Depuis le 17 janvier 2025, le règlement DORA s'applique directement à plus de 22 000 entités financières en Europe, sans période transitoire. En 2023, le coût moyen d'une violation de données dans le secteur financier atteignait déjà 5,9 millions de dollars selon le rapport IBM. Dirigeants, DAF, DSI ou juristes d'entreprise, vous vous interrogez légitimement sur le périmètre de cette réglementation DORA, vos obligations de conformité et les risques encourus. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en droit des affaires, accompagne les entreprises dans la compréhension et la mise en œuvre de ce cadre réglementaire exigeant. Cet article vous apporte des réponses concrètes, structurées sous forme de questions-réponses, pour vous permettre d'agir sans délai.
Ce qu'il faut retenir :
Le règlement DORA — pour Digital Operational Resilience Act — est le règlement (UE) 2022/2554 du Parlement européen et du Conseil, publié au Journal officiel de l'Union européenne le 27 décembre 2022. Contrairement à une directive, il s'applique directement dans tous les États membres sans transposition nationale. Son objectif central : garantir la résilience opérationnelle numérique du secteur financier face aux cybermenaces et aux incidents liés aux technologies de l'information et de la communication (TIC).
Avant DORA, les exigences applicables à la cybersécurité et à la gestion des risques liés aux TIC dans le secteur financier étaient fragmentées entre les États membres et les différents cadres sectoriels européens. Cette fragmentation créait des distorsions de concurrence et des angles morts dangereux. La recrudescence des cyberattaques visant les institutions financières a accéléré l'adoption d'un cadre unifié. DORA adopte une philosophie proactive : partant du principe que les incidents sont inévitables, il impose aux entités financières non seulement de les prévenir, mais aussi de se préparer à les gérer efficacement.
Un point d'articulation important : DORA constitue une lex specialis pour les entités financières. Cela signifie que ses dispositions priment sur la directive NIS2 dans ce secteur. Toutefois, DORA s'articule avec d'autres cadres existants comme le RGPD (dont le respect reste indispensable en matière de protection des données personnelles), la norme ISO 27001, Solvabilité II ou encore MiFID II, sans s'y substituer.
Le champ d'application est vaste. L'article 2(1) du règlement vise 21 catégories d'entités financières : banques, assurances, entreprises d'investissement, sociétés de gestion d'actifs, fonds d'investissement, mais aussi les fintechs — prestataires de services de paiement (PSP), établissements de monnaie électronique (EME), prestataires de services sur crypto-actifs (PSCA) — les intermédiaires d'assurance, les plateformes de financement participatif, et même les intermédiaires en crédit immobilier ou à la consommation. En France, la supervision est assurée par l'ACPR et l'AMF. Pour les groupes financiers soumis au Mécanisme de Supervision Unique (MSU), l'ACPR coopère directement avec la Banque centrale européenne (BCE) pour l'application de DORA. Pour les entités relevant à la fois de l'ACPR et de l'AMF (groupes financiers diversifiés), un mécanisme de coordination inter-autorités est prévu — un point particulièrement pertinent pour les directions juridiques de groupes implantés dans plusieurs États membres.
Les fintechs méritent une attention particulière. Les prestataires de services sur crypto-actifs (PSCA) sont soumis simultanément à DORA et au règlement MiCA. Les prestataires de services de paiement, quant à eux, doivent articuler les exigences de DORA avec le cadre européen des services de paiement, actuellement régi par la DSP2 et appelé à évoluer avec le futur paquet législatif DSP3/PSR. Cette superposition de cadres réglementaires, auxquels peuvent également s'ajouter d'autres textes transversaux, complexifie significativement la démarche de conformité de ces acteurs.
Point souvent méconnu : les prestataires tiers TIC sont également encadrés. Un éditeur de logiciels, un fournisseur cloud (IaaS, PaaS, SaaS), un centre de données ou un infogéreur qui travaille pour une entité financière régulée se retrouve indirectement soumis à DORA via les obligations contractuelles imposées à son client. C'est ce que les professionnels appellent l'effet cascade.
DORA prévoit un principe de proportionnalité : les micro-entreprises financières, ainsi que certaines entités financières de petite taille, bénéficient d'un régime allégé, notamment en matière de tests et de documentation. Certaines entités sont explicitement exclues, comme les petits gestionnaires de fonds alternatifs dont les actifs sont inférieurs à 100 millions d'euros avec levier, ou les petits assureurs dont les primes restent sous le seuil de 5,4 millions d'euros. Attention toutefois : proportionnalité ne signifie jamais exemption. Le socle fondamental — notification des incidents, surveillance des prestataires — reste applicable sans exception.
