Depuis le 17 janvier 2025, le règlement DORA s'applique directement à plus de 22 000 entités financières en Europe, sans période transitoire. En 2023, le coût moyen d'une violation de données dans le secteur financier atteignait déjà 5,9 millions de dollars selon le rapport IBM. Dirigeants, DAF, DSI ou juristes d'entreprise, vous vous interrogez légitimement sur le périmètre de cette réglementation DORA, vos obligations de conformité et les risques encourus. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en droit des affaires, accompagne les entreprises dans la compréhension et la mise en œuvre de ce cadre réglementaire exigeant. Cet article vous apporte des réponses concrètes, structurées sous forme de questions-réponses, pour vous permettre d'agir sans délai.
Le règlement DORA — pour Digital Operational Resilience Act — est le règlement (UE) 2022/2554 du Parlement européen et du Conseil, publié au Journal officiel de l'Union européenne le 27 décembre 2022. Contrairement à une directive, il s'applique directement dans tous les États membres sans transposition nationale. Son objectif central : garantir la résilience opérationnelle numérique du secteur financier face aux cybermenaces et aux incidents liés aux technologies de l'information et de la communication (TIC).
Avant DORA, chaque État membre appliquait ses propres règles en matière de cybersécurité financière. Cette fragmentation créait des distorsions de concurrence et des angles morts dangereux. La recrudescence des cyberattaques visant les institutions financières a accéléré l'adoption d'un cadre unifié. DORA adopte une philosophie proactive : partant du principe que les incidents sont inévitables, il impose aux entités financières non seulement de les prévenir, mais aussi de se préparer à les gérer efficacement.
Un point d'articulation important : DORA constitue une lex specialis pour les entités financières. Cela signifie que ses dispositions priment sur la directive NIS2 dans ce secteur. Toutefois, DORA s'articule avec d'autres cadres existants comme le RGPD (dont le respect reste indispensable en matière de protection des données personnelles), la norme ISO 27001, Solvabilité II ou encore MiFID II, sans s'y substituer.
Le champ d'application est vaste. L'article 2(1) du règlement vise 21 catégories d'entités financières : banques, assurances, entreprises d'investissement, sociétés de gestion d'actifs, fonds d'investissement, mais aussi les fintechs — prestataires de services de paiement (PSP), établissements de monnaie électronique (EME), prestataires de services sur crypto-actifs (PSCA) — les intermédiaires d'assurance, les plateformes de financement participatif, et même les intermédiaires en crédit immobilier ou à la consommation. En France, la supervision est assurée par l'ACPR et l'AMF. Pour les groupes financiers soumis au Mécanisme de Supervision Unique (MSU), l'ACPR coopère directement avec la Banque centrale européenne (BCE) pour l'application de DORA. Pour les entités relevant à la fois de l'ACPR et de l'AMF (groupes financiers diversifiés), un mécanisme de coordination inter-autorités est prévu — un point particulièrement pertinent pour les directions juridiques de groupes implantés dans plusieurs États membres.
Les fintechs méritent une attention particulière. Les prestataires de services sur crypto-actifs (PSCA) sont soumis simultanément à DORA et au règlement MiCA ; les prestataires de services de paiement sont concernés par DORA et par la directive DSP3. Ces trois textes — DORA, MiCA, DSP3 — forment le socle réglementaire numérique du secteur financier européen en 2025 et leurs exigences se superposent, ce qui complexifie significativement la démarche de conformité pour ces acteurs.
Point souvent méconnu : les prestataires tiers TIC sont également encadrés. Un éditeur de logiciels, un fournisseur cloud (IaaS, PaaS, SaaS), un centre de données ou un infogéreur qui travaille pour une entité financière régulée se retrouve indirectement soumis à DORA via les obligations contractuelles imposées à son client. C'est ce que les professionnels appellent l'effet cascade.
