DORA Banque 2026 : Obligations ACPR, Risques TIC et Conformité

Le secteur bancaire est au coeur du règlement DORA (EU) 2022/2554, applicable depuis le 17 janvier 2025. Un an après l'entrée en application, le bilan 2026 révèle un secteur en pleine structuration : l'ACPR a publié plusieurs instructions de supervision, les premiers incidents déclarés au titre des articles 17-23 remontent aux régulateurs, et le régime de notification en 4 heures pour les incidents majeurs est désormais opérationnel. Quand ION Group, prestataire technologique pour les marchés de dérivés, a été frappé par le ransomware LockBit en janvier 2023, des traders d'ABN Amro et d'Intesa Sanpaolo ont dû revenir au papier pour confirmer leurs positions. Ce genre d'incident n'est plus une exception — c'est le quotidien du risque cyber bancaire. Les établissements de crédit, banques universelles, banques en ligne, néobanques et établissements de paiement constituent la catégorie d'entités la plus nombreuse et la plus scrutée par les superviseurs.

Quelles banques sont soumises à DORA en 2026 ?

Toutes les entités bancaires agréées selon la directive CRD IV/V sont dans le champ d'application du règlement DORA. Cela inclut sans exception les établissements de crédit (banques universelles, banques mutualistes, caisses d'épargne), les établissements de paiement agréés, les établissements de monnaie électronique, et les succursales d'établissements de pays tiers établies dans l'UE. Le principe de proportionnalité de l'article 4 du règlement DORA module les exigences selon la taille et le profil de risque. En France, la supervision est assurée par l'ACPR au niveau national, la BCE prenant le relais via le Mécanisme de Supervision Unique pour les groupes significatifs. L'ACPR rappelle que DORA fixe des exigences communes couvrant vingt catégories différentes d'entités financières, ce qui limite la fragmentation réglementaire entre secteurs.

Banques systémiques : exigences renforcées

Les banques systémiques — établissements d'importance systémique mondiale (G-SIB) et nationale (O-SIB) — font l'objet d'exigences renforcées dans le cadre DORA. Elles sont soumises aux tests de pénétration TLPT obligatoires tous les 3 ans au plus, à un niveau de reporting plus détaillé auprès de l'ACPR et de la BCE, et sont scrutées en priorité dans les programmes d'inspection superviseurs. BNP Paribas, Crédit Agricole, Société Générale, BPCE et Crédit Mutuel-CIC font partie de cette catégorie en France.

Petites banques : proportionnalité, et non régime simplifié

Une confusion fréquente consiste à présenter l'article 16 du règlement DORA comme un dispositif d'allègement ouvert aux petites banques, notamment aux banques coopératives ou mutualistes locales, au seul motif qu'elles sont de taille réduite. Ce n'est pas ce que dit le texte.

L'article 16 réserve son cadre simplifié de gestion des risques TIC à une liste fermée de statuts réglementaires : les petites entreprises d'investissement non interconnectées, les établissements de paiement exemptés au titre de la directive (UE) 2015/2366, les établissements exemptés au titre de la directive 2013/36/UE, les établissements de monnaie électronique exemptés au titre de la directive 2009/110/CE, et les petites institutions de retraite professionnelle. Aucun seuil de chiffre d'affaires ni d'effectif n'y figure, et aucune norme technique de l'EBA n'est venue en fixer un. Une banque coopérative locale agréée comme établissement de crédit de plein exercice au sens de la directive 2013/36/UE n'entre dans aucune de ces cases : elle reste soumise au cadre complet de l'article 6, quelle que soit la taille de son bilan.

La vraie porte d'entrée pour moduler l'effort selon la taille, c'est l'article 4. Ce principe de proportionnalité impose de calibrer l'intensité des dispositifs de gestion du risque TIC à la nature, à l'ampleur et à la complexité de l'activité, sans dispenser personne des obligations de fond de l'article 6. Concrètement, une petite banque régionale peut documenter un cadre plus léger, avec des processus moins lourds, sans pour autant s'affranchir de la gouvernance de l'article 5 ni de l'obligation de le tester.

