En 2023, le coût moyen d'une violation de données dans le secteur financier atteignait 5,9 millions de dollars selon IBM — un chiffre qui éclaire l'ampleur des enjeux derrière le règlement DORA. Après une première campagne de remises DORA assurance ACPR en 2025, marquée par de nombreux rejets techniques, l'année 2026 est officiellement qualifiée d'« année de supervision » par l'Autorité de contrôle prudentiel et de résolution. Directeurs conformité, responsables IT, juristes et cabinets accompagnant des assureurs se posent les mêmes questions : qu'est-ce qui a changé, comment bien remettre, et quels risques encourt-on en cas de manquement ? CONNECT AVOCATS, cabinet intervenant sur toute la France dans le domaine du droit des affaires et du droit du numérique, décrypte ici les réponses essentielles pour aborder cette échéance avec rigueur.
Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), a été adopté le 14 décembre 2022 et publié au Journal officiel de l'Union européenne le 27 décembre 2022. Il est applicable directement dans tous les États membres depuis le 17 janvier 2025, sans aucune période transitoire. Son objectif est clair : harmoniser au niveau européen la résilience opérationnelle numérique de plus de 22 000 entités financières, réparties en 21 catégories distinctes.
En France, les entités assurantielles concernées comprennent les compagnies d'assurance, mutuelles, institutions de prévoyance et courtiers supervisés par l'ACPR au titre de l'article L. 612-2 du Code monétaire et financier. DORA vient renforcer le cadre prudentiel Solvabilité II (Directive 2009/138/CE), notamment son pilier 2 sur les risques opérationnels, en y ajoutant des exigences spécifiques aux technologies de l'information et de la communication (TIC) : reporting d'incidents, tests de résilience et surveillance des prestataires. Ces obligations impliquent en parallèle une vigilance accrue en matière de protection des données personnelles, les flux déclaratifs et les registres TIC manipulant fréquemment des informations sensibles.
Le principe de proportionnalité s'applique expressément. Les micro-entreprises bénéficient d'un régime allégé. En revanche, les intermédiaires d'assurance qui ne remplissent pas les critères de micro, petite ou moyenne entreprise doivent appliquer l'intégralité des obligations, y compris la fourniture d'un Registre d'informations (RoI). Les intermédiaires exemptés peuvent néanmoins notifier incidents et cyber-menaces sur base volontaire — toutefois, n'ayant pas accès au portail OneGate, leur seul canal déclaratif est l'adresse e-mail 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr, qui sert donc à la fois de canal exclusif pour ces intermédiaires exemptés et de canal de secours en cas d'indisponibilité d'OneGate pour les entités habituellement remettantes.
Le règlement DORA s'articule autour de cinq piliers thématiques que tout organisme assureur doit maîtriser. Le premier pilier concerne la gestion des risques TIC : il impose un cadre documenté, approuvé par la direction, couvrant politiques, procédures et gouvernance interne. Le deuxième pilier porte sur la notification des incidents majeurs TIC, avec des délais stricts précisés par le règlement d'exécution (UE) 2025/302 — notification initiale dans les 4 heures suivant la classification, rapport intermédiaire sous 72 heures, rapport final sous 1 mois — ces délais s'appliquant sur base individuelle selon trois phases successives.
Sur ce point, l'ACPR adopte une interprétation extensive de la notion d'incident majeur TIC : un seul critère de gravité défini dans le règlement délégué (UE) 2024/1772 suffit à déclencher l'obligation déclarative, là où d'autres autorités (comme l'AMF) exigent plusieurs conditions cumulatives. Une mauvaise classification d'un incident — en le qualifiant à tort de non-majeur — expose donc directement l'organisme assureur à une sanction pour déclaration tardive ou omission. Ce positionnement strict de l'ACPR justifie une cartographie préventive des scénarios d'incidents au sein de chaque entité.
Le troisième pilier exige des tests de résilience opérationnelle numérique. Les tests annuels de base s'imposent à toutes les entités, tandis que les tests TLPT (Threat-Led Penetration Testing), conduits selon le cadre TIBER-FR, ne concernent que les entités significatives tous les 3 ans. Le quatrième pilier traite de la gestion des risques liés aux prestataires TIC tiers, avec des clauses contractuelles obligatoires, un registre exhaustif, une surveillance continue et des stratégies de sortie (exit plans). Le cinquième pilier, enfin, organise un dispositif volontaire de partage d'informations sur les cyber-menaces entre entités financières, prévu à l'article 45 de DORA.
