En 2023, le coût moyen d'une violation de données dans le secteur financier atteignait 5,9 millions de dollars selon IBM — un chiffre qui éclaire l'ampleur des enjeux derrière le règlement DORA. Après une première campagne de remises DORA assurance ACPR en 2025, marquée par de nombreux rejets techniques, l'année 2026 est officiellement qualifiée d'« année de supervision » par l'Autorité de contrôle prudentiel et de résolution. Directeurs conformité, responsables IT, juristes et cabinets accompagnant des assureurs se posent les mêmes questions : qu'est-ce qui a changé, comment bien remettre, et quels risques encourt-on en cas de manquement ? CONNECT AVOCATS, cabinet intervenant sur toute la France dans le domaine du droit des affaires et du droit du numérique, décrypte ici les réponses essentielles pour aborder cette échéance avec rigueur.
Ce qu'il faut retenir
Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), a été adopté le 14 décembre 2022 et publié au Journal officiel de l'Union européenne le 27 décembre 2022. Il est applicable directement dans tous les États membres depuis le 17 janvier 2025, sans aucune période transitoire. Son objectif est clair : harmoniser au niveau européen la résilience opérationnelle numérique de plus de 22 000 entités financières, réparties en 21 catégories distinctes.
En France, les entités assurantielles concernées comprennent les compagnies d'assurance, mutuelles, institutions de prévoyance et courtiers supervisés par l'ACPR au titre de l'article L. 612-2 du Code monétaire et financier. DORA vient renforcer le cadre prudentiel Solvabilité II (Directive 2009/138/CE), notamment son pilier 2 sur les risques opérationnels, en y ajoutant des exigences spécifiques aux technologies de l'information et de la communication (TIC) : reporting d'incidents, tests de résilience et surveillance des prestataires. Ces obligations impliquent en parallèle une vigilance accrue en matière de protection des données personnelles, les flux déclaratifs et les registres TIC manipulant fréquemment des informations sensibles.
Le principe de proportionnalité s'applique expressément. Les micro-entreprises bénéficient d'un régime allégé. En revanche, les intermédiaires d'assurance qui ne remplissent pas les critères de micro, petite ou moyenne entreprise doivent appliquer l'intégralité des obligations, y compris la fourniture d'un Registre d'informations (RoI). Les intermédiaires exemptés peuvent néanmoins notifier incidents et cyber-menaces sur base volontaire — toutefois, n'ayant pas accès au portail OneGate, leur seul canal déclaratif est l'adresse e-mail 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr, qui sert donc à la fois de canal exclusif pour ces intermédiaires exemptés et de canal de secours en cas d'indisponibilité d'OneGate pour les entités habituellement remettantes.
Le règlement DORA s'articule autour de cinq piliers thématiques que tout organisme assureur doit maîtriser. Le premier pilier concerne la gestion des risques TIC : il impose un cadre documenté, approuvé par la direction, couvrant politiques, procédures et gouvernance interne. Le deuxième pilier porte sur la notification des incidents majeurs TIC, avec des délais stricts précisés par le règlement d'exécution (UE) 2025/302 — notification initiale dans les 4 heures suivant la classification, rapport intermédiaire sous 72 heures, rapport final sous 1 mois — ces délais s'appliquant sur base individuelle selon trois phases successives.
Selon l'ACPR, un incident TIC est qualifié de majeur lorsqu'il constitue une cyberattaque ou, s'il affecte un processus critique (ou un processus ayant nécessité un agrément de l'ACPR), lorsqu'il remplit au moins deux des critères de gravité prévus par le règlement délégué (UE) 2024/1772. Une mauvaise classification d'un incident – en le qualifiant à tort de non majeur – est susceptible d'entraîner une notification tardive ou une omission déclarative, justifiant la mise en place d'une cartographie préventive des scénarios d'incidents et d'une procédure interne de qualification.
Le troisième pilier exige des tests de résilience opérationnelle numérique. Les tests annuels de base s'imposent à toutes les entités, tandis que les tests TLPT (Threat-Led Penetration Testing), conduits selon le cadre TIBER-FR, ne concernent que les entités significatives tous les 3 ans. Le quatrième pilier traite de la gestion des risques liés aux prestataires TIC tiers, avec des clauses contractuelles obligatoires, un registre exhaustif, une surveillance continue et des stratégies de sortie (exit plans). Le cinquième pilier, enfin, organise un dispositif volontaire de partage d'informations sur les cyber-menaces entre entités financières, prévu à l'article 45 de DORA.
