Règlement DORA Allemagne

DORA est le règlement sur la résilience opérationnelle numérique, règlement (UE) 2022/2554. Il constitue le cadre européen commun permettant aux banques, assureurs, gérants d’actifs, établissements de paiement et prestataires crypto de maintenir leur informatique, signaler les pannes et contrôler leurs fournisseurs informatiques. Ce règlement européen fait loi en Allemagne sans transposition nationale, et chaque entreprise concernée applique le même texte qu’à Vienne ou Paris.

Pour les équipes conformité allemandes, le plus grand changement fut la fin des circulaires informatiques nationales appliquées depuis des années. BaFin a retiré les circulaires des assureurs (VAIT), gérants de fonds (KAIT) et établissements de paiement (ZAIT) la veille de l’application de DORA, et supprime progressivement BAIT pour les banques. Une banque relevant de DORA n’applique plus les règles BAIT. La loi allemande de numérisation des marchés financiers (FinmadiG) inclut d’autres établissements: selon la Deutsche Bundesbank, les banques de développement appliquent DORA dès le début, suivies ultérieurement par les établissements de services financiers comme les sociétés de crédit-bail et d’affacturage. BAIT disparaîtra lorsque le dernier de ces établissements aura basculé.

BaFin est l’autorité compétente pour DORA en Allemagne. Elle reçoit les déclarations d’incidents et le registre d’informations, et sélectionne les entreprises soumises aux tests de pénétration fondés sur la menace. BaFin décrit les règles comme proportionnelles et fondées sur les risques, donc un petit établissement de paiement documente moins qu’une grande banque, mais tous deux suivent le même règlement. La Bundesbank accompagne les tests et conduit les inspections bancaires sur place.

Au-dessus du niveau national, les trois autorités européennes de surveillance supervisent les prestataires informatiques eux-mêmes. L’une d’elles, l’autorité des assurances EIOPA, siège à Francfort. Les autorités ont désigné les premiers prestataires tiers critiques de services TIC dans une liste de 19 noms. Selon PwC Legal, elle comprend deux entreprises allemandes, Deutsche Telekom et SAP, aux côtés d’Amazon Web Services, Google Cloud et Microsoft. Une banque allemande voit ainsi son fournisseur cloud doté de son propre superviseur, tout en restant pleinement responsable de sa conformité.

Chaque entreprise soumise à DORA tient un registre d’informations. Celui-ci recense tous les contrats avec les prestataires tiers TIC et, pour les services soutenant des fonctions critiques ou importantes, leurs sous-traitants. BaFin collecte ce registre annuellement, exclusivement via sa plateforme déclarative MVP, avec les données contractuelles au 31 décembre précédent. Le dépôt doit réussir sans erreur les contrôles de BaFin avant le 31 mars; tout fichier rejeté revient avec un journal d’erreurs et doit être redéposé.

Les anciennes notifications d’externalisation n’ont pas pour autant été supprimées. BaFin exige toujours leur déclaration via la procédure MVP "Anzeige von Auslagerungen" et veut être informée à l’avance des projets de contrats pour des fonctions critiques ou importantes. Les incidents majeurs liés aux TIC lui sont déclarés en trois étapes: notification initiale, rapport intermédiaire et rapport final, selon l’article 19 de DORA.

Un test de pénétration fondé sur la menace (TLPT) est une attaque contrôlée contre les systèmes critiques en production d’une entreprise financière. Une équipe rouge externe le prépare avec des renseignements actuels sur les menaces et attaque comme un véritable groupe de pirates. BaFin choisit les entreprises soumises aux tests et leur indique une fréquence triennale ou différente. La Bundesbank accompagne chacun de ces tests de pénétration.

La méthode précède l’entrée en vigueur du règlement DORA. La Bundesbank a introduit le cadre européen TIBER en Allemagne sous le nom TIBER-DE, auquel les banques participaient volontairement. DORA impose désormais aux entreprises les plus critiques de réaliser ces tests, et le cadre révisé autorise des testeurs internes sous certaines conditions. L’unité de la Bundesbank chargée des tests est sa TIBER Cyber Team.