Conseil : Ne partez pas du principe que votre organisation n'est pas concernée. L'effet cascade de DORA étend considérablement le périmètre au-delà des seules entités régulées. Si votre entreprise fournit des services numériques (hébergement, logiciels, infogérance) à une banque, un assureur ou une fintech, vos contrats devront intégrer les clauses DORA. Vérifiez dès maintenant votre exposition en examinant la nature de vos clients et en sollicitant, si besoin, un accompagnement juridique adapté.
DORA impose un cadre de gestion des risques TIC complet, formalisé et validé directement par l'organe de direction. Les obligations incluent la cartographie des actifs informatiques critiques, les politiques de sécurité (chiffrement, contrôle d'accès, journalisation), les plans de continuité et de rétablissement, ainsi que des sauvegardes régulières. Le règlement impose que les responsabilités en matière de gestion des risques liés aux TIC soient clairement définies et place leur supervision sous la responsabilité directe de l'organe de direction. Les entités financières autres que les microentreprises doivent également mettre en place une fonction, ou désigner un membre de la direction générale, chargé de superviser les risques liés aux prestataires tiers de services TIC. Pour illustrer l'enjeu concret, rappelons l'incendie du datacenter OVHcloud à Strasbourg en 2021, régulièrement cité pour souligner l'importance d'intégrer les risques techniques non-cyber dans les plans de continuité.
Un incident TIC majeur est un incident qui remplit les critères de classification prévus par DORA et précisés par le règlement délégué (UE) 2024/1772. Il peut notamment s’agir d’un incident affectant des services TIC ou des systèmes d’information soutenant des fonctions critiques ou importantes, certains services financiers soumis à agrément ou surveillance, ou impliquant un accès réussi, malveillant et non autorisé aux systèmes d’information susceptible d’entraîner des pertes de données. La qualification tient également compte de seuils d’importance significative relatifs notamment à l’impact sur les clients et transactions, à la durée d’interruption, à la portée géographique, aux pertes de données, à l’atteinte à la réputation ou aux conséquences économiques.
La chronologie de déclaration est stricte. Les références légales encadrant cette procédure sont l'article 19 du règlement DORA (UE) 2022/2554, le règlement délégué (UE) 2024/1772 fixant les critères de qualification des incidents majeurs, et le règlement délégué (UE) 2025/301 fixant les modalités de notification et les formulaires harmonisés. En France, les modalités techniques de déclaration sont précisées par l'instruction ACPR n°2025-I-10 (format JSON, absence de signature électronique requise) :
En cas d'indisponibilité de OneGate (entre minuit et 4 h ou le dimanche), les déclarations peuvent être envoyées par courriel à 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr. Sous-classifier délibérément un incident pour éviter la notification constitue un risque réglementaire majeur, susceptible d'aggraver les sanctions en cas de contrôle.
En complément de la notification aux autorités, l'article 19 de DORA impose une obligation distincte d'information des clients : lorsqu'un incident majeur a une incidence sur les intérêts financiers des clients, l'entité financière doit les informer de l'incident et des mesures prises pour en atténuer les effets, sans délai injustifié, dès qu'elle en a connaissance. Cette obligation s'ajoute aux trois phases de reporting réglementaire et constitue un risque opérationnel souvent sous-estimé.
Exemple concret : Imaginons qu’Aurélien Vasseur, DSI d’un établissement de paiement agréé basé à Lyon, détecte un samedi matin à 9 h une intrusion dans le système d’information utilisé pour traiter les virements clients. L’accès a été réussi, malveillant et non autorisé, mais l’équipe de sécurité parvient à contenir l’incident en deux heures. Aucune donnée n’a été exfiltrée, aucun virement n’a été altéré et aucune perte financière directe n’est constatée. Malgré l’absence de dommage apparent, cet événement doit faire l’objet d’une analyse approfondie au regard des critères DORA : lorsqu’un accès malveillant non autorisé concerne des systèmes soutenant des fonctions critiques ou importantes, il peut relever de la catégorie des incidents majeurs soumis à notification. L’établissement doit alors transmettre la notification initiale dans les délais réglementaires, puis assurer les reportings de suivi prévus par DORA. Parallèlement, si l’incident majeur affecte les intérêts financiers des clients, ceux-ci doivent être informés sans retard injustifié. Une grille de classification préétablie et un arbre de décision permettent de réduire le temps d’analyse et d’éviter les hésitations lors de la qualification de l’incident.
