Depuis le 17 janvier 2025, le règlement DORA s'impose sans période de grâce à plus de 22 000 entités financières en Europe, transformant en profondeur la gestion des risques numériques du secteur. De nombreux dirigeants, DSI et responsables conformité ignorent encore si leur structure entre dans le périmètre de cette réglementation d'application directe, supervisée en France par l'ACPR et l'AMF. L'incident CrowdStrike de juillet 2024, durant lequel une mise à jour défaillante d'un seul éditeur a paralysé des milliers d'institutions financières en quelques heures, n'est pas un cas isolé : une panne des services Amazon Web Services (AWS) survenue en octobre 2025, soit après l'entrée en vigueur de DORA, a de nouveau affecté des entités financières de l'UE. Ces deux événements successifs — l'un avant, l'autre après l'application du règlement — démontrent que les exigences DORA en matière de plans de continuité, de stratégies de sortie et de gestion des risques liés aux tiers ne relèvent pas d'une conformité théorique, mais d'une nécessité opérationnelle immédiate. Cet article répond, sous forme de FAQ, aux questions les plus fréquentes sur le règlement DORA, ses obligations, la conformité attendue des entreprises et les sanctions encourues. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et droit des affaires, accompagne les entreprises dans la compréhension et la mise en œuvre de ces nouvelles exigences réglementaires.
DORA, pour Digital Operational Resilience Act, désigne le règlement européen (UE) 2022/2554, adopté le 14 décembre 2022 par le Parlement européen et le Conseil de l'UE. Publié au Journal officiel le 27 décembre 2022, il est applicable dans tous les États membres depuis le 17 janvier 2025, sans qu'aucune transposition nationale ne soit nécessaire. Son objectif est d'instaurer un cadre harmonisé de résilience opérationnelle numérique et de cybersécurité pour l'ensemble du secteur financier à l'échelle de l'Union.
DORA est complété par 13 normes techniques contraignantes (RTS et ITS), développées conjointement par l'EBA, l'ESMA et l'EIOPA. Livrées en deux vagues (Batch 1 publié au JOUE le 25 juin 2024 ; Batch 2 publié fin 2024 – début 2025), elles sont toutes entrées en vigueur le 17 janvier 2025. Ces normes détaillent les modalités pratiques d'application de chaque pilier : classification des incidents, cadre de gestion des risques TIC, clauses contractuelles, tests TLPT et registre d'informations. Les DSI et responsables conformité doivent impérativement consulter ces RTS et ITS (disponibles sur les sites de l'EBA, de l'ESMA et de l'EIOPA) en complément du règlement principal.
Le règlement est accompagné d'une directive (2022/2556), dont la date limite de transposition était fixée au 17 janvier 2025. Plus d'un an après cette échéance, la France n'avait pas encore achevé cette transposition, la Commission européenne ayant durci sa position vis-à-vis des États membres en retard (notamment une mise en demeure formelle adressée à l'Espagne). Le véhicule législatif français est le projet de loi dit « Résilience », qui transpose également la directive NIS2 (2022/2555) et la directive sur la résilience des entités critiques (2022/2557), et qui a reçu l'avis du Conseil d'État. Cette directive 2022/2556 modifie huit directives sectorielles existantes afin d'y insérer des renvois au règlement DORA : CRD IV (établissements de crédit), Solvabilité II (assurance), BRRD (résolution bancaire), IORP 2 (fonds de retraite professionnelle), MiFID II (marchés d'instruments financiers), AIFMD (fonds d'investissement alternatifs), PSD2 (services de paiement) et la directive OPCVM (2009/65/CE).
