Automatiser sa conformité DORA (résilience opérationnelle numérique) avec n8n

Depuis le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act, UE 2022/2554) s'applique directement aux entités financières et à leurs prestataires de services TIC critiques — banques, établissements de paiement, assurances, sociétés de gestion, prestataires sur crypto-actifs, mais aussi les fintechs et néobanques qui pensaient parfois échapper à une réglementation historiquement associée aux grandes banques. Deux obligations concentrent l'essentiel de la charge opérationnelle : tenir à jour un registre de tous les contrats avec des prestataires TIC, transmis chaque année aux autorités au plus tard le 31 mars, et notifier tout incident TIC majeur dans un délai de 4 heures après sa classification. Deux obligations qui se prêtent mal à un suivi manuel sur tableur partagé, et particulièrement bien à un pipeline n8n.

Ce que DORA impose concrètement

Trois piliers structurent le règlement, avec des niveaux d'urgence très différents :

• Le registre d'information (article 28). Chaque entité financière doit recenser l'ensemble de ses contrats avec des prestataires TIC — y compris la sous-traitance en cascade lorsqu'un prestataire fait lui-même appel à un sous-traitant. Pour chaque contrat : identité et pays du prestataire, fonction assumée, niveau de criticité, dates de début et de fin, et pour les fonctions jugées critiques ou importantes, une évaluation de la substituabilité du prestataire. Ce registre est transmis aux autorités compétentes (ACPR ou AMF en France selon le secteur) au plus tard le 31 mars de chaque année.
• La notification d'incident majeur. Les critères de classification — nombre de clients affectés, durée de l'incident, impact financier, portée géographique — sont fixés par les normes techniques de réglementation (RTS) publiées par les autorités européennes de surveillance (EBA, ESMA, EIOPA) en 2024. Une fois l'incident classé majeur, la notification initiale part sous 4 heures, avec un plafond absolu de 24 heures après la détection. Suivent un rapport intermédiaire sous 72 heures, puis un rapport final sous un mois.
• La proportionnalité. Les micro-entreprises et petites structures bénéficient d'un cadre de gestion des risques TIC simplifié, mais ne sont pas exemptées du registre ni de la notification d'incident. Les sanctions, elles, ne sont pas symboliques : jusqu'à 2 % du chiffre d'affaires mondial annuel pour une entité financière, et jusqu'à 1 % du chiffre d'affaires journalier moyen mondial pour un prestataire TIC critique désigné comme tel par les autorités.

Pourquoi la fenêtre de 4 heures change la donne

Une revue du règlement publiée en 2024 dans l'International Journal of Computer Engineering and Technology par Naga Ravi Kiran Alugoju, Digital Operational Resilience Act (DORA), souligne que la difficulté opérationnelle de DORA ne tient pas tant à la sévérité des exigences qu'à leur simultanéité : gestion des risques, tests de résilience, gouvernance de la chaîne de sous-traitance et reporting d'incident doivent progresser de front, avec des horloges de conformité qui ne laissent aucune marge une fois l'incident classé majeur. C'est exactement ce type de contrainte temporelle stricte, combinée à un registre qui doit rester à jour en continu plutôt que reconstitué une fois par an dans l'urgence, qu'un pipeline automatisé sait absorber sans y consacrer une équipe dédiée.

Construire le registre TIC (article 28) dans n8n

Le principe reprend celui déjà détaillé pour la checklist NIS2 : transformer un questionnaire statique en protocole conversationnel structuré, sur la base du Pack Conformité & Audit (149 €).

1. Adapter le protocole du bot de questionnaire guidé pour couvrir les champs de l'article 28 : identité du prestataire, pays, fonction assumée, niveau de criticité, dates contractuelles, et — pour les fonctions critiques — l'évaluation de substituabilité. Une entrée par contrat plutôt qu'un formulaire unique évite de perdre le fil sur une chaîne de sous-traitance longue.
2. Enregistrer chaque réponse validée dans Supabase via le workflow d'enregistrement d'audit, sur le modèle déjà utilisé pour la piste d'audit RGPD. C'est cette table horodatée, mise à jour au fil de l'eau, qui constitue le vrai registre — pas un fichier Excel reconstitué la veille de l'échéance.
3. Générer l'export annuel avec notre guide d'extraction Excel/CSV n8n : un nœud planifié interroge la table quelques semaines avant le 31 mars et produit le fichier structuré attendu par l'autorité compétente, prêt à être vérifié plutôt que rédigé à la main.
4. Relancer les contrats incomplets ou expirés avec le workflow de relances automatiques : un cron identifie les fiches sans date de fin, sans évaluation de substituabilité, ou dont le contrat arrive à échéance, et relance le responsable achats ou juridique concerné.