À noter : Les incidents TIC non qualifiés de majeurs ne font pas l'objet d'une notification immédiate aux autorités, mais ils ne doivent pas être ignorés. Les normes techniques réglementaires (RTS) prévoient un reporting agrégé transmis à l'autorité compétente de façon annuelle ou semestrielle selon les cas. Documenter systématiquement tous les incidents significatifs, même non majeurs, renforce la crédibilité de l'entité auprès du régulateur et prépare ce reporting. Les équipes de conformité ont tout intérêt à mettre en place un registre interne dédié dès à présent.
Toutes les entités doivent soumettre leurs systèmes critiques à des tests au moins une fois par an : scans de vulnérabilité, tests de pénétration, tests de continuité. Les entités systémiques doivent en outre réaliser des TLPT (Threat-Led Penetration Tests) tous les trois ans, selon le cadre TIBER-FR géré par la Banque de France. La Banque centrale européenne a aligné le cadre TIBER-EU sur les exigences de DORA en février 2025, et les normes techniques réglementaires spécifiques aux TLPT ont été publiées au Journal officiel de l'UE en juin 2025, devenant obligatoires dans toute l'UE vingt jours après leur publication. Ces textes rendent les tests TLPT formellement contraignants pour les entités systémiques désignées, avec des modalités précises issues du cadre TIBER-EU.
Ces tests avancés ne se limitent pas à identifier des vulnérabilités techniques : ils vérifient si l'organisation est capable de détecter, contenir et gérer une attaque crédible ciblant simultanément les personnes, les processus et les technologies. Précision utile : les tests TIBER-EU réalisés après le 17 janvier 2025, dans le cadre d'une autorité nationale compétente ayant aligné TIBER-EU sur les RTS DORA (ce qui est le cas de la Banque de France / ACPR), sont pris en compte dans le cycle triennal TLPT imposé par DORA. Une entité ayant déjà réalisé un test TIBER-FR après cette date n'est donc pas repartie de zéro pour son cycle de trois ans.
Chaque entité financière doit tenir un registre exhaustif de tous ses accords contractuels TIC, transmis annuellement à l'ACPR via OneGate. La deuxième remise est attendue au 31 mars 2026 en format Plain CSV (xBRL-CSV). Lors de la première vague, trois causes récurrentes de rejet ont été identifiées : erreurs de date, arborescence incorrecte du fichier .zip et encodage UTF-8 non respecté. Ce registre sert également aux Autorités Européennes de Supervision (EBA, ESMA, EIOPA) pour désigner les prestataires TIC critiques soumis à une surveillance directe européenne. Les contrats doivent intégrer des clauses obligatoires : droits d'audit, niveaux de service mesurables, exigences de sécurité et stratégie de sortie.
À noter : Chaque entité financière reste responsable de son registre d’informations DORA et doit assurer sa transmission à l’autorité compétente selon les modalités prévues. La transmission peut être effectuée sur une base individuelle, lorsque chaque entité remet son propre registre, ou sur une base consolidée lorsqu’un groupe financier établit un registre couvrant plusieurs entités appartenant au même périmètre de consolidation, conformément aux modalités applicables.
DORA instaure un mécanisme de partage d'informations entre entités financières, couvrant les indicateurs de compromission, les techniques d'attaque émergentes et les mesures de protection éprouvées. Ce mécanisme est volontaire, mais soumis à des exigences strictes de confidentialité et de notification préalable à l'ACPR.
Le règlement DORA ne prévoit pas de régime européen harmonisé fixant un montant maximal d’amende applicable aux entités financières. Son article 50 impose néanmoins aux États membres de prévoir des sanctions administratives et des mesures correctrices « effectives, proportionnées et dissuasives » en cas de manquement aux obligations prévues par le règlement. Les autorités compétentes disposent ainsi de pouvoirs importants en matière de contrôle et de sanction, leur permettant notamment d’imposer des mesures de mise en conformité, d’ordonner la cessation d’un comportement non conforme ou encore d’appliquer des mesures financières lorsque le droit national le prévoit. Ces mesures peuvent également viser les membres de l’organe de direction ou les personnes physiques responsables de la violation.
Au-delà des sanctions administratives, les défaillances affectant la gouvernance des risques TIC, la gestion des incidents ou le suivi des prestataires critiques sont susceptibles d’engager la responsabilité de l’entité financière et de ses dirigeants. De tels manquements peuvent entraîner de lourdes conséquences financières, notamment lorsqu’ils occasionnent un préjudice pour des clients, des partenaires ou des tiers.
Les violations graves ou répétées des exigences de résilience opérationnelle numérique peuvent également produire des effets sur le plan prudentiel. Les autorités de supervision peuvent alors renforcer leur contrôle ou estimer que l’entité ne remplit plus les conditions nécessaires à l’exercice de son activité, ce qui peut, selon les réglementations sectorielles applicables, avoir un impact sur son agrément ou son autorisation d’exercer.