Exemple concret : Éloïse Mérault, responsable conformité d'une mutuelle francilienne comptant 180 salariés, a découvert en mars 2025 qu'un incident affectant la plateforme de gestion des sinistres, support d'une fonction critique, avait touché plus de 10 % des assurés et compromis l'intégrité de données utilisées pour le traitement des dossiers. L'équipe IT avait initialement qualifié l'événement de non majeur. Alertée par son conseil juridique, la mutuelle a finalement requalifié l'incident en incident majeur et procédé à sa notification avec un retard de 36 heures, s'exposant à un risque de déclaration tardive. Cet épisode a conduit l'organisme à formaliser une grille interne d'évaluation systématique des incidents fondée sur les critères du règlement délégué (UE) 2024/1772.
À noter : Les exigences de DORA en matière de qualification et de notification des incidents imposent aux assureurs de mettre en place une procédure de qualification rapide, associant les équipes IT, conformité et juridiques dès la survenance de tout incident susceptible d'affecter un système TIC soutenant un processus critique. Une hésitation sur la qualification ne doit pas retarder la notification initiale.
L'ACPR attend concrètement cinq types de remises du secteur assurance. Le Registre d'informations (RoI) doit être déposé au format Plain CSV (xBRL-CSV) dans un fichier .zip, sur base individuelle et à fréquence annuelle. La déclaration des incidents majeurs TIC (IR) s'effectue en format JSON, sans signature électronique, au fil de l'eau dès la survenance d'un incident, complétée par un rapport annuel. La déclaration des cyber-menaces importantes (CT) suit le même format JSON, mais sur une base volontaire au titre de l'article 19(2) de DORA. Ces précisions techniques relatives au format JSON obligatoire et à l'absence de signature électronique pour les remises IR et CT sont formalisées par l'instruction ACPR n°2025-I-10, directement utile aux équipes IT chargées de préparer les flux de déclaration d'incidents.
Deux formulaires complémentaires en format Excel complètent le dispositif : le formulaire Article 45.3 relatif au partage d'informations, et le formulaire prestataire. Quant à la structure du RoI, elle repose sur 15 modèles types organisés en 7 catégories, définis dans les annexes I à IV du règlement d'exécution (UE) 2024/2956 du 29 novembre 2024. Pour les intermédiaires d'assurance, la remise ne peut être que solo — aucun registre consolidé n'est accepté. En revanche, pour les compagnies d'assurance appartenant à un groupe, la FAQ ACPR (question Q-B6) précise que certaines entités n'ont pas à soumettre leur RoI individuellement lorsque leur maison-mère est soumise à l'obligation sur base consolidée — cette exception ne s'appliquant pas aux intermédiaires d'assurance. Ce point conditionne directement l'identification du périmètre de remise pour les groupes assurantiels et justifie l'utilisation du tableau d'aide à la détermination du périmètre de consolidation du RoI, publié en annexe du webinaire ACPR du 23 janvier 2026.
La date d'arrêté du RoI pour la campagne 2026 est fixée au 31 décembre 2025. Les données du registre doivent donc refléter l'état des contrats TIC en vigueur à cette date, et non au 31 mars 2026, qui constitue la date limite de dépôt auprès de l'ACPR. Les remises d'incidents et de cyber-menaces, quant à elles, fonctionnent au fil de l'eau depuis le 17 janvier 2025. Attention : la date de référence affichée par OneGate pour les déclarations d'incidents (IR) et de cyber-menaces (CT) — fixée à 31/12/2026 pour la campagne actuelle — est une date purement technique propre au système et ne correspond en aucun cas à la date réelle de l'incident ni à une échéance de l'obligation déclarative. Cette confusion a été constatée lors de plusieurs dépôts en 2025.
Pour mémoire, la campagne 2025 avait retenu une date de référence au 31 mars 2025 et une date limite de dépôt au 15 avril 2025, conformément à la décision des AES du 8 novembre 2024 (ESA 2024 22). L'ACPR avait ensuite transmis les données aux Autorités Européennes de Surveillance au 30 avril 2025.
Conseil : Avant tout dépôt, consultez le document pratique intitulé « Démarches pour remettre le reporting à l'ACPR », disponible sur eSurfi Assurance et eSurfi Banque, dans le menu « Informations techniques / Documentation technique / Manuels ». Ce guide récapitule l'ensemble des étapes à suivre, de l'accréditation initiale à la vérification des comptes-rendus de traitement, et permet d'éviter les erreurs de parcours sur le portail.
Le premier prérequis, souvent sous-estimé, est l'accréditation au LEI via la collecte « SOLVA » sur OneGate, dans le domaine DRA dédié à l'assurance. Cette procédure n'est pas un simple formulaire en ligne : elle nécessite la transmission à l'ACPR d'un formulaire papier signé par le dirigeant de l'organisme. Ce délai administratif doit être anticipé bien en amont de toute échéance. La mise à jour de la Carte de Visite Fonctionnelle (CVF) constitue ensuite le point d'entrée obligatoire de l'obligation de remise. Pour un accompagnement juridique adapté à ces démarches techniques, l'appui d'un conseil compétent en droit du numérique permet de sécuriser chaque étape du processus.
