La réglementation DORA ne se contente pas de demander une « bonne gestion des accès » : son texte technique, le règlement délégué (UE) 2024/1774, consacre un article à la gestion des identités (article 20) et un autre au contrôle d’accès logique (article 21). Cet article les lit pour ce qu’ils exigent, sans y ajouter de produit. C’est un satellite du silo Conformité UE/FR.

Périmètre et dates. Le règlement (UE) 2022/2554 (DORA) est directement applicable depuis le 17 janvier 2025 aux entités financières qu’il vise. Les normes techniques sur le cadre de gestion du risque lié aux TIC ont été adoptées par le règlement délégué (UE) 2024/1774, publié au Journal officiel de l’Union européenne le 25 juin 2024. Les entités relevant du cadre simplifié prévu par DORA relèvent de dispositions distinctes, que cet article ne traite pas.

Article 20 : une identité unique, un cycle de vie maîtrisé

L’article 20 pose le socle sur lequel repose le contrôle d’accès. Il demande aux entités financières :

• d’attribuer à chaque membre du personnel et à chaque prestataire tiers de services TIC une identité unique, correspondant à un compte utilisateur unique ;
• de définir des processus de création, de modification, de revue, de désactivation temporaire et de clôture des comptes ;
• de conserver la trace des attributions d’identité, y compris après une réorganisation ou la fin d’un contrat, dans le respect des durées de conservation applicables ;
• de recourir, lorsque c’est possible, à des solutions automatisées pour gérer ce cycle de vie.

Deux points méritent d’être soulignés. D’abord, l’article cite explicitement les prestataires tiers : l’identité des intervenants externes n’est pas une catégorie à part. Ensuite, le texte distingue désactivation temporaire et clôture : ce sont deux opérations de nature différente, à choisir selon le contexte (suspension pendant une absence, fermeture définitive en fin de relation), et non les étapes d’une même chaîne. Cette logique rejoint celle du cycle de vie des identités (JML).

Le texte demande de l’automatisation « lorsque c’est possible » : ce n’est pas une obligation d’acquérir un outil d’IGA, mais une attente que les processus manuels soient l’exception justifiée. Le provisioning et le déprovisioning sont les mécanismes qui portent cette automatisation en pratique.

Article 21 : une politique d’accès avec des exigences précises

L’article 21 impose une politique de gestion des droits d’accès dont le contenu est assez détaillé :

Thème	Exigence
Attribution des droits	Selon les principes du besoin d’en connaître, du besoin d’agir et du moindre privilège, y compris pour les accès à distance et les accès d’urgence
Séparation des tâches	Empêcher l’accès non autorisé à des données critiques et les combinaisons de droits permettant de contourner les contrôles
Traçabilité	Limiter les comptes génériques ou partagés et pouvoir relier chaque action à une personne
Procédures	Octroi, modification et retrait des droits, avec des rôles et responsabilités de décision définis
Accès privilégiés et d’urgence	Accordés au cas par cas
Retrait	Sans délai injustifié à la fin de l’emploi ou quand l’accès n’est plus nécessaire
Revue	Annuelle, ou tous les six mois pour les fonctions critiques ou importantes
Authentification forte	Pour les accès à distance, les accès privilégiés et les systèmes supportant des fonctions critiques
Accès physiques	Identification, journalisation et surveillance dans les centres de données et zones sensibles, avec revue des droits

Ce qui distingue DORA de NIS2 sur ce point, c’est la précision : la revue des droits a une fréquence fixée, la séparation des tâches est nommée, et l’authentification forte vise des cas définis. Pour une entité financière, la question n’est plus « faut-il revoir les droits ? » mais « les revues semestrielles des fonctions critiques sont-elles tracées et leurs écarts traités ? ».

Les principes du besoin d’en connaître et du moindre privilège se déclinent concrètement dans le choix d’un modèle de contrôle d’accès (RBAC, ABAC, PBAC) et dans la construction d’une structure de rôles exploitable.

« Sans délai injustifié » n’est pas chiffré : le texte ne fixe pas de délai en heures ou en jours. C’est à l’entité de définir et de justifier le sien.

Les prestataires TIC dans le périmètre des identités

Comme l’article 20 vise les prestataires tiers de services TIC, leurs intervenants doivent avoir une identité unique et nominative, avec un cycle de vie géré et tracé. Les comptes partagés « de support », fréquents chez les infogéreurs, entrent en tension avec l’exigence de traçabilité de l’article 21. C’est une conséquence de lecture des deux articles, pas une phrase du texte.

Cette articulation entre identités internes et externes est précisément l’un des points structurants d’une démarche de gouvernance des identités (IGA), au-delà du périmètre strictement financier.

FAQ

DORA impose-t-elle une fréquence de revue des droits ? Oui : annuelle, ou semestrielle pour les fonctions critiques ou importantes (article 21 du règlement délégué 2024/1774).

Les comptes partagés sont-ils interdits ? Le texte demande de les limiter et de maintenir la traçabilité des actions ; il ne les interdit pas de manière absolue.

Faut-il un outil d’IGA pour être conforme ? Non. L’article 20 demande de l’automatisation « lorsque c’est possible », pas un produit particulier.

Conclusion

Sur l’identité et les accès, DORA est plus prescriptive que NIS2 : identité unique, revues à fréquence fixée, séparation des tâches, authentification forte pour les cas à risque. Pour une entité financière, le travail consiste à pouvoir montrer, pour chaque population et chaque fonction critique, la décision, la date et le suivi des écarts.

Sources

• Règlement délégué (UE) 2024/1774 — article 20, gestion des identités.
• Règlement délégué (UE) 2024/1774 — article 21, contrôle d’accès.
• Règlement (UE) 2022/2554 (DORA) — texte de référence au Journal officiel de l’Union européenne.