L'article 2 du règlement liste exhaustivement les entités financières directement visées. Sont notamment couverts :
Les prestataires tiers de services TIC — fournisseurs cloud, éditeurs de logiciels, opérateurs de data centers — ne sont pas directement soumis à DORA, mais y sont indirectement contraints par les obligations contractuelles que leurs clients financiers doivent leur imposer en vertu de l'article 30. Ceux désignés « critiques » par les Autorités Européennes de Surveillance font l'objet d'une supervision directe. Le 18 novembre 2025, les AES (EBA, ESMA, EIOPA) ont d'ailleurs publié la première liste officielle de 19 prestataires tiers de services TIC critiques (CTPP), dont 5 fournisseurs génériques d'infrastructure cloud. Le superviseur principal (Lead Overseer) de chaque CTPP désigné est déterminé en fonction du total cumulé des bilans des entités financières clientes du prestataire : l'EBA est compétente pour les prestataires dont l'activité est principalement tournée vers le secteur bancaire, l'ESMA pour les marchés de capitaux et le post-marché, et l'EIOPA pour le secteur de l'assurance. La coordination entre les trois AES est assurée par un Joint Oversight Committee (JOC) qui pilote les « Joint Examination Teams » (JET) chargées des inspections communes, dont les premiers examens complets sont prévus en 2026. Il est essentiel de souligner que la désignation d'un prestataire comme CTPP ne décharge en aucun cas l'entité financière cliente de ses propres obligations au titre des articles 28 à 30 de DORA (registre d'informations, clauses contractuelles, stratégie de sortie).
Un principe de proportionnalité s'applique aux microentreprises et petites entités non interconnectées (article 16), qui bénéficient d'un régime simplifié. Toutefois, ce régime allégé ne les dispense pas de la notification des incidents, de la tenue du registre d'informations ni de la gestion des risques tiers. Certaines entités — sociétés de financement, succursales de pays tiers — peuvent encore se trouver dans une incertitude juridique temporaire en raison du retard de transposition de la directive 2022/2556 en France. Une analyse juridique précise du périmètre est indispensable.
À noter : plus de 65 % des entités financières de l'UE utilisent au moins deux des trois principaux fournisseurs d'infrastructure cloud (AWS, Azure, Google Cloud Platform) pour des fonctions qualifiées de critiques. Ce risque de concentration sur les hyperscalers justifie précisément les exigences DORA en matière de plans de continuité et de stratégies de sortie opérationnelles. L'utilisation de ces fournisseurs n'est pas interdite par DORA, mais le règlement impose une maîtrise et une traçabilité rigoureuses du risque associé.
Les articles 5 à 14 imposent à chaque entité d'établir, maintenir et revoir un cadre documenté de gestion des risques TIC, approuvé par l'organe de direction (conseil d'administration, directoire). Ce cadre doit inclure des mesures techniques et organisationnelles couvrant la prévention, la détection, la réponse et le rétablissement. L'ACPR vérifie expressément que cette approbation émane bien de la direction, et non simplement de la DSI ou du RSSI. Les modalités pratiques de ce cadre sont détaillées dans les RTS adoptés par les AES, que chaque entité doit consulter pour structurer sa documentation interne.
Tout incident TIC classifié comme majeur — selon les sept critères du RTS 2024/1772, parmi lesquels le nombre de clients affectés, la durée d'interruption ou les pertes de données — déclenche un processus en trois temps : notification initiale dans les 4 heures suivant la classification, rapport intermédiaire à 72 heures, rapport final à un mois. En France, la transmission s'effectue via le portail OneGate pour les entités supervisées par l'ACPR, ou directement auprès de l'AMF. Le délai de 4 heures impose que les équipes d'astreinte disposent d'un arbre de décision documenté et d'une habilitation claire pour classifier un incident y compris en dehors des heures ouvrées.
Au-delà des incidents TIC majeurs généraux, l'article 23 du règlement impose également la notification de tous les incidents opérationnels ou de sécurité liés spécifiquement au paiement, pour les établissements de crédit, les établissements de paiement, les prestataires de services d'information sur les comptes et les établissements de monnaie électronique. Cette obligation de notification paiement constitue un régime distinct de la notification des incidents TIC majeurs et s'y cumule.
À noter : DORA prévoit, en complément de la notification obligatoire des incidents majeurs, une procédure de notification volontaire lors de cybermenaces significatives non encore réalisées. Encadrée par le RTS 2024/1772, cette notification s'adresse à l'autorité compétente (ACPR ou AMF) et vise à diffuser des informations de vigilance à l'ensemble des États membres. Il ne faut pas confondre ce mécanisme avec la notification obligatoire des incidents classifiés comme majeurs, qui, elle, déclenche des délais contraignants. Les responsables conformité et RSSI ont tout intérêt à intégrer cette procédure volontaire dans leurs procédures internes de gestion des incidents.