DORA prévoit un principe de proportionnalité : les micro-entreprises financières bénéficient d'un régime allégé en matière de tests et de documentation. Certaines entités sont explicitement exclues, comme les petits gestionnaires de fonds alternatifs dont les actifs sont inférieurs à 100 millions d'euros avec levier, ou les petits assureurs dont les primes restent sous le seuil de 5,4 millions d'euros. Attention toutefois : proportionnalité ne signifie jamais exemption. Le socle fondamental — notification des incidents, surveillance des prestataires — reste applicable sans exception.
Conseil : Ne partez pas du principe que votre organisation n'est pas concernée. L'effet cascade de DORA étend considérablement le périmètre au-delà des seules entités régulées. Si votre entreprise fournit des services numériques (hébergement, logiciels, infogérance) à une banque, un assureur ou une fintech, vos contrats devront intégrer les clauses DORA. Vérifiez dès maintenant votre exposition en examinant la nature de vos clients et en sollicitant, si besoin, un accompagnement juridique adapté.
DORA impose un cadre de gestion des risques TIC complet, formalisé et validé directement par l'organe de direction. Les obligations incluent la cartographie des actifs informatiques critiques, les politiques de sécurité (chiffrement, contrôle d'accès, journalisation), les plans de continuité et de rétablissement, ainsi que des sauvegardes régulières. La désignation d'un responsable TIC au niveau de la direction générale est une obligation immédiate depuis le 17 janvier 2025. Pour illustrer l'enjeu concret, rappelons l'incendie du datacenter OVHcloud à Strasbourg en 2021, régulièrement cité pour souligner l'importance d'intégrer les risques techniques non-cyber dans les plans de continuité.
Un incident est qualifié de majeur notamment lorsque sa durée dépasse 24 heures ou que les coûts directs excèdent 100 000 euros. Point d'attention pratique majeur : les critères de qualification sont considérés comme alternatifs par l'ACPR — et non cumulatifs. Cela signifie qu'une simple intrusion malveillante dans un système d'information pourrait suffire à caractériser un incident majeur et déclencher l'obligation de notification en 4 heures, indépendamment de son impact réel sur l'activité ou des pertes financières constatées. Cette interprétation, relayée par l'Association de prévention des risques du numérique, doit être intégrée dans vos grilles de classification internes.
La chronologie de déclaration est stricte. Les références légales encadrant cette procédure sont l'article 19 du règlement DORA (UE) 2022/2554, le règlement délégué (UE) 2024/1772 fixant les critères de qualification des incidents majeurs, et le règlement délégué (UE) 2025/301 fixant les modalités de notification et les formulaires harmonisés. En France, les modalités techniques de déclaration sont précisées par l'instruction ACPR n°2025-I-10 (format JSON, absence de signature électronique requise) :
En cas d'indisponibilité de OneGate (entre minuit et 4 h ou le dimanche), les déclarations peuvent être envoyées par courriel à 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr. Sous-classifier délibérément un incident pour éviter la notification constitue un risque réglementaire majeur, susceptible d'aggraver les sanctions en cas de contrôle.
En complément de la notification aux autorités, l'article 19 de DORA impose une obligation distincte d'information des clients : lorsqu'un incident majeur a une incidence sur les intérêts financiers des clients, l'entité financière doit les informer de l'incident et des mesures prises pour en atténuer les effets, sans délai injustifié, dès qu'elle en a connaissance. Cette obligation s'ajoute aux trois phases de reporting réglementaire et constitue un risque opérationnel souvent sous-estimé.
Exemple concret : Imaginons qu'Aurélien Vasseur, DSI d'un établissement de paiement agréé basé à Lyon, détecte un samedi matin à 9 h une intrusion dans le système d'information traitant les virements clients. Aucune donnée n'a été exfiltrée, aucun virement n'a été altéré, et l'intrusion a été contenue en deux heures. L'impact financier direct est nul. Pourtant, selon l'interprétation alternative des critères retenue par l'ACPR, cette seule intrusion malveillante suffit à qualifier l'incident de majeur. L'équipe dispose alors de 4 heures après la classification pour transmettre la notification initiale via OneGate, puis de 72 heures pour le rapport intermédiaire. Parallèlement, si l'incident est susceptible d'avoir une incidence sur les intérêts financiers des clients — même potentielle —, l'établissement devra les en informer sans délai injustifié. Une grille de classification pré-établie et un arbre de décision auraient permis de réagir en moins d'une heure au lieu de tâtonner sur la qualification de l'incident.