L'autre levier de modulation, plus structurant en pratique, se joue sur le périmètre des tests avancés. Les tests de pénétration fondés sur la menace, prévus aux articles 26 et 27, ne s'imposent qu'aux entités identifiées par leur autorité de contrôle. Une banque coopérative locale non significative au sens du Mécanisme de Supervision Unique y échappera dans l'immense majorité des cas — non parce qu'elle bénéficierait du régime simplifié de l'article 16, mais parce qu'elle ne relève pas du périmètre des tests avancés.

Cadre de gestion des risques TIC : obligations détaillées

Le chapitre II du règlement DORA (articles 5 à 16) impose aux banques un cadre complet de gestion des risques TIC. Ce cadre doit être documenté dans une politique de gouvernance approuvée par le conseil d'administration ou le directoire. Il doit couvrir l'identification et la classification de tous les actifs TIC, les mesures de protection et prévention, les capacités de détection des anomalies, les plans de réponse et de rétablissement, et les mécanismes d'apprentissage après incident. La première année d'application (2025) a vu l'ACPR conduire une série d'inspections ciblées sur la gouvernance TIC des banques de taille moyenne, avec des constats récurrents sur la maturité de la cartographie des actifs et le caractère formel des plans de continuité.

Cartographie des actifs TIC

L'article 8 du règlement DORA impose une cartographie complète et tenue à jour de tous les actifs TIC supportant les fonctions critiques ou importantes. Pour une banque de taille intermédiaire, cela peut représenter plusieurs milliers d'actifs : serveurs, applications, bases de données, équipements réseau, postes de travail. La cartographie doit identifier les interdépendances et les chemins de risque critiques. Les superviseurs exigent en 2026 que cette cartographie soit machine-readable (export structuré) pour permettre des inspections automatisées.

Plans de continuité et de rétablissement

L'article 11 du règlement DORA exige des plans de continuité des activités TIC et des plans de réponse et de rétablissement. Pour les banques, ces plans doivent couvrir les scénarios de crise les plus plausibles : cyberattaque, panne majeure d'infrastructure, défaillance d'un prestataire cloud critique. Les objectifs de temps de rétablissement (RTO) et de point de rétablissement (RPO) doivent être définis par processus métier et testés au moins annuellement en conditions réelles ou quasi-réelles.

Notification des incidents : délais stricts et procédures

Le chapitre III du règlement DORA impose aux banques un processus de notification des incidents TIC majeurs à l'ACPR. La notification initiale doit intervenir au plus tard 4 heures après la classification de l'incident comme majeur, et dans tous les cas au plus tard 24 heures après sa détection : c'est le délai le plus contraignant des deux qui s'applique. Ce double plafond est fixé à l'article 5 du règlement délégué (UE) 2025/301, et les critères de classification relèvent de l'article 18 du règlement DORA précisé par le règlement délégué (UE) 2024/1772. Un rapport intermédiaire doit être transmis dans les 72 heures, puis un rapport final dans le mois qui suit. Le non-respect de ces délais constitue en soi une violation du règlement DORA et peut déclencher une procédure de sanction. Dans son état des lieux de place dressé après huit mois d'application, l'ACPR indique que ces délais sont encore rarement respectés. Sur les chiffres arrêtés au 23 août 2025, un tiers impliqué est en cause dans plus de la moitié des cas, et dans près de 60 % des cas l'incident est déjà clos au moment de la notification initiale — les activités ont repris, voire l'analyse des causes est terminée, avant même que le superviseur soit informé. L'ACPR relève aussi des difficultés très opérationnelles : mécompréhension des critères de classification, champs obligatoires mal renseignés, remises au format JSON sur OneGate pas toujours maîtrisées. Le critère de classification reste un point d'attention pour 2026 : les banques doivent calibrer leur matrice de gravité pour éviter à la fois la sur-notification (dilution du signal) et la sous-notification (risque de sanction).

Incidents réels : pourquoi DORA est vital pour les banques

Les incidents cyber dans le secteur bancaire ne sont pas théoriques. En juillet 2024, la panne CrowdStrike a paralysé des systèmes bancaires dans le monde entier après une mise à jour défectueuse — illustrant le risque de dépendance à un prestataire unique. En 2016, la Banque centrale du Bangladesh a perdu 81 millions de dollars via une compromission de son accès SWIFT. En France, l'incident ayant affecté le prestataire Harvest en 2025 a touché plusieurs entités financières à la fois, illustrant exactement le risque de concentration que DORA cherche à encadrer. Ces incidents montrent que le cadre DORA n'est pas une contrainte bureaucratique mais une nécessité opérationnelle.