Exemple concret : Éloïse Mérault, responsable conformité d'une mutuelle francilienne comptant 180 salariés, a découvert en mars 2025 qu'un incident lié à l'indisponibilité de sa plateforme de gestion des sinistres pendant 3 heures — touchant plus de 10 000 assurés — remplissait un seul critère de gravité (le nombre de clients affectés). L'équipe IT avait initialement classé l'événement comme non-majeur. Alertée par son conseil juridique, la mutuelle a finalement déclaré l'incident avec un retard de 36 heures, s'exposant à un risque de sanction pour notification tardive. Cet épisode a conduit l'organisme à formaliser une grille interne d'évaluation systématique reprenant l'ensemble des critères du règlement délégué (UE) 2024/1772.
À noter : Le caractère extensif de l'interprétation de l'ACPR en matière de classification des incidents impose aux assureurs de mettre en place une procédure de qualification immédiate, associant les équipes IT et juridiques dès la survenance de tout événement affectant un système TIC. Une hésitation sur la qualification ne doit pas retarder la notification initiale.
L'ACPR attend concrètement cinq types de remises du secteur assurance. Le Registre d'informations (RoI) doit être déposé au format Plain CSV (xBRL-CSV) dans un fichier .zip, sur base individuelle et à fréquence annuelle. La déclaration des incidents majeurs TIC (IR) s'effectue en format JSON, sans signature électronique, au fil de l'eau dès la survenance d'un incident, complétée par un rapport annuel. La déclaration des cyber-menaces importantes (CT) suit le même format JSON, mais sur une base volontaire au titre de l'article 19(2) de DORA. Ces précisions techniques relatives au format JSON obligatoire et à l'absence de signature électronique pour les remises IR et CT sont formalisées par l'instruction ACPR n°2025-I-10, directement utile aux équipes IT chargées de préparer les flux de déclaration d'incidents.
Deux formulaires complémentaires en format Excel complètent le dispositif : le formulaire Article 45.3 relatif au partage d'informations, et le formulaire prestataire. Quant à la structure du RoI, elle repose sur 15 modèles types organisés en 7 catégories, définis dans les annexes I à IV du règlement d'exécution (UE) 2024/2956 du 29 novembre 2024. Pour les intermédiaires d'assurance, la remise ne peut être que solo — aucun registre consolidé n'est accepté. En revanche, pour les compagnies d'assurance appartenant à un groupe, la FAQ ACPR (question Q-B6) précise que certaines entités n'ont pas à soumettre leur RoI individuellement lorsque leur maison-mère est soumise à l'obligation sur base consolidée — cette exception ne s'appliquant pas aux intermédiaires d'assurance. Ce point conditionne directement l'identification du périmètre de remise pour les groupes assurantiels et justifie l'utilisation du tableau d'aide à la détermination du périmètre de consolidation du RoI, publié en annexe du webinaire ACPR du 23 janvier 2026.
La date d'arrêté du RoI pour la campagne 2026 est fixée au 31 décembre 2025. Les données du registre doivent donc refléter l'état des contrats TIC en vigueur à cette date, et non au 31 mars 2026, qui constitue la date limite de dépôt auprès de l'ACPR. Les remises d'incidents et de cyber-menaces, quant à elles, fonctionnent au fil de l'eau depuis le 17 janvier 2025. Attention : la date de référence affichée par OneGate pour les déclarations d'incidents (IR) et de cyber-menaces (CT) — fixée à 31/12/2026 pour la campagne actuelle — est une date purement technique propre au système et ne correspond en aucun cas à la date réelle de l'incident ni à une échéance de l'obligation déclarative. Cette confusion a été constatée lors de plusieurs dépôts en 2025.
Pour mémoire, la campagne 2025 avait retenu une date de référence au 31 mars 2025 et une date limite de dépôt au 15 avril 2025, conformément à la décision des AES du 8 novembre 2024 (ESA 2024 22). L'ACPR avait ensuite transmis les données aux Autorités Européennes de Surveillance au 30 avril 2025.
Conseil : Avant tout dépôt, consultez le document pratique intitulé « Démarches pour remettre le reporting à l'ACPR », disponible sur eSurfi Assurance et eSurfi Banque, dans le menu « Informations techniques / Documentation technique / Manuels ». Ce guide récapitule l'ensemble des étapes à suivre, de l'accréditation initiale à la vérification des comptes-rendus de traitement, et permet d'éviter les erreurs de parcours sur le portail.
