DORA Assurance 2026 : Obligations Compagnies, Mutuelles et Réassureurs

Le secteur de l'assurance est l'un des trois grands piliers du secteur financier soumis au règlement DORA (EU) 2022/2554, applicable depuis le 17 janvier 2025. Un an après l'entrée en application, le bilan 2026 montre que les assureurs français ont majoritairement intégré les exigences minimales, mais que l'articulation avec Solvabilité II — déjà exigeante — reste un chantier vivant. Quand le réassureur australien Medibank a été victime d'une cyberattaque massive en octobre 2022, avec les données de santé de 9,7 millions de clients exposées et un coût total estimé à 46 millions de dollars australiens, le secteur mondial de l'assurance a pris conscience de sa vulnérabilité. Les compagnies d'assurance vie et non-vie, les mutuelles, les institutions de prévoyance et les sociétés de réassurance sont toutes dans le champ d'application de DORA. Pour ce secteur, l'autorité de référence de niveau 2 est l'EIOPA (European Insurance and Occupational Pensions Authority).

Quelles entités d'assurance sont concernées par DORA en 2026 ?

Le champ d'application de DORA pour le secteur assurantiel est défini à l'article 2 du règlement. Il couvre les entreprises d'assurance et de réassurance soumises à la directive Solvabilité II, les intermédiaires d'assurance (sauf microentreprises), les mutuelles relevant du code de la mutualité, les institutions de prévoyance relevant du code de la sécurité sociale, et les entités d'assurance relevant de régimes sectoriels spécifiques. En France, l'ACPR recensait fin 2024 248 entreprises d'assurance, 305 organismes relevant du code de la mutualité et 33 institutions de prévoyance (hors fonds de retraite professionnelle supplémentaire), chiffres en baisse tendancielle d'une année sur l'autre.

Petites mutuelles et institutions de prévoyance

Les petites mutuelles et institutions de prévoyance, nombreuses en France, relèvent pleinement du cadre de gestion des risques TIC de DORA. Une précision s'impose, car la confusion est fréquente : le cadre simplifié prévu à l'article 16 du règlement ne leur est pas ouvert. Cet article vise une liste fermée d'entités — notamment les petites entreprises d'investissement non interconnectées, certains établissements de paiement, de crédit et de monnaie électronique bénéficiant d'exemptions sectorielles, et les petites institutions de retraite professionnelle — dont ne font pas partie les organismes agréés au titre de Solvabilité II, quelle que soit leur taille.

Ce qui s'applique en revanche, c'est le principe de proportionnalité posé à l'article 4 : la mise en œuvre du dispositif est calibrée sur la taille, le profil de risque et la complexité des activités de l'organisme. Pour une mutuelle de taille intermédiaire, cela autorise une gouvernance et une documentation allégées, jamais une dispense. Le processus de notification des incidents majeurs, le registre d'informations et les clauses contractuelles avec les prestataires TIC restent dus.

Réassureurs et groupes transfrontaliers

Les grands réassureurs (Scor, Caisse Centrale de Réassurance) présentent un profil de risque DORA élevé en raison de leur rôle systémique dans le secteur. Les groupes transfrontaliers sont supervisés par des collèges de superviseurs coordonnés par l'EIOPA, avec l'ACPR pour les entités françaises. AXA, CNP Assurances, Covéa, Allianz France et Generali France font l'objet d'une supervision prioritaire au titre de leur importance systémique.

Articulation DORA — Solvabilité II

La directive Solvabilité II impose déjà aux assureurs des exigences de gouvernance, de gestion des risques et de continuité d'activité. DORA vient préciser et renforcer ces exigences pour leur composante TIC. Le règlement DORA modifie directement la directive Solvabilité II sur plusieurs points pour assurer la cohérence. Les assureurs doivent identifier les redondances entre leurs obligations Solvabilité II existantes et les nouvelles exigences DORA, et les intégrer dans un cadre harmonisé. Plutôt que de publier un nouveau texte de coordination, l'EIOPA a choisi de retirer plusieurs de ses anciennes orientations (guidelines) liées à Solvabilité II et à la directive IORP II qui faisaient doublon avec les exigences DORA, afin d'éviter toute redondance entre les deux cadres.