Le coût réel d'un incident cyber bancaire

Selon le rapport IBM Cost of a Data Breach 2024, le coût moyen d'une violation de données dans le secteur financier atteint 6,08 millions de dollars — le deuxième secteur le plus touché après la santé. Pour une banque française de taille intermédiaire, un incident majeur peut représenter 2 à 5 % du résultat net annuel en coûts directs (remédiation, notification, amendes) et indirects (perte de confiance clients, dépréciation boursière). L'investissement dans la conformité DORA est, en comparaison, un coût de prévention largement inférieur au coût de l'incident.

Tests de résilience : du basique au TLPT

Le chapitre IV du règlement DORA structure les tests de résilience en deux niveaux. Les tests de base (évaluations de vulnérabilité, tests de pénétration classiques, scénarios de continuité) s'appliquent à toutes les banques au moins annuellement. Les tests TLPT (Threat-Led Penetration Testing) sont réservés aux établissements d'importance significative et doivent être conduits par des testeurs externes qualifiés selon le cadre TIBER-EU au moins tous les 3 ans. Le périmètre exact de chaque campagne — fonctions critiques couvertes, scénarios de menace retenus — n'est pas fixé par le règlement : il se négocie au cas par cas avec l'autorité compétente, qui contacte bilatéralement les entités concernées. La liste des entités soumises aux TLPT n'est pas publique.

Gestion des prestataires TIC : le registre obligatoire

L'article 28 du règlement DORA impose aux banques de maintenir un registre complet de tous les contrats avec des tiers prestataires TIC. Ce registre doit recenser non seulement les contrats directs mais aussi les sous-traitants et les chaînes de dépendances. Il doit être transmis aux superviseurs sur demande et faire l'objet d'une déclaration annuelle agrégée. La banque reste responsable de la résilience même lorsque des fonctions critiques sont externalisées. Le format standardisé du registre est fixé par le règlement d'exécution (UE) 2024/2956 de la Commission du 29 novembre 2024. La première campagne de remise portait sur une date d'arrêté au 31 mars 2025, pour une transmission au plus tard le 15 avril 2025 via OneGate. Sa clôture a permis à l'Oversight Forum européen d'entamer ses travaux de désignation des prestataires tiers critiques, qui seront surveillés par des équipes conjointes.

Rôle de l'ACPR dans la supervision DORA

En France, l'ACPR est l'autorité compétente principale pour superviser l'application de DORA dans le secteur bancaire. DORA ne fixe pas lui-même de plafond : ses articles 50 à 52 renvoient au droit national le soin de définir les sanctions applicables aux entités financières. En France, c'est donc le régime disciplinaire de droit commun de l'ACPR, prévu à l'article L. 612-39 du code monétaire et financier, qui s'applique à un manquement DORA : la commission des sanctions peut prononcer une sanction pécuniaire pouvant atteindre 100 millions d'euros ou 10 % du chiffre d'affaires annuel net pour une personne morale, et 5 millions d'euros à l'encontre d'un dirigeant personne physique. Le taux de 1 % du chiffre d'affaires journalier mondial moyen, souvent confondu avec ce plafond, relève d'un mécanisme distinct : l'astreinte que la Commission européenne peut imposer aux seuls prestataires tiers de services TIC désignés comme critiques, au titre de l'article 35. L'ACPR s'appuie sur les orientations publiées par l'EBA et participe aux collèges de superviseurs pour les groupes transfrontaliers. Elle peut également déléguer à la BCE certaines missions de supervision pour les groupes soumis au Mécanisme de Supervision Unique. L'ACPR a par ailleurs annoncé le passage d'une logique d'accompagnement en 2025 à une supervision progressivement renforcée à compter de 2026.

La gouvernance du risque TIC remonte jusqu'au conseil d'administration

L'article 5 du règlement DORA déplace le point d'ancrage de la responsabilité. Ce n'est plus le DSI, ni même le RSSI, qui porte in fine la charge de la gestion du risque lié aux TIC dans une banque : c'est l'organe de direction lui-même, conseil d'administration ou conseil de surveillance selon la structure juridique de l'établissement. Le texte est sans ambiguïté — cet organe définit, approuve, supervise et est responsable de la mise en œuvre de l'ensemble du cadre de gestion des risques liés aux TIC.

