DORA pour les banques et les assureurs : ce qui change vraiment

L'article 2 du règlement vise les établissements de crédit (point a), les entreprises d'assurance et de réassurance (point n) et les intermédiaires d'assurance (point o), aux côtés de dix-sept autres catégories détaillées au chapitre entités concernées. Les exigences sont identiques pour tous : cadre de gestion du risque lié aux TIC, incidents, tests, prestataires. Ce qui diffère, c'est l'héritage de chaque secteur et l'autorité qui contrôle.

Avant DORA, chaque secteur avait ses propres textes européens sur le risque informatique. Le règlement les a remplacés par des règles communes : les autorités européennes ont donc abrogé ou réduit leurs orientations pour éviter que deux textes ne disent la même chose différemment. La directive (UE) 2022/2556, qui accompagne le règlement, a de son côté modifié les directives sectorielles (exigences de fonds propres pour les banques, Solvabilité II pour les assureurs) pour qu'elles renvoient à DORA.

Des orientations de l'ABE au règlement

Avant DORA, les banques appliquaient les orientations de l'Autorité bancaire européenne (ABE, EBA en anglais) sur la gestion des risques liés aux TIC et à la sécurité (EBA/GL/2019/04), publiées fin 2019. DORA reprenant l'essentiel de leur contenu, l'ABE les a modifiées le 11 février 2025 : pour les établissements soumis au règlement, il n'en reste que la partie sur la relation avec les utilisateurs de services de paiement (information des clients, possibilité de désactiver certaines fonctions de paiement…). Cette version réduite s'applique depuis le 20 mai 2025.

Côté directive, les plans de continuité exigés des banques comprennent désormais les plans de continuité des activités de TIC, établis, gérés et testés selon l'article 11 de DORA. Une banque qui avait construit son dispositif sur les orientations de l'ABE n'a donc pas tout à refaire : elle doit surtout le confronter aux exigences plus précises du règlement délégué (UE) 2024/1774.

ACPR ou BCE : qui supervise une banque au titre de DORA ?

Selon l'article 46, l'autorité compétente pour un établissement de crédit est celle qui le supervise déjà, c'est-à-dire l'Autorité de contrôle prudentiel et de résolution (ACPR) en France, sans préjudice des missions confiées à la BCE par le mécanisme de surveillance unique. Concrètement :

• une banque importante (au sens du mécanisme de surveillance unique) est supervisée directement par la BCE, avec les équipes de l'ACPR ; en 2025, la BCE a mené sa première collecte des registres d'information de ces banques et lancé leurs premiers TLPT ;
• les autres établissements de crédit sont supervisés par l'ACPR, sur tous les volets de DORA.

Incidents, paiements et registre : les circuits propres aux banques

• Incidents majeurs : une banque importante adresse sa notification initiale et ses rapports à l'ACPR, qui les transmet immédiatement à la BCE (article 19). Les délais et formulaires sont ceux du chapitre incidents majeurs.
• Incidents de paiement : l'article 23 étend ces règles aux incidents opérationnels ou de sécurité liés aux paiements, pour les établissements de crédit, de paiement et de monnaie électronique. L'ACPR indique qu'ils se déclarent selon les mêmes modèles (règlement d'exécution 2025/302).
• Registre d'information : selon l'ACPR, un groupe dont la tête est une banque importante remet son registre au niveau consolidé le plus élevé, à la BCE ; les autres établissements le remettent à l'ACPR sur la plateforme OneGate.

TLPT et TIBER-FR

Les banques sont les premières concernées par le test de pénétration fondé sur la menace (TLPT). Le règlement délégué (UE) 2025/1190 demande aux autorités de soumettre à un TLPT les établissements de crédit reconnus comme établissements d'importance systémique, mondiale ou nationale, ou qui appartiennent à un tel groupe, sauf si leur évaluation conclut que ce n'est pas justifié. Une banque importante doit toujours faire appel à des testeurs externes (article 26).

