Код открывает соединение, затем в том же try создаёт из него statement, и оба объявлены в скобках try-with-resources. В каком порядке они закроются?

Порядок не случаен: он гарантирует корректность в типичном случае, когда второй ресурс создан из первого. Закрыть соединение раньше statement означало бы работать с уже закрытым владельцем. Гарантия закрытия при этом полная — каждый объявленный ресурс будет закрыт, даже если close() предыдущего бросил исключение; такие исключения накапливаются как suppressed. Отсюда практический вывод: объявляйте зависимые ресурсы в естественном порядке создания и не пытайтесь закрывать что-либо вручную внутри блока.