Le règlement DORA (Digital Operational Resilience Act) est entré en application le 17 janvier 2025. Un an après, le bilan de la mise en conformité des banques, assureurs et fintech est contrasté : si les grandes institutions avancent, les acteurs moyens accusent encore des retards significatifs.
Les 5 piliers de DORA et leur état de mise en oeuvre
| Pilier DORA | Exigence principale | État de mise en œuvre observé (2025) |
|---|---|---|
| Gestion du risque ICT | Cadre formel de gestion des risques technologiques | Avancé chez les grandes entités, retard chez les acteurs moyens |
| Gestion des incidents | Classification, notification dans 4h/72h/1 mois | Premières notifications réalisées, processus encore en rodage |
| Tests de résilience | TLPT pour entités significatives | Premier cycle en cours, encore partiel |
| Risque tiers ICT | Registre des prestataires, clauses contractuelles | Hétérogène, registres souvent incomplets |
| Partage d'informations | Participation aux dispositifs sectoriels cyber | Minoritairement actif, participation volontaire |
Ce que les superviseurs ont déjà signalé
L'Autorité Bancaire Européenne (ABE) et l'EIOPA ont publié leurs premiers rapports de supervision fin 2025. Les principales lacunes : registre des prestataires ICT incomplet, délais de notification non respectés, clauses contractuelles DORA absentes dans les anciens contrats.
Sanctions pour les non-conformes
| Type de manquement | Régime de sanction applicable |
|---|---|
| Manquement d'une entité financière (notification tardive, cadre ICT absent, registre incomplet, etc.) | Droit national (France : CMF art. L.612-39, ACPR) — avertissement, blâme, interdiction temporaire d'activité, sanction pécuniaire dont le montant n'est pas plafonné par DORA |
| Non-respect par un prestataire TIC critique (CTPP) des mesures de l'autorité de surveillance principale (Lead Overseer) | Astreinte journalière harmonisée au niveau UE (DORA art. 35) : jusqu'à 1 % du chiffre d'affaires moyen mondial, 6 mois maximum |
Comment avancer concrètement en 2026 ?
Court terme (0-3 mois) : Compléter le registre des prestataires ICT. C'est la base de tout.
Moyen terme (3-6 mois) : Mettre en place la procédure de notification des incidents avec délais internes respectés.
Long terme (6-12 mois) : Planifier les tests TLPT et renégocier les contrats prestataires pour intégrer les clauses DORA.
Plus sur le règlement DORA expliqué, la différence entre DORA et NIS2 et les sanctions DORA détaillées.
Questions fréquentes sur DORA 2025-2026
Qui est concerné par le règlement DORA ?
DORA s'applique à 20 catégories d'entités financières dans l'UE : banques, assureurs, gestionnaires d'actifs, prestataires de services de paiement et leurs prestataires ICT critiques.
Quel est le délai de notification d'un incident majeur sous DORA ?
4 heures pour la notification initiale, 72 heures pour le rapport intermédiaire, 1 mois pour le rapport final.
DORA s'applique-t-il aux fournisseurs cloud non-européens ?
Oui. Les prestataires ICT critiques opérant pour des entités financières de l'UE, même basés hors UE, peuvent être désignés comme Critical Third-Party Providers et soumis à supervision directe par les autorités européennes.