte descendante mais d'un outil collectif de défense, dont le règlement sécurise le cadre juridique sans en imposer l'usage. Sa valeur dépend entièrement de la discipline mise dans son exécution — anonymisation, respect du TLP, séparation stricte d'avec toute information commerciale — et de la clarté avec laquelle une entité distingue ce canal des obligations de notification proprement dites. Le chapitre suivant reprend cette logique de coordination à l'échelle de la supervision européenne, avec le cadre de surveillance des prestataires TIC critiques.

L'essentiel à retenir

Ce chapitre détaille le régime de l'article 45 de DORA, qui encourage sans l'imposer le partage d'informations et de renseignements sur les cybermenaces entre entités financières au sein de dispositifs de confiance comme les ISAC sectoriels. Il distingue ce partage volontaire entre pairs des obligations de notification aux autorités compétentes prévues par d'autres articles du règlement, souvent confondues à tort. Il couvre les garde-fous obligatoires — protocole TLP, anonymisation, respect du droit de la concurrence et du RGPD — ainsi que le rôle des autorités nationales, des autorités européennes de surveillance et des CSIRT dans ces échanges. Il se conclut par les pièges observés en pratique et une checklist avant de rejoindre un dispositif de partage.

Questions fréquentes

Une PME du secteur financier doit-elle absolument rejoindre un ISAC pour être conforme à DORA ?

Non. L'article 45 encadre un dispositif volontaire ; aucune obligation de participation n'existe. Une entité reste pleinement conforme à DORA sans jamais rejoindre d'ISAC, à condition de respecter par ailleurs ses obligations propres de gestion des risques, de tests de résilience et de notification d'incidents.

Que se passe-t-il si une information partagée dans un ISAC s'avère finalement inexacte ?

Les chartes d'adhésion des ISAC prévoient généralement un mécanisme de correction ou de retrait d'indicateur en cas d'erreur avérée. Ce risque fait partie du fonctionnement normal du renseignement cyber, où l'information doit souvent circuler vite avant d'être totalement validée ; c'est précisément pour cela que le cadre de confidentialité (accès restreint, marquage TLP) limite les conséquences d'une éventuelle imprécision.

Le partage d'un indicateur dans un ISAC dispense-t-il de notifier un incident majeur à l'ACPR ou à l'AMF ?

Non, absolument pas. Ce sont deux obligations distinctes qui peuvent coexister sur un même événement. Le partage d'un indicateur au sein d'un ISAC relève de l'article 45, volontaire et horizontal entre pairs ; la notification d'incident majeur relève de l'article 19, obligatoire et verticale vers l'autorité compétente. L'un ne remplace jamais l'autre.

Peut-on partager un indicateur de compromission sans anonymiser la victime ?

Techniquement oui, si la victime y consent explicitement, ce qui peut même faciliter une réponse coordonnée entre plusieurs entités touchées par une même campagne. Mais la pratique par défaut, et celle imposée par la plupart des chartes d'ISAC, est l'anonymisation systématique : l'objectif du partage est l'indicateur technique exploitable, pas l'identification de la victime.

Quelle est la différence entre TLP:AMBER et TLP:GREEN en pratique ?

TLP:AMBER limite la diffusion à l'organisation du destinataire et à ses clients directement concernés, sur un principe de besoin d'en connaître. TLP:GREEN autorise une diffusion plus large au sein de la communauté sectorielle, mais toujours sans publication ouverte. Confondre les deux niveaux, par exemple en republiant un indicateur TLP:AMBER sur un canal ouvert à toute la communauté, constitue une violation de l'arrangement de confiance.

Les autorités compétentes ont-elles accès au contenu détaillé des échanges au sein d'un ISAC ?

Pas systématiquement. Ce que DORA prévoit, c'est que l'entité financière informe son autorité de sa participation au dispositif, pas qu'elle lui transmette le détail des indicateurs échangés. Les autorités peuvent en revanche être associées directement à certains arrangements de partage lorsque c'est jugé pertinent, notamment pour des menaces d'ampleur systémique.

Un ISAC sectoriel finance et un CSIRT national comme le CERT-FR jouent-ils le même rôle ?

Non. Un ISAC est une structure sectorielle, souvent privée ou associative, centrée sur l'échange entre pairs d'un même secteur d'activité. Un CSIRT national comme le CERT-FR est une capacité publique de coordination et de réponse aux incidents, avec un périmètre qui dépasse le seul secteur financier. Les deux se complètent et échangent souvent des informations, sans se substituer l'un à l'autre.

Progression sauvegardée dans votre navigateur.

Quiz de validation

Quiz indisponible (données invalides).

Besoin d'un accompagnement complet ? De la gap analysis à la certification — nos experts vous guident.

Devis gratuit