Automatiser la détection et la notification sous 4 heures

La difficulté de DORA n'est pas de détecter un incident, mais de tenir le délai une fois qu'il est classé majeur. Un Error Workflow n8n branché sur vos systèmes critiques, complété par un webhook sécurisé qui reçoit les alertes de votre SIEM, de votre fournisseur cloud ou de votre outil de supervision, peut déclencher une alerte immédiate dès qu'un seuil de gravité est franchi. La qualification — l'incident dépasse-t-il les seuils quantitatifs du RTS et mérite-t-il d'être classé majeur ? — reste une décision humaine, routée via une validation par node Wait dans Slack : le workflow alerte et pré-remplit les champs du rapport à partir des logs disponibles, la personne responsable de la conformité confirme la classification et déclenche l'horloge des 4 heures en connaissance de cause. Pour pré-qualifier automatiquement la gravité à partir des logs bruts sans jamais trancher seul les cas ambigus, un Structured Output Parser en sortie d'un nœud IA structure la sévérité, les systèmes touchés et une estimation du nombre de clients affectés, dans un format directement exploitable par la personne qui doit décider.

Suivre les tests de résilience et les échéances récurrentes

DORA impose aussi des tests réguliers de résilience opérationnelle, dont la fréquence varie selon la taille et le profil de risque de l'entité. Un Schedule Trigger correctement configuré programme les rappels de campagne de tests, la relance du registre avant le 31 mars, et la revue périodique des contrats prestataires arrivant à échéance — le même mécanisme que celui utilisé pour la piste d'audit RGPD ou la checklist NIS2, appliqué ici au calendrier propre à DORA. Pour les entités qui gèrent en parallèle des preuves techniques de sécurité (MFA réellement activé, sauvegardes réellement testées), notre article sur l'automatisation des preuves de conformité ISO 27001 / SOC 2 détaille comment coupler ce suivi déclaratif à une collecte technique via API.

Pièges fréquents

• Traiter le registre comme un exercice annuel. Un registre reconstitué en février pour l'échéance de mars accumule les oublis sur la sous-traitance en cascade ; tenu à jour contrat par contrat au fil de l'eau, il ne demande qu'un export au moment venu.
• Confondre détection et classification. Le compteur des 4 heures démarre à la classification « majeur », pas à la détection technique — un processus de qualification trop lent grignote la marge disponible avant même que la notification ne commence.
• Oublier la sous-traitance en cascade. Un prestataire critique qui sous-traite lui-même une fonction essentielle doit apparaître dans le registre ; l'omettre expose l'entité au moment du contrôle, pas seulement le sous-traitant.
• Sous-dimensionner la revue humaine. L'automatisation accélère la détection et prépare le rapport, mais la classification d'un incident comme « majeur » engage la responsabilité de l'entité : elle doit rester une décision assumée, pas un seuil coché sans regard humain.

Pour aller plus loin

DORA combine une charge documentaire récurrente (le registre de l'article 28) et une contrainte de réactivité extrême (la notification sous 4 heures) — deux profils très différents que n8n peut couvrir avec les mêmes briques : protocole conversationnel, piste d'audit Supabase et relances automatiques. Le Pack Conformité & Audit (149 €) fournit ces briques prêtes à adapter au registre TIC et au calendrier DORA. Pour les entités financières qui doivent aussi surveiller leur boîte mail pour ne rater aucune alerte fournisseur ou mise en demeure réglementaire, le Bundle FlowKit Complet (269 €) réunit ce pack avec le Pack Inbox IA (79 €) et le Pack Assistant RAG (119 €).