ORSA et risque TIC

L'ORSA (Own Risk and Solvency Assessment) sous Solvabilité II doit désormais intégrer une analyse du risque TIC conforme aux définitions et critères DORA. L'évaluation prospective des risques TIC, les scénarios de stress incluant des cyberattaques majeures, et l'impact sur la solvabilité d'un incident TIC prolongé doivent figurer dans l'ORSA. Les premiers ORSA 2025 conformes DORA ont mis en lumière une dispersion significative des approches selon la maturité des assureurs.

Pilier II de Solvabilité II et gouvernance TIC DORA

Le Pilier II de Solvabilité II exige un système de gouvernance efficace incluant la gestion des risques. DORA précise pour la composante TIC que cette gouvernance doit impliquer directement l'organe de direction (conseil d'administration), définir des responsabilités claires, et faire l'objet de reportings réguliers au niveau le plus élevé de l'organisation.

Incidents cyber qui ont marqué le secteur de l'assurance

Le secteur assurantiel n'est pas épargué par les cyberattaques. En mars 2023, l'assureur allemand Huk-Coburg a subi une fuite de données touchant plusieurs centaines de milliers de clients. L'assureur santé Medibank (Australie) a vu les données médicales de 9,7 millions de clients publiées sur le dark web après un piratage en 2022. En France, la mutuelle MNH a été paralysée pendant plusieurs semaines en 2021 par un ransomware qui a bloqué l'accès aux dossiers de remboursement de ses adhérents. AXA Partners a également subi un ransomware Avaddon en 2021 en Asie, avec vol de 3 To de données clients.

Pourquoi les assureurs sont des cibles privilégiées

Les assureurs détiennent des données particulièrement sensibles : données de santé (assurance maladie), patrimoniales (assurance vie), comportementales (assurance auto connectée). Cette richesse informationnelle en fait des cibles à forte valeur pour les cybercriminels. Par ailleurs, la chaîne de sous-traitance des assureurs — courtiers, gestionnaires de sinistres, actuaires externes, plateformes de distribution — crée une surface d'attaque étendue que DORA vise précisément à encadrer.

Spécificités des risques TIC pour les assureurs

Les assureurs ont des risques TIC spécifiques à leur modèle d'activité. La dépendance aux systèmes actuariels pour la tarification et le provisionnement. L'exposition aux systèmes de liquidation des sinistres qui doivent traiter des volumes importants en temps courts après un événement catastrophique (tempête, inondation, pandémie). La criticité des systèmes de gestion des polices pour des millions de contrats. La sensibilité des données de santé pour les assureurs maladie, soumises à une réglementation encore plus stricte (RGPD, secret médical). En 2026, la dépendance croissante aux modèles prédictifs basés sur l'IA introduit une nouvelle catégorie de risque TIC que DORA encadre via les exigences de testing et de gouvernance.

Rôle de l'EIOPA dans la supervision DORA Assurance

L'EIOPA (European Insurance and Occupational Pensions Authority) est l'autorité de niveau 2 responsable d'élaborer les normes techniques DORA applicables au secteur de l'assurance. Elle publie des orientations spécifiques sur la gestion des risques TIC pour les assureurs, supervise la convergence des pratiques entre États membres, et constitue le superviseur direct des tiers TIC critiques dont le secteur de l'assurance est le client prédominant. L'EIOPA a publié en 2024-2025 plusieurs normes techniques réglementaires (RTS) et d'implémentation (ITS) spécifiques au secteur assurantiel.