Trois services se partagent une grande partie du travail quotidien de mise en œuvre. La sécurité informatique gère le cadre de risques TIC, les achats et le juridique gèrent les contrats fournisseurs, et la fonction de contrôle des risques TIC vérifie leur travail. Selon DORA, l’organe de direction assume la responsabilité ultime du risque TIC, donc ses membres valident désormais des sujets auparavant réservés au service informatique.

Le registre revient chaque année avec de stricts contrôles de données. BaFin teste chaque fichier et renvoie un journal d’erreurs; les données contractuelles des achats, de l’informatique et du juridique doivent donc concorder jusqu’au sous-traitant. Le risque de concentration est le deuxième sujet: désigner les prestataires critiques reflète, selon PwC Legal, "systemic reliance on a small set of providers". Un troisième sujet concerne les relations entre DORA et les autres lois. Une banque évaluant le crédit à la consommation par IA relève aussi du règlement européen sur l’IA, et un prestataire crypto agréé sous MiCA applique aussi DORA. Un débutant devrait commencer par le registre d’informations et les critères de classification des incidents, routines annuelles ou quotidiennes en lien direct avec BaFin.

Finance Loop réunit responsables risques informatiques, responsables sécurité et équipes conformité des banques, assureurs, gérants d’actifs et de leurs prestataires informatiques. Finance Loop relie les milieux de la finance, de l’informatique et de l’IA à Francfort et organise aussi des événements à Munich, Berlin et Hambourg.

Finance Loop a annoncé KI Exchange 2026 à Hambourg, conférence de Payment & Banking dont le programme prévoyait gouvernance IA et conformité DORA, avec des intervenants attendus de BaFin. Lors de l’événement parallèle AI Week Frankfurt, présenté par Finance Loop avec Frankfurt Main Finance et Sopra Financial Technology, revel8 a parlé de sensibilisation aux deepfakes. Finance Loop a coorganisé le Frankfurt Quantum Finance Forum avec la Frankfurt School, ainsi que la Deutsche Bundesbank et IBM, où le risque quantique pour la cryptographie figure au programme. De nombreuses soirées se tiennent à TechQuartier, avec lequel Finance Loop se construit en collaboration. Pages liées: la cybersécurité financière en Allemagne, puis le règlement IA européen en finance, la gestion des risques à Francfort et la réglementation crypto en Allemagne.

Dans la banque, DORA regroupe les règles européennes du risque TIC. Une banque doit gérer un cadre de risques TIC, classifier et déclarer les incidents informatiques majeurs, tester ses systèmes, tenir un registre de tous ses contrats informatiques et gérer le risque fournisseurs. La réponse sur DORA dans le Knowledge Hub détaille les cinq chapitres du règlement.

Chaque établissement de crédit allemand applique directement DORA sous la supervision de BaFin. La circulaire nationale BAIT ne s’applique plus aux banques relevant de DORA. Certains établissements hors CRR, comme les sociétés de crédit-bail et d’affacturage, rejoignent DORA ultérieurement sous FinmadiG, comme l’explique la Bundesbank.

Un prestataire TIC n’a pas besoin d’agrément DORA, mais ses clients ont des obligations envers lui: avant signature, ils évaluent si le service soutient une fonction critique ou importante et vérifient le risque de concentration, puis inscrivent le prestataire au registre d’informations. Les prestataires désignés critiques par les autorités européennes, comme Deutsche Telekom et SAP, relèvent d’une supervision européenne directe, avec un superviseur principal pouvant imposer des astreintes journalières.

BaFin organise sa conférence sur la supervision informatique du secteur financier, qui a dressé le bilan de la première année de DORA. Les conférences sur l’IA en finance, comme KI Exchange à Hambourg, inscrivent aussi la conformité DORA à leur programme. Le calendrier ci-dessous recense les événements organisés ou soutenus par Finance Loop.