DORA : le guide complet du règlement

Le règlement DORA, officiellement règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022, porte sur la résilience opérationnelle numérique du secteur financier. Il a été publié au Journal officiel de l'Union européenne le 27 décembre 2022, est entré en vigueur le 16 janvier 2023 et s'applique depuis le 17 janvier 2025.

Le règlement définit la résilience opérationnelle numérique comme la capacité d'une entité financière à développer, garantir et réévaluer son intégrité opérationnelle, en s'appuyant sur ses propres moyens informatiques ou sur ceux de prestataires, pour que ses systèmes restent sûrs et ses services continuent de fonctionner, y compris pendant une perturbation. En clair : il ne s'agit plus seulement d'empêcher les attaques, mais de continuer à servir ses clients quand l'informatique flanche, quelle qu'en soit la cause.

Les TIC (technologies de l'information et de la communication) désignent ici l'ensemble des systèmes, réseaux, logiciels et services numériques sur lesquels reposent les activités financières. Le risque lié aux TIC couvre aussi bien la cyberattaque que la panne, l'erreur humaine ou la défaillance d'un prestataire.

Pourquoi un règlement européen spécifique ?

Avant DORA, les exigences de sécurité informatique des acteurs financiers étaient dispersées entre des textes sectoriels (banque, assurance, marchés) et des orientations des autorités européennes, avec des niveaux de détail très variables. Le législateur européen a voulu un socle unique pour tout le secteur, harmoniser la notification des incidents et donner aux autorités un droit de regard sur les grands prestataires informatiques dont dépend le système financier, comme les fournisseurs d'informatique en nuage.

DORA s'accompagne d'une directive (UE) 2022/2556, adoptée le même jour, qui ajuste les directives sectorielles existantes (banque, assurance, paiement, marchés) pour y faire référence. En France, ce volet « directive » fait partie du projet de loi relatif à la résilience des infrastructures critiques, dont l'examen à l'Assemblée nationale est encore en cours en octobre 2026 (voir notre article sur la loi résilience). Le règlement, lui, s'applique déjà pleinement.

L'article 1er du règlement énumère les exigences imposées aux entités financières. On les présente en général sous la forme de cinq piliers, qui correspondent chacun à un chapitre du texte :

1. Pilier 1 Gestion du risque lié aux TIC Un cadre documenté, sous la responsabilité de l'organe de direction : identifier, protéger, détecter, répondre, rétablir, apprendre. Articles 5 à 16.
2. Pilier 2 Incidents majeurs liés aux TIC Gérer, classer et notifier les incidents majeurs à l'autorité compétente dans des délais fixés. Articles 17 à 23.
3. Pilier 3 Tests de résilience et TLPT Un programme de tests annuel et, pour les entités désignées, un test de pénétration fondé sur la menace tous les trois ans. Articles 24 à 27.
4. Pilier 4 Prestataires tiers de services TIC Stratégie, registre d'information, clauses contractuelles, stratégies de sortie et supervision des prestataires critiques. Articles 28 à 44.
5. Pilier 5 Partage d'informations Échanger entre entités financières des informations sur les cybermenaces, dans un cadre de confiance. Article 45.

Le cinquième pilier est le plus court : l'article 45 autorise les entités financières à partager entre elles des indicateurs de compromission, des tactiques et procédures d'attaquants ou des alertes, au sein de communautés de confiance et dans le respect du secret des affaires, du RGPD et du droit de la concurrence. Une entité qui rejoint ou quitte un tel dispositif doit en informer son autorité compétente.

L'article 2 dresse la liste des entités financières soumises au règlement : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, dépositaires centraux, contreparties centrales, plateformes de négociation, gestionnaires de fonds d'investissement alternatifs et sociétés de gestion, entreprises d'assurance et de réassurance, intermédiaires d'assurance, institutions de retraite professionnelle, agences de notation, prestataires de financement participatif, entre autres. Il vise aussi les prestataires tiers de services TIC, dans la mesure où le chapitre V les encadre.

Certaines entités sont exclues (petits intermédiaires d'assurance, petites institutions de retraite, certains gestionnaires sous les seuils de la directive AIFM…) et d'autres relèvent d'un cadre simplifié. Le chapitre entités concernées par DORA détaille la liste, les exclusions et le principe de proportionnalité.

Le règlement charge les trois autorités européennes de surveillance (AES) de rédiger des normes techniques, adoptées ensuite par la Commission : l'Autorité bancaire européenne (EBA), l'Autorité européenne des assurances et des pensions professionnelles (EIOPA) et l'Autorité européenne des marchés financiers (ESMA). Les RTS (normes techniques de réglementation) précisent le fond ; les ITS (normes techniques d'exécution) fixent les formulaires et modèles. Ce sont elles qui donnent les chiffres que le règlement ne fixe pas.

En France, les autorités compétentes sont l'ACPR (Autorité de contrôle prudentiel et de résolution) pour les banques, les assureurs, les mutuelles et les établissements de paiement, et l'AMF (Autorité des marchés financiers) pour les sociétés de gestion, les prestataires sur crypto-actifs et les acteurs de marché. Ce sont elles qui reçoivent les notifications d'incidents majeurs et le registre d'information, et qui contrôlent la conformité. Pour les grandes banques supervisées directement par la Banque centrale européenne, les notifications transitent par l'autorité nationale.

Le bilan dressé par l'ACPR huit mois après l'entrée en application (présentation du 9 octobre 2025, mise en ligne en janvier 2026) donne le ton : délais de notification rarement tenus, critères de classification mal compris, registres souvent rejetés pour des erreurs de format. L'autorité annonçait pour 2026 une supervision renforcée, avec des contrôles sur place pour les entités les plus exposées.

Contrairement au RGPD ou à NIS 2, DORA ne fixe pas de montant d'amende pour les entités financières. L'article 50 laisse aux États membres le soin de prévoir des sanctions administratives « effectives, proportionnées et dissuasives » et impose un minimum de pouvoirs aux autorités : ordonner la cessation d'un manquement, exiger des mesures correctrices, y compris financières, publier un avertissement public nommant le responsable. Ces mesures peuvent viser les membres de l'organe de direction lorsque le droit national le prévoit.

Seuls les prestataires tiers critiques ont un régime chiffré au niveau européen : leur superviseur principal peut leur infliger une astreinte quotidienne pouvant atteindre 1 % de leur chiffre d'affaires quotidien moyen mondial, pendant six mois au plus (article 35).

Le fil rouge de ce guide est une entité fictive : la Mutuelle Lumen, mutuelle santé et prévoyance d'environ 420 salariés qui protège 280 000 personnes. Elle relève de Solvabilité II, donc de DORA, sous le contrôle de l'ACPR. Voici l'ordre dans lequel son équipe a abordé le règlement, chapitre après chapitre :

1. vérifier son statut et le régime applicable (général ou simplifié) : entités concernées ;
2. lister ses fonctions critiques ou importantes et les actifs informatiques qui les soutiennent : gestion du risque lié aux TIC ;
3. fixer une procédure de classification et de notification des incidents, avec les délais en heures : incidents majeurs ;
4. bâtir un programme de tests annuel : tests de résilience et TLPT ;
5. inventorier ses contrats informatiques dans le registre d'information et revoir les clauses : prestataires et registre ;
6. articuler DORA avec ses autres référentiels : DORA et NIS 2, ISO 27001, RGPD.