À noter : Les incidents TIC non qualifiés de majeurs ne font pas l'objet d'une notification immédiate aux autorités, mais ils ne doivent pas être ignorés. Les normes techniques réglementaires (RTS) prévoient un reporting agrégé transmis à l'autorité compétente de façon annuelle ou semestrielle selon les cas. Documenter systématiquement tous les incidents significatifs, même non majeurs, renforce la crédibilité de l'entité auprès du régulateur et prépare ce reporting. Les équipes de conformité ont tout intérêt à mettre en place un registre interne dédié dès à présent.
Toutes les entités doivent soumettre leurs systèmes critiques à des tests au moins une fois par an : scans de vulnérabilité, tests de pénétration, tests de continuité. Les entités systémiques doivent en outre réaliser des TLPT (Threat-Led Penetration Tests) tous les trois ans, selon le cadre TIBER-FR géré par la Banque de France. La Banque centrale européenne a aligné le cadre TIBER-EU sur les exigences de DORA en février 2025, et les normes techniques réglementaires spécifiques aux TLPT ont été publiées au Journal officiel de l'UE en juin 2025, devenant obligatoires dans toute l'UE vingt jours après leur publication. Ces textes rendent les tests TLPT formellement contraignants pour les entités systémiques désignées, avec des modalités précises issues du cadre TIBER-EU.
Ces tests avancés ne se limitent pas à identifier des vulnérabilités techniques : ils vérifient si l'organisation est capable de détecter, contenir et gérer une attaque crédible ciblant simultanément les personnes, les processus et les technologies. Précision utile : les tests TIBER-EU réalisés après le 17 janvier 2025, dans le cadre d'une autorité nationale compétente ayant aligné TIBER-EU sur les RTS DORA (ce qui est le cas de la Banque de France / ACPR), sont pris en compte dans le cycle triennal TLPT imposé par DORA. Une entité ayant déjà réalisé un test TIBER-FR après cette date n'est donc pas repartie de zéro pour son cycle de trois ans.
Chaque entité financière doit tenir un registre exhaustif de tous ses accords contractuels TIC, transmis annuellement à l'ACPR via OneGate. La deuxième remise est attendue au 31 mars 2026 en format Plain CSV (xBRL-CSV). Lors de la première vague, trois causes récurrentes de rejet ont été identifiées : erreurs de date, arborescence incorrecte du fichier .zip et encodage UTF-8 non respecté. Ce registre sert également aux Autorités Européennes de Supervision (EBA, ESMA, EIOPA) pour désigner les prestataires TIC critiques soumis à une surveillance directe européenne. Les contrats doivent intégrer des clauses obligatoires : droits d'audit, niveaux de service mesurables, exigences de sécurité et stratégie de sortie.
À noter : La remise du registre d'information est exclusivement individuelle. Le règlement d'exécution (UE) 2025/302 (article 7) interdit à un prestataire tiers mandaté de remettre un reporting agrégé pour le compte de plusieurs entités financières. Chaque entité doit soumettre son propre registre sur OneGate, sur base individuelle ou sur base consolidée pour les groupes. Cette interdiction est une source d'erreur fréquente en pratique : si vous envisagiez de mutualiser cette remise via un prestataire externe, revoyez immédiatement votre organisation.
DORA instaure un mécanisme de partage d'informations entre entités financières, couvrant les indicateurs de compromission, les techniques d'attaque émergentes et les mesures de protection éprouvées. Ce mécanisme est volontaire, mais soumis à des exigences strictes de confidentialité et de notification préalable à l'ACPR.