Toutes les entités doivent réaliser des tests de base (vulnérabilité, continuité). Les entités significatives désignées par les autorités sont en outre tenues de conduire des tests TLPT (Threat-Led Penetration Testing, cadre TIBER-EU) au minimum tous les trois ans. Ces tests avancés doivent couvrir plusieurs fonctions critiques. À leur issue, un résumé des résultats et un plan de remédiation sont transmis à l'autorité compétente.
Le registre d'informations recense exhaustivement tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers. Conforme au règlement d'exécution (UE) 2024/2956, il doit être transmis annuellement à l'ACPR (échéance : 30 avril 2025) ou à l'AMF (échéance : 15 avril 2025). Attention : le RoI DORA est significativement plus complexe que l'ancien registre d'externalisation de l'EBA et obéit à des règles de validation spécifiques.
Exemple concret : Imaginons le cas de Mathilde Kervella, directrice de la conformité d'une société de gestion de portefeuille basée à Lyon. Son entité utilise les services cloud d'AWS pour l'hébergement de sa plateforme de gestion, un éditeur SaaS irlandais pour le reporting réglementaire et un prestataire français pour la sauvegarde externalisée. Lors de la constitution du RoI DORA, Mathilde doit recenser ces trois contrats avec leur périmètre de service exact, identifier les lieux de traitement des données (régions AWS eu-west-1, data center de l'éditeur à Dublin, site de sauvegarde à Roubaix), qualifier le caractère critique ou non de chaque service, et vérifier si ses prestataires figurent parmi les 19 CTPP désignés le 18 novembre 2025 — ce qui est le cas d'AWS. Même si AWS fait l'objet d'une supervision directe par l'EBA, Mathilde reste tenue de maintenir les clauses contractuelles conformes à l'article 30, de documenter une stratégie de sortie opérationnelle et de transmettre son registre complet à l'AMF avant le 15 avril 2025.
L'article 30 impose que chaque contrat avec un prestataire TIC intègre des clauses minimales : description exhaustive des services, niveaux de service, lieux de traitement des données, droits d'audit, plan de continuité, stratégie de sortie, notification d'incidents et encadrement de la sous-traitance. Pour les fonctions critiques ou importantes, les droits d'audit doivent être illimités. Les contrats existants qui ne comportent pas ces clauses nécessitent des avenants de mise en conformité. Un accompagnement par un avocat compétent en protection des données personnelles et en droit du numérique permet de sécuriser ces clauses, notamment sur l'articulation avec les exigences du RGPD en matière de sous-traitance.
Conseil : Lors de la revue des contrats TIC existants, ne vous limitez pas aux contrats principaux. Les accords de sous-traitance en chaîne (le prestataire de votre prestataire) doivent également être identifiés et documentés dans le RoI. En pratique, exigez de chaque fournisseur une cartographie de ses propres sous-traitants TIC intervenant dans la fourniture du service, et intégrez une clause contractuelle de notification préalable en cas de changement de sous-traitant.
L'article 50 du règlement prévoit des sanctions administratives pouvant atteindre 10 millions d'euros ou 5 % du chiffre d'affaires annuel mondial de l'entité financière, le montant le plus élevé étant retenu. Les personnes physiques responsables — dirigeants — s'exposent à des sanctions personnelles allant jusqu'à 5 millions d'euros en cas de négligence dans la gouvernance des risques TIC. Pour les prestataires TIC critiques, des astreintes journalières peuvent atteindre 1 % du chiffre d'affaires mondial quotidien moyen, pendant six mois maximum.