En France, les autorités TLPT sont la Banque de France, l'ACPR et l'AMF, et la BCE pour les banques importantes. Le déroulement suit TIBER-FR, la déclinaison nationale du cadre européen d'exercices d'équipe rouge TIBER-EU, que l'Eurosystème a aligné sur DORA en février 2025 ; le guide de mise en œuvre est publié conjointement par la Banque de France, l'ACPR et l'AMF. L'ACPR précise que la liste des entités désignées reste confidentielle et qu'une campagne annuelle de tests d'intrusion ne vaut pas TLPT. Le détail des phases est au chapitre tests de résilience et TLPT.

Quels organismes d'assurance sont concernés ?

DORA s'applique aux entreprises d'assurance et de réassurance soumises à Solvabilité II, quelle que soit leur forme : sociétés d'assurance, mutuelles du code de la mutualité, institutions de prévoyance. Les plus petites, exclues de Solvabilité II par l'article 4 de la directive 2009/138/CE, sont aussi hors du champ de DORA. La révision de Solvabilité II (directive (UE) 2025/2) relève ces seuils d'exclusion à 15 millions d'euros de primes annuelles et 50 millions d'euros de provisions techniques à partir du 30 janvier 2027 : une mutuelle proche de ces montants a intérêt à vérifier sa situation avec l'ACPR.

Les institutions de retraite professionnelle sont visées au-delà de quinze affiliés, les plus petites relevant du cadre simplifié de l'article 16. Pour tous ces organismes, l'autorité compétente est l'ACPR, qui a publié le 18 décembre 2024 une notice décrivant le cadre de gestion du risque lié aux TIC qu'elle attend d'eux.

Solvabilité II et DORA : qui fait quoi ?

Solvabilité II imposait déjà un système de gouvernance et des plans d'urgence pour assurer la continuité des activités (article 41). La directive 2022/2556 a modifié cet article pour que les systèmes d'information des assureurs soient mis en place et gérés conformément à DORA. Solvabilité II reste le cadre général (fonctions clés, sous-traitance à l'article 49, évaluation interne des risques) ; DORA en devient la règle détaillée pour tout ce qui touche au numérique.

Du côté européen, l'Autorité européenne des assurances et des pensions professionnelles (AEAPP, EIOPA en anglais) a abrogé à compter du 17 janvier 2025 ses orientations sur la sécurité et la gouvernance des TIC ainsi que celles sur la sous-traitance à des prestataires de services en nuage, en estimant que DORA en couvrait entièrement les objectifs. Un assureur qui s'était aligné sur ces orientations dispose donc d'une bonne base, à compléter sur les points propres à DORA : classification et notification des incidents en heures, registre d'information, clauses de l'article 30.

La proportionnalité dans l'assurance

La plupart des assureurs et mutuelles relèvent du régime général, appliqué avec la proportionnalité de l'article 4 : une mutuelle régionale n'a pas les moyens d'un grand groupe, et l'ACPR en tient compte dans son contrôle. Le TLPT ne vise que les plus grands acteurs : le règlement délégué 2025/1190 fixe pour les assureurs des seuils de primes émises et de provisions techniques qui se comptent en milliards d'euros, que l'autorité complète par sa propre appréciation.

Les difficultés sont réelles : dans le questionnaire présenté par l'ACPR en janvier 2026, 25 % des assureurs interrogés déclaraient au moins un incident majeur en 2025, contre 17 % des banques, et 30 % se jugeaient encore partiellement conformes sur la gestion des prestataires à la fin de 2025.

Les intermédiaires d'assurance : exclus ou non ?

L'article 2, paragraphe 3, exclut les intermédiaires d'assurance, de réassurance et à titre accessoire qui sont des microentreprises, petites ou moyennes entreprises. Au sens du règlement, une entreprise moyenne emploie moins de 250 personnes et ne dépasse pas 50 millions d'euros de chiffre d'affaires ou 43 millions d'euros de total de bilan. Un grand courtier qui dépasse ces seuils applique toutes les dispositions : l'ACPR précise qu'il remet un registre d'information et notifie ses incidents majeurs, sur base individuelle.

Quel que soit le secteur, la démarche reste la même : vérifier le régime applicable, faire porter le projet par l'organe de direction, comparer l'existant aux exigences, puis construire pilier par pilier. Le chapitre mise en conformité DORA en donne les étapes, et le suivant détaille le cadre de gestion du risque lié aux TIC.