Cartographier l'existant : le talon d'Achille des systèmes legacy

Beaucoup de compagnies d'assurance et de mutuelles pilotent encore leurs polices sur des socles applicatifs conçus il y a quinze ou vingt ans, parfois sur des mainframes hérités de fusions successives. Ces systèmes de gestion tournent, personne n'y touche, et c'est précisément le problème : DORA impose une cartographie exhaustive des actifs et des processus TIC, un exercice que ces environnements rendent inconfortable.

En pratique, l'exercice fait remonter ce que les équipes savaient sans l'avoir formalisé : des interfaces internes développées au fil de l'eau et jamais documentées, des dépendances croisées entre le système de gestion de sinistres et l'outil de souscription que personne ne peut expliquer avec certitude, des composants en fin de vie pour lesquels aucun plan de migration n'existe. Le cas est classique : une interface batch nocturne alimente le calcul des provisions, et le seul document de référence tient sur une note laissée par un collaborateur parti depuis deux ans.

Cette cartographie n'est pas un exercice ponctuel. Elle alimente le registre d'informations que les organismes d'assurance doivent tenir et actualiser en continu, et elle conditionne l'identification des vulnérabilités connues non corrigées sur des composants qu'on n'ose plus toucher de peur de casser une chaîne de traitement critique. Le paradoxe est connu du secteur : plus un système est ancien et peu documenté, plus le coût de sa mise en conformité grimpe, et plus la tentation de le contourner plutôt que de le réécrire est grande.

DORA et RGPD : deux horloges qui ne sonnent pas au même rythme

Les assureurs traitent des données que peu d'autres secteurs manipulent avec cette densité : antécédents médicaux pour la prévoyance et la santé, historiques de sinistres, parfois des données patrimoniales fines pour l'assurance-vie haut de gamme. Un incident TIC qui expose ce type de données n'active pas un seul mécanisme de notification, il en active deux, avec des horloges qui ne sont pas synchronisées.

Côté DORA, un incident majeur doit être classifié puis notifié à l'autorité compétente — l'ACPR pour les organismes français — selon des délais resserrés fixés par les normes techniques réglementaires, la notification initiale étant attendue quelques heures seulement après la classification. Côté RGPD, l'article 33 impose une notification à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance de la violation, sauf si celle-ci n'est pas susceptible d'engendrer un risque pour les personnes concernées. Les deux délais peuvent sembler proches sur le papier, mais les déclencheurs, les destinataires et le contenu attendu diffèrent : la déclaration DORA documente l'impact opérationnel et la résilience du service, la notification RGPD documente l'impact sur les droits des personnes.

Sur le terrain, cela se traduit par une mobilisation simultanée du RSSI ou du responsable TIC, pilote de la déclaration DORA, et du délégué à la protection des données, pilote de la notification RGPD, avec un risque réel de désynchronisation si l'organisation n'a pas prévu de procédure d'escalade commune. Les organismes qui s'en sortent le mieux sont ceux qui ont rapproché en amont leur cellule de crise cyber et leur processus de gestion des violations de données, plutôt que de découvrir en pleine crise que les deux équipes ignoraient l'existence l'une de l'autre.

La sous-traitance en cascade, angle mort du registre

L'assurance a externalisé massivement : gestion de sinistres, actuariat, relation client, plateformes de souscription en marque blanche. Le problème n'est pas l'externalisation elle-même, c'est sa profondeur. Un exemple fréquent dans l'assurance auto : le gestionnaire délègue l'instruction des sinistres à un prestataire spécialisé, qui lui-même s'appuie sur un service d'expertise à distance en mode SaaS, lequel est hébergé chez un fournisseur cloud tiers. Trois niveaux de sous-traitance TIC, et donc trois niveaux à documenter.

DORA n'ignore pas cette réalité : l'article 30 impose que le contrat avec le prestataire de premier rang précise si la sous-traitance d'un service qui soutient une fonction critique ou importante est autorisée et, si oui, à quelles conditions. En clair, l'assureur ne peut pas se contenter de contractualiser avec son interlocuteur direct en ignorant ce qui se passe en aval. Le registre d'informations doit refléter cette chaîne, pas seulement le premier maillon.