Attention à un piège récurrent : le RoI ne se dépose pas via l'onglet « Rapports » d'OneGate, mais via un dépôt dédié accessible depuis la page d'accueil du portail. Le fichier RoI doit respecter une architecture en deux blocs — un bloc « Administration » et un bloc de données CSV — avec la balise Report portant obligatoirement l'attribut action="replace" (mode annule et remplace). L'encodage UTF-8 est impératif.
La campagne 2025 a révélé trois causes principales de rejet, identifiées par l'ACPR lors du webinaire du 23 janvier 2026 :
En complément de ces retours nationaux, l'EBA met à disposition sur son site (eba.europa.eu, rubrique « Direct supervision and oversight / Digital Operational Resilience Act / Preparation DORA application ») un document intitulé « Observations from testing of RoI reporting to the ESAs – key common issues identified », mis à jour le 16 mai 2025, qui recense les problèmes fréquents identifiés au niveau européen lors des tests de transmission des RoI. Ce document constitue, avec les règles de validation ACPR, une ressource de premier ordre pour améliorer la qualité des fichiers avant tout dépôt officiel.
Après chaque dépôt, deux comptes-rendus automatiques sont générés : un compte-rendu technique (CRT) émis par OneGate, et un compte-rendu technique européen (CRTE) émis après transmission aux AES. Ces documents doivent être lus impérativement avant toute remise corrective. L'ACPR recommande par ailleurs d'utiliser l'espace OneGate Homologation pour tester ses fichiers avant le dépôt officiel — une demande d'accès distincte est nécessaire pour ce portail de test.
En cas de difficulté technique, deux contacts sont à retenir : 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr pour les déclarations d'incidents en cas d'indisponibilité d'OneGate, et Contact-collecte-Assurance@acpr.banque-france.fr pour toute question liée à la collecte assurance.
À noter : Les intermédiaires d'assurance exemptés de remise sur OneGate (micro-entreprises et PME au sens de DORA) qui souhaitent néanmoins notifier des incidents ou cyber-menaces sur base volontaire ne peuvent pas utiliser le portail OneGate auquel ils n'ont pas accès. Leur seul canal déclaratif est l'adresse e-mail 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr. Cette information, souvent méconnue, doit être relayée auprès des réseaux d'intermédiaires pour éviter toute tentative de dépôt sur un portail inaccessible.
Le règlement DORA ne prévoit pas de barème européen harmonisé d’amendes applicable aux entités financières. L’article 50 impose toutefois aux États membres de mettre en place des sanctions administratives et des mesures correctrices « effectives, proportionnées et dissuasives » en cas de violation des obligations prévues par le règlement. Les autorités compétentes disposent ainsi de pouvoirs étendus de contrôle et de sanction, leur permettant notamment d’exiger la mise en conformité, d’ordonner la cessation d’un comportement contraire au règlement ou encore d’appliquer des mesures de nature pécuniaire lorsque le droit national le prévoit. Ces mesures peuvent également concerner les membres de l’organe de direction ou les personnes physiques responsables du manquement.
Au-delà des sanctions administratives, une défaillance dans la gouvernance des risques TIC, la gestion des incidents ou le contrôle des prestataires critiques peut engager la responsabilité de l’entité financière et de ses dirigeants. Ces manquements sont susceptibles d’entraîner de lourdes conséquences financières, notamment lorsqu’ils causent un préjudice à des clients, partenaires ou tiers.
Enfin, les violations graves ou répétées des exigences de résilience opérationnelle numérique peuvent entraîner des conséquences prudentielles. Les autorités de supervision peuvent renforcer leur contrôle ou considérer que l’entité ne satisfait plus aux conditions nécessaires à l’exercice de son activité, ce qui peut, selon les textes sectoriels applicables, affecter son agrément ou son autorisation d’exercer.
S’agissant des prestataires tiers de services TIC critiques soumis au cadre de surveillance européen prévu par DORA, les autorités de surveillance disposent de pouvoirs spécifiques pouvant inclure l’imposition d’astreintes destinées à contraindre le prestataire à respecter ses obligations. Ces astreintes peuvent atteindre 1 % du chiffre d’affaires quotidien moyen mondial réalisé au cours de l’exercice précédent, pendant une durée maximale de six mois.