Les amendes administratives peuvent atteindre 10 millions d'euros ou 5 % du chiffre d'affaires annuel mondial pour une entité financière — le montant le plus élevé étant retenu. Pour un prestataire TIC critique, les sanctions peuvent aller jusqu'à 5 millions d'euros ou 1 % du chiffre d'affaires mondial quotidien. Des astreintes journalières sont applicables pendant six mois maximum en cas de non-conformité persistante. En cas de manquement grave ou répété, le retrait de l'autorisation d'exercer est envisageable.
Au-delà des amendes, les sanctions peuvent être rendues publiques (mécanisme dit de « name and shame »), avec un impact réputationnel direct. Les dirigeants sont personnellement responsables en cas de défaillance de gouvernance avérée et exposés à des sanctions disciplinaires individuelles. La gouvernance des risques TIC ne peut plus être uniquement déléguée à la DSI. L'année 2026 est officiellement qualifiée d'« année de supervision » par l'ACPR, avec des contrôles ciblés sur la notification des incidents, le cadre de gestion des risques TIC et la conformité des contrats. Précision importante : à la date de rédaction de cet article, l'ACPR n'a pas encore publié de décisions de sanction formelles spécifiquement au titre de DORA. Les premières sanctions sont attendues pour 2026, après les premiers cycles d'inspection dédiés. Cette absence de précédents ne doit toutefois pas être interprétée comme un signal de tolérance : l'ACPR a clairement annoncé son calendrier d'intensification des contrôles.
La démarche peut se décomposer en étapes claires. Première étape : vérifier immédiatement votre assujettissement en consultant l'article 2(1) du règlement ou en sollicitant une analyse formelle de périmètre. N'attendez pas un courrier de l'ACPR.
Deuxième étape : réaliser un audit interne de maturité TIC structuré autour des cinq piliers. Identifiez les lacunes : cadre de gestion non formalisé, procédures de notification absentes, contrats non conformes, registre TIC incomplet. Troisième étape : désigner sans délai un responsable de la gestion des risques TIC au niveau de la direction générale, en documentant cette désignation par une délibération formelle.
Quatrième étape : réviser tous les contrats prestataires TIC pour y intégrer les clauses obligatoires et préparer la prochaine remise du registre sur OneGate (en veillant à ce que chaque entité soumette individuellement son propre registre, conformément au règlement d'exécution (UE) 2025/302). Cinquième étape : mettre en place des procédures formelles de détection et de notification des incidents, avec grille de classification intégrant le caractère alternatif des critères, arbre de décision et templates pré-remplis. Simulez la procédure au moins une fois par an. N'oubliez pas d'y intégrer un volet d'information des clients, conformément à l'article 19 de DORA. Sixième étape : planifier les tests de résilience annuels et, si vous êtes concerné par les TLPT, prendre contact avec la Banque de France (tiber-fr@banque-france.fr).
Les coûts estimés de mise en conformité initiale se situent entre 15 000 et 50 000 euros la première année pour une structure intermédiaire — un investissement à mettre en regard des amendes encourues. Au-delà de l'obligation, une entité conforme inspire davantage confiance à ses clients, partenaires et investisseurs : la conformité DORA constitue un véritable différenciateur concurrentiel.
Conseil : Si vous êtes une fintech soumise simultanément à DORA, MiCA et/ou DSP3, ne traitez pas ces mises en conformité de manière cloisonnée. Cartographiez dès le départ les exigences communes (gouvernance, notification des incidents, gestion des prestataires) et les exigences spécifiques à chaque texte. Cette approche transversale évite les doublons, réduit les coûts et garantit une cohérence globale face aux différents régulateurs.
Face à la complexité de ces obligations et à l'intensification programmée des contrôles, un accompagnement juridique rigoureux s'avère déterminant. CONNECT AVOCATS intervient dans le domaine du droit du numérique et du droit des affaires auprès des entreprises sur toute la France, en les aidant à sécuriser leur démarche de conformité réglementaire : analyse de périmètre, révision contractuelle, structuration de la gouvernance, préparation aux contrôles de l'ACPR et de l'AMF. Pour anticiper sereinement les échéances à venir, n'hésitez pas à solliciter le cabinet afin d'obtenir un accompagnement adapté à votre situation.