Entités concernées par DORA : qui doit appliquer le règlement ?

Le règlement appelle entités financières l'ensemble des acteurs listés aux points a à t de son article 2, paragraphe 1. Chaque catégorie renvoie à un texte sectoriel européen, qui en donne la définition précise :

Le point u ajoute les prestataires tiers de services TIC : éditeurs, hébergeurs, infogérants, fournisseurs d'informatique en nuage. Ils ne sont pas des entités financières et n'ont pas à appliquer les piliers 1 à 3. Ils sont concernés indirectement, par les clauses que leurs clients financiers doivent leur imposer, et directement s'ils sont désignés prestataires critiques et placés sous la supervision des autorités européennes (voir le chapitre prestataires et registre d'information).

Le règlement ne s'applique pas à six catégories, toutes définies par renvoi à d'autres textes :

• les gestionnaires de fonds d'investissement alternatifs qui bénéficient de l'exemption de l'article 3, paragraphe 2, de la directive 2011/61/UE (en pratique, ceux qui restent sous les seuils d'actifs gérés de cette directive) ;
• les entreprises d'assurance et de réassurance exclues de Solvabilité II par l'article 4 de la directive 2009/138/CE, c'est-à-dire les plus petites ;
• les institutions de retraite professionnelle dont les régimes comptent au total 15 affiliés au plus ;
• les personnes exemptées au titre des articles 2 et 3 de la directive 2014/65/UE (MIF 2) ;
• les intermédiaires d'assurance, de réassurance et à titre accessoire qui sont des microentreprises ou des petites et moyennes entreprises ;
• les institutions de chèques postaux visées par la directive 2013/36/UE.

L'article 2, paragraphe 4, permet en outre aux États membres d'exclure certains petits établissements de crédit situés sur leur territoire, à condition de le notifier à la Commission.

L'article 4 pose une règle transversale : chaque entité met en œuvre la gestion du risque lié aux TIC (chapitre II) en tenant compte de sa taille, de son profil de risque global et de la nature, l'ampleur et la complexité de ses services, activités et opérations. Les chapitres sur les incidents, les tests et les prestataires s'appliquent selon la même logique, à travers les règles propres à chacun.

La proportionnalité ne dispense de rien : elle module le niveau de détail attendu, pas l'existence des obligations. Les autorités vérifient d'ailleurs, à partir du rapport de réexamen du cadre de gestion du risque, la façon dont chaque entité l'a appliquée. Le règlement délégué 2024/1774 le traduit en demandant de tenir compte, pour chaque politique, d'éléments comme le nombre de clients, l'interconnexion avec d'autres acteurs, le recours à des prestataires ou la criticité des services.

Les articles 5 à 15, qui forment le cœur du pilier « gestion du risque », ne s'appliquent pas à cinq catégories d'entités. Celles-ci appliquent à la place un cadre simplifié de gestion du risque lié aux TIC :

• les petites entreprises d'investissement non interconnectées ;
• les établissements de paiement exemptés au titre de la directive (UE) 2015/2366 ;
• les établissements exemptés au titre de la directive 2013/36/UE pour lesquels l'État membre n'a pas utilisé l'option d'exclusion de l'article 2, paragraphe 4 ;
• les établissements de monnaie électronique exemptés au titre de la directive 2009/110/CE ;
• les petites institutions de retraite professionnelle.

Le cadre simplifié reste exigeant : un dispositif documenté, une surveillance continue de la sécurité, des outils fiables, la détection rapide des incidents, l'identification des dépendances clés envers les prestataires, des plans de continuité testés avec au minimum des sauvegardes et des restaurations, des leçons tirées des tests et des incidents, et la sensibilisation du personnel. Le titre III du règlement délégué 2024/1774 en précise le contenu (gouvernance, classification des actifs, contrôle d'accès, sécurité des opérations, tests, continuité).

Le règlement définit la microentreprise comme une entité financière employant moins de 10 personnes et dont le chiffre d'affaires annuel ou le total du bilan ne dépasse pas 2 millions d'euros. Les plateformes de négociation, contreparties centrales, référentiels centraux et dépositaires centraux ne peuvent pas en être, quelle que soit leur taille.

Plusieurs articles prévoient des allègements pour elles. Quelques exemples relevés dans le texte :

Pour le secteur de l'assurance, DORA vise les entreprises d'assurance et de réassurance soumises à Solvabilité II, les institutions de retraite professionnelle de plus de quinze affiliés et les intermédiaires qui ne sont ni des microentreprises ni des PME. C'est ce que rappelle la notice publiée par l'ACPR le 18 décembre 2024, qui décrit le cadre de gestion du risque lié aux TIC attendu des organismes qu'elle contrôle. La notice précise que les plus petites institutions de retraite relèvent d'un cadre simplifié et que les informations sur le réexamen du cadre doivent pouvoir être remises à l'ACPR sur demande.

Selon le questionnaire de l'ACPR présenté en janvier 2026, 25 % des assureurs interrogés déclaraient avoir connu au moins un incident majeur au sens de DORA en 2025, contre 17 % des banques. L'externalisation reste le point faible : 30 % des assureurs se jugeaient encore partiellement conformes sur ce volet à la fin de 2025.

DORA s'applique entité par entité, mais plusieurs exigences se raisonnent aussi au niveau du groupe : la stratégie de risque lié aux prestataires et le registre d'information sont tenus au niveau individuel et, le cas échéant, aux niveaux sous-consolidé et consolidé (article 28). L'ACPR indique qu'un incident subi par une filiale européenne se déclare auprès de l'autorité compétente du pays où se trouve la filiale touchée, s'il remplit les critères d'incident majeur.

Prochaine étape : le cadre que toutes ces entités doivent bâtir, au chapitre gestion du risque lié aux TIC.