Les conséquences d’un manquement au règlement DORA ne se limitent pas aux sanctions financières. Les autorités compétentes peuvent également prononcer des mesures correctrices telles que des injonctions de mise en conformité, des ordres de cessation d’un comportement non conforme ou encore la publication de décisions identifiant la personne responsable et la nature de la violation (« name and shame »).
L’article 52 du règlement prévoit par ailleurs la possibilité pour les États membres d’instaurer des sanctions pénales pour certaines violations graves des obligations issues de DORA. Le règlement ne crée toutefois pas directement un régime pénal européen : chaque État membre reste compétent pour déterminer l’existence de telles sanctions et en fixer les modalités.
En France, l’application effective de ces mécanismes dépend des adaptations législatives permettant aux autorités compétentes, notamment l’Autorité de contrôle prudentiel et de résolution (ACPR) et l’Autorité des marchés financiers (AMF), d’exercer pleinement leurs pouvoirs. Les premiers contrôles et actions de supervision spécifiques à DORA permettront progressivement de préciser la pratique des autorités françaises.
L'ACPR a identifié quatre axes prioritaires de supervision pour 2026 : la qualité du RoI, le processus opérationnel de déclaration des incidents, le cadre de gestion des risques TIC documenté et validé par la direction, et la mise à jour des contrats TIC avec des clauses conformes à DORA. Lors d'une inspection, l'ACPR attend de pouvoir consulter un registre des contrats prestataires TIC à jour, une politique de test de résilience formalisée, et un processus de notification des incidents pleinement opérationnel.
La gouvernance interne est un chantier à ne pas sous-estimer. L'ACPR a elle-même pointé le « défaut d'anticipation de l'ampleur de la gouvernance nécessaire en interne » comme cause majeure des échecs de 2025. Concrètement, la constitution du RoI mobilise les directions IT, achats, conformité et juridique. Ce travail transversal doit être lancé au moins trois mois avant le 31 mars 2026. Le tableau d'aide à la détermination du périmètre de consolidation du RoI, disponible en annexe du webinaire ACPR du 23 janvier 2026, constitue un outil pratique à exploiter.
L'audit et la mise à jour des contrats prestataires TIC doivent être engagés sans attendre. Les clauses contractuelles obligatoires imposées par DORA — portant sur la réversibilité, l'accès aux données, la coopération en cas d'incident — conditionnent la bonne complétion des 15 modèles types du RoI. Enfin, la veille réglementaire reste indispensable :
Le RoI ne constitue pas une simple formalité déclarative. Il sert à l'ACPR de véritable outil de supervision du risque tiers, permettant de cartographier les interdépendances entre entités financières et prestataires TIC, d'évaluer le risque de concentration sectoriel et d'alimenter le processus européen de désignation des prestataires TIC critiques (CTPP) par les AES. Ce processus de désignation repose notamment sur trois principaux : le nombre et la taille des entités financières clientes du prestataire, le caractère substituable ou non du service fourni, et le degré d'interdépendance systémique. Ces critères permettent aux assureurs de comprendre pourquoi certains de leurs fournisseurs cloud ou éditeurs SaaS pourraient être désignés comme prestataires TIC critiques et placés sous supervision directe européenne (par l'EBA, l'ESMA ou l'EIOPA), avec des conséquences potentielles sur les conditions contractuelles et la continuité des services.
Exemple concret : Le groupe mutualiste Préviance, composé d'une union de mutuelles (maison-mère) et de trois mutuelles-filles, s'est interrogé en début de campagne 2026 sur le nombre de RoI à déposer. Après analyse de la FAQ ACPR (question Q-B6), il s'est avéré que les deux mutuelles-filles intégralement détenues par l'union n'avaient pas à remettre de RoI individuel, leur maison-mère étant soumise à l'obligation sur base consolidée. En revanche, un courtier affilié au groupe, bien que de taille significative, a dû remettre son propre RoI solo — la dispense de remise individuelle ne s'appliquant pas aux intermédiaires d'assurance. Cette clarification a permis au groupe de concentrer ses ressources sur deux dépôts (consolidé et solo courtier) plutôt que cinq, réduisant significativement la charge de travail tout en restant conforme.
Face à la complexité technique et juridique des remises DORA assurance ACPR, l'accompagnement externe demeure un levier essentiel pour sécuriser vos obligations déclaratives, auditer vos contrats TIC et anticiper les risques de sanction. CONNECT AVOCATS accompagne les entreprises sur l'ensemble du territoire français dans leurs problématiques de conformité réglementaire et de droit du numérique, en associant rigueur juridique et compréhension des enjeux techniques. Si vous êtes un organisme assureur, un courtier supervisé ou un cabinet souhaitant sécuriser la préparation de la campagne 2026, n'hésitez pas à solliciter l'équipe de CONNECT AVOCATS pour un accompagnement adapté à vos besoins.