Pour les prestataires tiers de services TIC critiques soumis au cadre européen de surveillance instauré par DORA, les autorités de surveillance disposent de pouvoirs spécifiques pouvant notamment inclure l’imposition d’astreintes destinées à assurer le respect des obligations réglementaires. Ces astreintes peuvent atteindre 1 % du chiffre d’affaires quotidien moyen mondial réalisé au cours de l’exercice précédent, pendant une période maximale de six mois.
Les conséquences d’une violation du règlement DORA ne se limitent pas aux sanctions financières. Les autorités compétentes peuvent également adopter différentes mesures correctrices, telles que des injonctions de mise en conformité, des ordres de cessation d’un comportement contraire au règlement ou encore la publication des décisions de sanction mentionnant la nature de la violation et l’identité de la personne concernée (« name and shame »).
L’article 52 du règlement prévoit en outre la possibilité pour les États membres d’instaurer des sanctions pénales pour certaines violations graves des obligations issues de DORA. Le règlement ne met toutefois pas en place un régime pénal harmonisé au niveau européen : chaque État membre demeure compétent pour définir les infractions concernées et les sanctions applicables.
En France, la mise en œuvre complète de ces mécanismes repose sur les adaptations législatives permettant aux autorités compétentes, notamment l’Autorité de contrôle prudentiel et de résolution (ACPR) et l’Autorité des marchés financiers (AMF), d’exercer leurs pouvoirs de contrôle et de sanction. Les premiers contrôles et actions de supervision dédiés à DORA permettront progressivement de préciser l’approche retenue par les autorités françaises.
La démarche peut se décomposer en étapes claires. Première étape : vérifier immédiatement votre assujettissement en consultant l'article 2(1) du règlement ou en sollicitant une analyse formelle de périmètre. N'attendez pas un courrier de l'ACPR.
Deuxième étape : réaliser un audit interne de maturité TIC structuré autour des cinq piliers. Identifiez les lacunes : cadre de gestion non formalisé, procédures de notification absentes, contrats non conformes, registre TIC incomplet. Troisième étape : désigner sans délai un responsable de la gestion des risques TIC au niveau de la direction générale, en documentant cette désignation par une délibération formelle.
Quatrième étape : réviser tous les contrats prestataires TIC pour y intégrer les clauses obligatoires et préparer la prochaine remise du registre sur OneGate (en veillant à ce que chaque entité soumette individuellement son propre registre, conformément au règlement d'exécution (UE) 2025/302). Cinquième étape : mettre en place des procédures formelles de détection et de notification des incidents, avec grille de classification intégrant le caractère alternatif des critères, arbre de décision et templates pré-remplis. Simulez la procédure au moins une fois par an. N'oubliez pas d'y intégrer un volet d'information des clients, conformément à l'article 19 de DORA. Sixième étape : planifier les tests de résilience annuels et, si vous êtes concerné par les TLPT, prendre contact avec la Banque de France (tiber-fr@banque-france.fr).
Les coûts estimés de mise en conformité initiale se situent entre 15 000 et 50 000 euros la première année pour une structure intermédiaire — un investissement à mettre en regard des sanctions encourues. Au-delà de l'obligation, une entité conforme inspire davantage confiance à ses clients, partenaires et investisseurs : la conformité DORA constitue un véritable différenciateur concurrentiel.
Conseil : Si vous êtes une fintech soumise simultanément à DORA, MiCA et/ou au cadre des services de paiement (DSP2, appelé à évoluer avec DSP3/PSR), ne traitez pas ces mises en conformité de manière cloisonnée. Cartographiez dès le départ les exigences communes (gouvernance, notification des incidents, gestion des prestataires) et les exigences spécifiques à chaque texte. Cette approche transversale évite les doublons, réduit les coûts et garantit une cohérence globale face aux différents régulateurs.
Face à la complexité de ces obligations et à l'intensification programmée des contrôles, un accompagnement juridique rigoureux s'avère déterminant. CONNECT AVOCATS intervient dans le domaine du droit du numérique et du droit des affaires auprès des entreprises sur toute la France, en les aidant à sécuriser leur démarche de conformité réglementaire : analyse de périmètre, révision contractuelle, structuration de la gouvernance, préparation aux contrôles de l'ACPR et de l'AMF. Pour anticiper sereinement les échéances à venir, n'hésitez pas à solliciter le cabinet afin d'obtenir un accompagnement adapté à votre situation.