Le premier prérequis, souvent sous-estimé, est l'accréditation au LEI via la collecte « SOLVA » sur OneGate, dans le domaine DRA dédié à l'assurance. Cette procédure n'est pas un simple formulaire en ligne : elle nécessite la transmission à l'ACPR d'un formulaire papier signé par le dirigeant de l'organisme. Ce délai administratif doit être anticipé bien en amont de toute échéance. La mise à jour de la Carte de Visite Fonctionnelle (CVF) constitue ensuite le point d'entrée obligatoire de l'obligation de remise. Pour un accompagnement juridique adapté à ces démarches techniques, l'appui d'un conseil compétent en droit du numérique permet de sécuriser chaque étape du processus.
Attention à un piège récurrent : le RoI ne se dépose pas via l'onglet « Rapports » d'OneGate, mais via un dépôt dédié accessible depuis la page d'accueil du portail. Le fichier RoI doit respecter une architecture en deux blocs — un bloc « Administration » et un bloc de données CSV — avec la balise Report portant obligatoirement l'attribut action="replace" (mode annule et remplace). L'encodage UTF-8 est impératif.
La campagne 2025 a révélé trois causes principales de rejet, identifiées par l'ACPR lors du webinaire du 23 janvier 2026 :
En complément de ces retours nationaux, l'EBA met à disposition sur son site (eba.europa.eu, rubrique « Direct supervision and oversight / Digital Operational Resilience Act / Preparation DORA application ») un document intitulé « Observations from testing of RoI reporting to the ESAs – key common issues identified », mis à jour le 16 mai 2025, qui recense les problèmes fréquents identifiés au niveau européen lors des tests de transmission des RoI. Ce document constitue, avec les règles de validation ACPR, une ressource de premier ordre pour améliorer la qualité des fichiers avant tout dépôt officiel.
Après chaque dépôt, deux comptes-rendus automatiques sont générés : un compte-rendu technique (CRT) émis par OneGate, et un compte-rendu technique européen (CRTE) émis après transmission aux AES. Ces documents doivent être lus impérativement avant toute remise corrective. L'ACPR recommande par ailleurs d'utiliser l'espace OneGate Homologation pour tester ses fichiers avant le dépôt officiel — une demande d'accès distincte est nécessaire pour ce portail de test.
En cas de difficulté technique, deux contacts sont à retenir : 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr pour les déclarations d'incidents en cas d'indisponibilité d'OneGate, et Contact-collecte-Assurance@acpr.banque-france.fr pour toute question liée à la collecte assurance.
À noter : Les intermédiaires d'assurance exemptés de remise sur OneGate (micro-entreprises et PME au sens de DORA) qui souhaitent néanmoins notifier des incidents ou cyber-menaces sur base volontaire ne peuvent pas utiliser le portail OneGate auquel ils n'ont pas accès. Leur seul canal déclaratif est l'adresse e-mail 2760-INCIDENTS-DORA-UT@acpr.banque-france.fr. Cette information, souvent méconnue, doit être relayée auprès des réseaux d'intermédiaires pour éviter toute tentative de dépôt sur un portail inaccessible.
L'ACPR dispose d'un arsenal de sanctions significatif. Pour les entités morales, les sanctions pécuniaires peuvent atteindre 10 millions d'euros ou 5 % du chiffre d'affaires annuel total, le montant le plus élevé étant retenu. Les prestataires TIC critiques désignés au niveau européen encourent une astreinte pouvant atteindre 1 % de leur chiffre d'affaires mondial quotidien moyen, pendant 6 mois maximum.
Concernant les personnes physiques dirigeantes responsables d'un manquement, le plafond de sanctions fait l'objet d'interprétations divergentes dans la doctrine : certaines sources évoquent un montant pouvant aller jusqu'à 5 millions d'euros, tandis que d'autres retiennent un plafond de 1 million d'euros. Face à cette divergence, il convient de se référer au texte même du règlement (UE) 2022/2554, seule source faisant autorité, et non aux commentaires doctrinaux. En tout état de cause, le risque financier personnel pour les dirigeants reste considérable.
Au-delà des sanctions financières, l'ACPR peut prononcer un avertissement, un blâme, une injonction de se conformer, voire un retrait d'autorisation. La publication de la décision constitue un risque réputationnel considérable. En 2026, la logique bascule clairement : les organismes ne doivent plus expliquer « où ils en sont » mais démontrer leur conformité. Les premières décisions de sanction formelles au titre de DORA sont attendues à l'issue des premiers cycles d'inspection dédiés.
