Qu'est-ce que le règlement DORA?

DORA s'applique à 20 types d'entités financières. Pour les banques et les gestionnaires d'actifs, la liste de l'article 2(1) nomme les établissements de crédit, les entreprises d'investissement, les gestionnaires de fonds d'investissement alternatifs et les sociétés de gestion. Elle couvre aussi les établissements de paiement et de monnaie électronique, les assureurs, les plateformes de négociation, les contreparties centrales, les prestataires de services sur crypto-actifs et d'autres. L'article 2(3) exempte certaines petites entreprises, comme les intermédiaires d'assurance qui sont des micro, petites ou moyennes entreprises.

DORA est-il un règlement ou une directive? C'est un règlement. Le texte est « binding in its entirety and directly applicable in all Member States » (article 64), donc les mêmes règles s'appliquent à Francfort et à Vienne sans transposition nationale.

Les 5 piliers de DORA sont ses chapitres II à VI. Les titres des chapitres nomment les domaines, et ensemble ils fixent les exigences de conformité DORA pour les banques et les autres entités financières. Le chapitre II exige un cadre de gestion du risque lié aux TIC.

Le risque lié aux TIC dans DORA est « any reasonably identifiable circumstance in relation to the use of network and information systems » qui peut compromettre la sécurité de ces systèmes, des opérations ou de la fourniture de services (article 3(5)). La définition inclut des effets négatifs « in the digital or physical environment ».

Un incident majeur lié aux TIC est un incident ayant « a high adverse impact » sur les systèmes qui soutiennent des fonctions critiques ou importantes (article 3(10)). Les entreprises classent chaque incident et déclarent les incidents majeurs à leur autorité compétente.

La gestion du risque lié aux tiers selon DORA commence par la responsabilité: une entité financière qui utilise des services TIC reste « fully responsible » de la conformité (article 28(1)). Avant de signer un contrat, elle évalue si le service soutient une fonction critique ou importante et identifie les risques, y compris le risque de concentration (article 28(4)). Elle déclare les nouveaux accords TIC à son autorité au moins une fois par an (article 28(3)).

Parmi les exigences de DORA pour les prestataires TIC, les plus strictes s'appliquent aux prestataires critiques. Les autorités européennes de surveillance, EBA, EIOPA et ESMA, désignent les prestataires tiers de services TIC critiques pour les entités financières et nomment l'une des trois superviseur principal de chacun (article 31). Le superviseur principal peut infliger une astreinte journalière allant jusqu'à 1 % du chiffre d'affaires quotidien moyen mondial du prestataire pour faire appliquer ses mesures (article 35(8)).

L'objectif principal de DORA est « a high common level of digital operational resilience » dans le secteur financier de l'UE, grâce à des exigences uniformes pour la sécurité des réseaux et systèmes d'information des entités financières (article 1(1)).

DORA vs NIS2: la directive (UE) 2022/2555 (NIS2) fixe des règles de cybersécurité pour de nombreux secteurs. Pour les entités financières que NIS2 classe comme essentielles ou importantes, DORA est l'acte sectoriel de l'Union (article 1(2)); le considérant 16 qualifie DORA de « lex specialis » par rapport à NIS2.

En tant que règlement, DORA a force de loi en Allemagne sans acte national de transposition, et la BaFin en assure la supervision. La BaFin indique que les entreprises financières de tous les secteurs doivent appliquer DORA depuis le 17 janvier 2025, et elle reçoit les déclarations d'incidents majeurs liés aux TIC. L'EIOPA, l'une des trois autorités européennes de surveillance qui désignent les prestataires tiers critiques de TIC et agissent comme leurs superviseurs principaux, a son siège au Westhafenplatz 1 à Francfort-sur-le-Main. Les trois autorités ont publié leur première liste de prestataires critiques désignés le 18 novembre 2025. En Autriche, le DORA-Vollzugsgesetz (BGBl. I Nr. 112/2024) désigne la FMA comme autorité compétente au sens de l'article 46 de DORA (§ 2) et règle sa coopération avec l'Oesterreichische Nationalbank (§ 5).

La Suisse est hors de l'UE, donc DORA ne s'y applique pas. La circulaire FINMA 2023/1 « Operational risks and resilience: banks » s'applique depuis le 1er janvier 2024. Elle couvre les TIC, les données critiques et les cyberrisques et reprend les principes du Comité de Bâle sur la résilience opérationnelle de mars 2021. Ces informations ne remplacent pas un conseil juridique.