C'est là que beaucoup d'organismes découvrent un trou dans la raquette : le contrat-cadre avec le gestionnaire de sinistres ne mentionne parfois aucune clause sur la sous-traitance ultérieure, simplement parce qu'il a été signé avant que le prestataire ne migre son outil d'expertise vers un SaaS cloud. Remettre à plat ces contrats, obtenir une visibilité réelle sur les sous-traitants de rang deux et trois, négocier des clauses d'audit qui descendent toute la chaîne : c'est un chantier lourd, rarement bouclé en une seule campagne contractuelle, mais c'est ce qu'exige une gestion sérieuse des risques liés aux prestataires TIC tiers.

Captives de réassurance : dans le champ, sans régime de faveur

Les captives de réassurance occupent une position particulière et souvent mal comprise. Dès lors qu'elles sont agréées comme entreprise d'assurance ou de réassurance au sens de la directive Solvabilité II, elles entrent dans le champ d'application de DORA au même titre qu'un assureur ou un réassureur commercial. La taille du groupe qui les porte ne change rien à ce principe.

Une nuance mérite d'être posée clairement, parce qu'on la lit parfois de travers : le cadre simplifié de gestion des risques TIC prévu à l'article 16 de DORA ne concerne pas les entreprises d'assurance et de réassurance. Cet article vise une liste fermée d'entités — notamment les petites entreprises d'investissement non interconnectées, certains établissements de paiement, de crédit et de monnaie électronique bénéficiant d'exemptions sectorielles, et les petites institutions de retraite professionnelle. Une captive, aussi modeste soit-elle en volume de primes, n'y figure pas.

Ce qui s'applique en revanche, comme pour tout organisme d'assurance, c'est le principe général de proportionnalité posé à l'article 4 de DORA : la mise en œuvre du dispositif de gestion des risques TIC doit être calibrée à la taille, au profil de risque et à la complexité des activités de la structure. Pour une captive mono-risque logée au Luxembourg ou en Irlande, avec une poignée de contrats et un système d'information réduit, cela se traduit par une gouvernance allégée, pas par une dispense : le registre d'informations, la notification des incidents majeurs et les clauses contractuelles avec les prestataires TIC restent dus, simplement dimensionnés à l'échelle de la structure.

Feuille de route de conformité DORA pour les assureurs en 2026

Les assureurs français doivent prioriser plusieurs chantiers pour 2026. La mise à jour de l'ORSA pour intégrer le risque TIC selon les critères DORA (cycle annuel). La cartographie des systèmes TIC critiques supportant les fonctions d'assurance (gestion des polices, liquidation sinistres, actuariat, distribution). La révision des contrats avec les prestataires TIC — notamment les éditeurs de logiciels d'assurance (Guidewire, Duck Creek, Prima Solutions) et les prestataires cloud (AWS, Azure, GCP). L'activation d'un processus de notification des incidents TIC majeurs à l'ACPR dans le délai de 4 heures après classification (24 heures au plus tard après détection). La préparation aux premiers tests de résilience en conditions DORA, y compris TLPT pour les entités significatives.

Conclusion

DORA représente pour le secteur de l'assurance bien plus qu'un exercice de conformité. Quand une mutuelle de santé se retrouve paralysée pendant trois semaines par un ransomware — comme ce fut le cas pour la MNH en 2021 —, ce sont des centaines de milliers d'adhérents qui ne peuvent plus accéder à leurs remboursements. L'articulation avec Solvabilité II, déjà exigeante, impose une intégration intelligente plutôt qu'une superposition de cadres. Le bilan 2026, un an après l'entrée en application, confirme que les assureurs les plus avancés dans leur maturité numérique ont une longueur d'avance, mais que tous doivent continuer à adapter leurs dispositifs aux exigences spécifiques du règlement (EU) 2022/2554. Les prochains 12 mois seront décisifs avec les premières campagnes TLPT pour les acteurs significatifs et l'entrée en phase de contrôle effectif par l'ACPR.