Conseil : Compte tenu de l'interprétation stricte retenue par l'ACPR (un seul critère de gravité suffit à qualifier un incident de majeur), il est recommandé de documenter systématiquement le raisonnement ayant conduit à la classification de chaque incident TIC — qu'il soit finalement déclaré ou non. Cette traçabilité constituera un élément de preuve déterminant en cas de contrôle ou de procédure de sanction, en démontrant que l'absence de déclaration résulte d'une analyse motivée et non d'une omission.
L'ACPR a identifié quatre axes prioritaires de supervision pour 2026 : la qualité du RoI, le processus opérationnel de déclaration des incidents, le cadre de gestion des risques TIC documenté et validé par la direction, et la mise à jour des contrats TIC avec des clauses conformes à DORA. Lors d'une inspection, l'ACPR attend de pouvoir consulter un registre des contrats prestataires TIC à jour, une politique de test de résilience formalisée, et un processus de notification des incidents pleinement opérationnel.
La gouvernance interne est un chantier à ne pas sous-estimer. L'ACPR a elle-même pointé le « défaut d'anticipation de l'ampleur de la gouvernance nécessaire en interne » comme cause majeure des échecs de 2025. Concrètement, la constitution du RoI mobilise les directions IT, achats, conformité et juridique. Ce travail transversal doit être lancé au moins trois mois avant le 31 mars 2026. Le tableau d'aide à la détermination du périmètre de consolidation du RoI, disponible en annexe du webinaire ACPR du 23 janvier 2026, constitue un outil pratique à exploiter.
L'audit et la mise à jour des contrats prestataires TIC doivent être engagés sans attendre. Les clauses contractuelles obligatoires imposées par DORA — portant sur la réversibilité, l'accès aux données, la coopération en cas d'incident — conditionnent la bonne complétion des 15 modèles types du RoI. Enfin, la veille réglementaire reste indispensable :
Le RoI ne constitue pas une simple formalité déclarative. Il sert à l'ACPR de véritable outil de supervision du risque tiers, permettant de cartographier les interdépendances entre entités financières et prestataires TIC, d'évaluer le risque de concentration sectoriel et d'alimenter le processus européen de désignation des prestataires TIC critiques (CTPP) par les AES. Ce processus de désignation repose sur trois critères principaux : le nombre et la taille des entités financières clientes du prestataire, le caractère substituable ou non du service fourni, et le degré d'interdépendance systémique. Ces critères permettent aux assureurs de comprendre pourquoi certains de leurs fournisseurs cloud ou éditeurs SaaS pourraient être désignés comme prestataires TIC critiques et placés sous supervision directe européenne (par l'EBA, l'ESMA ou l'EIOPA), avec des conséquences potentielles sur les conditions contractuelles et la continuité des services.
Exemple concret : Le groupe mutualiste Préviance, composé d'une union de mutuelles (maison-mère) et de trois mutuelles-filles, s'est interrogé en début de campagne 2026 sur le nombre de RoI à déposer. Après analyse de la FAQ ACPR (question Q-B6), il s'est avéré que les deux mutuelles-filles intégralement détenues par l'union n'avaient pas à remettre de RoI individuel, leur maison-mère étant soumise à l'obligation sur base consolidée. En revanche, un courtier affilié au groupe, bien que de taille significative, a dû remettre son propre RoI solo — la dispense de remise individuelle ne s'appliquant pas aux intermédiaires d'assurance. Cette clarification a permis au groupe de concentrer ses ressources sur deux dépôts (consolidé et solo courtier) plutôt que cinq, réduisant significativement la charge de travail tout en restant conforme.
Face à la complexité technique et juridique des remises DORA assurance ACPR, l'accompagnement externe demeure un levier essentiel pour sécuriser vos obligations déclaratives, auditer vos contrats TIC et anticiper les risques de sanction. CONNECT AVOCATS accompagne les entreprises sur l'ensemble du territoire français dans leurs problématiques de conformité réglementaire et de droit du numérique, en associant rigueur juridique et compréhension des enjeux techniques. Si vous êtes un organisme assureur, un courtier supervisé ou un cabinet souhaitant sécuriser la préparation de la campagne 2026, n'hésitez pas à solliciter l'équipe de CONNECT AVOCATS pour un accompagnement adapté à vos besoins.