Au-delà des amendes, des mesures non pécuniaires sont prévues : injonctions de mise en conformité, suspension temporaire d'activité, retrait d'agrément, et publication publique des sanctions (« name and shame »). L'article 52 du règlement autorise en outre expressément les États membres à appliquer des sanctions pénales aux manquements les plus graves, en complément des sanctions administratives. En France, le régime pénal précis dépendra du contenu de la loi Résilience une fois adoptée ; le quantum des peines pénales ne peut donc pas encore être déterminé avec certitude. Cette possibilité de poursuites pénales constitue néanmoins un argument déterminant pour sensibiliser les dirigeants à leur responsabilité personnelle, au-delà de la seule sanction pécuniaire. En France, les premières sanctions formelles au titre spécifique de DORA sont attendues pour 2026, après les premiers cycles d'inspection dédiés de l'ACPR et de l'AMF. Tant que la loi Résilience n'est pas adoptée, les autorités françaises s'appuient sur leurs pouvoirs de supervision prudentielle existants.
DORA constitue une lex specialis — une loi spéciale — qui prime sur NIS2 pour les entités du secteur financier. L'article 4 de la directive NIS2 dispose lui-même que ses obligations de gestion des risques et de notification ne s'appliquent pas aux entités déjà soumises à des exigences équivalentes via DORA. Toutefois, NIS2 peut rester applicable sur des aspects que DORA ne couvre pas explicitement, par exemple la sécurité physique de certaines infrastructures.
Concernant le RGPD, les deux régimes sont complémentaires et non exclusifs. Un même incident TIC affectant des données personnelles déclenche simultanément une notification DORA (ACPR ou AMF, dans les 4 heures) et une notification RGPD (CNIL, dans les 72 heures). Les autorités compétentes, les délais et les contenus requis sont distincts. Prenons le cas d'une banque française : celle-ci peut être simultanément soumise à DORA, au RGPD, à NIS2 sur les aspects résiduels, et à la LPM si elle est classée Opérateur d'Importance Vitale. La conformité multi-réglementaire exige une stratégie intégrée, fondée sur une cartographie précise des zones de chevauchement, et non des chantiers menés en parallèle.
Conseil : Pour les entités financières soumises à la fois à DORA et au RGPD, il est recommandé de mettre en place une procédure unifiée de gestion des incidents comportant deux volets de notification distincts — l'un vers l'ACPR ou l'AMF (délai de 4 heures), l'autre vers la CNIL (délai de 72 heures) — avec un responsable identifié pour chaque circuit. Cette approche permet d'éviter les omissions et de garantir la cohérence des informations transmises aux différentes autorités.
La première étape consiste à vérifier sans délai si votre entité entre dans le champ de l'article 2 du règlement. Pour les structures atypiques, cette analyse juridique ne peut reposer sur une appréciation par défaut. Vient ensuite l'audit de l'intégralité des contrats TIC existants, afin de les mettre en conformité avec l'article 30 via des avenants intégrant les clauses minimales obligatoires. Cet audit doit intégrer une vérification de la présence de vos prestataires sur la liste des 19 CTPP publiée le 18 novembre 2025, afin d'adapter en conséquence les exigences contractuelles et les stratégies de sortie.
Il convient ensuite d'établir et transmettre le registre d'informations conforme au règlement d'exécution (UE) 2024/2956, de mettre en place une procédure interne de classification et de notification des incidents opérationnelle 24 heures sur 24 avec un responsable désigné et une suppléance (en incluant la notification volontaire des cybermenaces significatives), et de faire approuver le cadre de gestion des risques TIC par l'organe de direction. L'ensemble doit s'inscrire dans une stratégie de conformité intégrée DORA, RGPD et NIS2 pour éviter les doublons et les angles morts.
Pour mener à bien ces chantiers, l'accompagnement d'un avocat compétent en droit du numérique et en droit des affaires constitue un levier déterminant. CONNECT AVOCATS intervient sur toute la France pour piloter l'audit contractuel, rédiger les avenants conformes à l'article 30, sécuriser la gouvernance et anticiper les contrôles de l'ACPR et de l'AMF. Le cabinet accompagne ses clients aussi bien en conseil qu'en contentieux, dans une logique de sécurisation durable de leurs activités face aux exigences du numérique. N'hésitez pas à contacter CONNECT AVOCATS pour un accompagnement personnalisé et confidentiel adapté à votre situation.