Concrètement, cela remonte plusieurs actes de gestion vers le sommet de la gouvernance : approbation de la stratégie de résilience opérationnelle numérique, définition du niveau de tolérance au risque TIC, revue des politiques de continuité d'activité, allocation et réexamen périodique du budget dédié, approbation de la politique de recours aux prestataires tiers. Pour un établissement de taille moyenne où ces sujets restaient dans le giron de la DSI, le changement est net : le conseil ne se contente plus d'être informé, il engage sa responsabilité.

La contrepartie logique, également posée par l'article 5, est une exigence de compétence des administrateurs, qui doivent acquérir et actualiser des connaissances suffisantes pour comprendre et évaluer le risque TIC et son incidence sur la stratégie de l'établissement. Un conseil composé exclusivement de profils financiers ou commerciaux, sans culture numérique minimale, expose désormais l'établissement à un risque de non-conformité qui ne se limite plus au silo informatique.

L'articulation avec le reporting BCE et le Mécanisme de Supervision Unique

Pour les établissements de crédit classés comme importants au sens du Mécanisme de Supervision Unique, DORA ne se contente pas d'empiler un canal de déclaration supplémentaire. L'article 46 du règlement désigne la BCE comme autorité compétente au titre de DORA pour ces établissements, dans le cadre des missions que lui confère déjà le règlement (UE) n° 1024/2013. Pour une banque significative, la BCE n'est donc pas un simple destinataire final auquel l'ACPR transmettrait un dossier : elle est l'autorité DORA de premier rang.

Pour les banques non significatives, à l'inverse, l'ACPR reste l'autorité compétente de bout en bout — supervision du cadre de gestion des risques TIC, réception des notifications d'incidents majeurs, collecte du registre d'informations.

Cette articulation ne fait pas disparaître les obligations de déclaration d'incidents cyber déjà existantes dans le cadre prudentiel du MSU. Les deux dispositifs coexistent, avec un risque réel de duplication déclarative que les groupes les plus intégrés doivent anticiper dans leurs procédures internes de classification, sous peine d'adresser des messages divergents à des interlocuteurs distincts du même superviseur.

DORA et DSP2 : ce qui change vraiment pour les services de paiement

Les établissements de crédit qui fournissent des services de paiement étaient déjà soumis, au titre de la directive sur les services de paiement, à des obligations de notification des incidents opérationnels et de sécurité ainsi qu'à des exigences d'authentification forte du client. DORA ne les fait pas disparaître : la directive (UE) 2022/2556, qui accompagne le règlement, a modifié l'article 95 de la DSP2 pour préciser que son régime de notification s'applique désormais sans préjudice du chapitre II de DORA.

L'Autorité bancaire européenne en a tiré la conséquence en abrogeant, à effet du 17 janvier 2025, ses propres lignes directrices sur la déclaration des incidents majeurs au titre de la DSP2 pour les prestataires entrant dans le champ de DORA. Pour une banque fournissant des services de paiement, c'est donc le canal de notification unique de DORA, prévu à l'article 19, qui s'applique aux incidents opérationnels et de sécurité, y compris ceux qui relevaient auparavant de la DSP2.

Les exigences de fond de la DSP2 qui ne portent pas sur la notification d'incidents — authentification forte du client, surveillance des transactions, gestion quotidienne des risques opérationnels liés aux paiements — restent en revanche pleinement applicables et s'articulent avec le cadre DORA sans s'y substituer. Seuls les prestataires de services de paiement hors du champ de DORA continuent de se référer aux règles DSP2 antérieures en matière de notification.

Conclusion

Le règlement DORA transforme profondément les obligations des banques françaises en matière de résilience numérique. Un an après son entrée en application, le bilan 2026 montre un secteur qui a intégré la logique de notification en 4 heures, déployé les premières campagnes TLPT, et structuré ses registres de prestataires — même si la maturité varie fortement entre les grands groupes et les établissements de taille intermédiaire. La panne CrowdStrike de juillet 2024 a montré qu'un seul logiciel défaillant peut paralyser le système financier mondial. DORA invite les établissements bancaires à repenser leur relation à la technologie : non comme une boîte noire gérée par la DSI, mais comme un actif stratégique dont la résilience est une responsabilité collective de l'ensemble de l'organe de direction. Les banques qui l'auront compris auront un avantage compétitif réel — tant en crédibilité auprès des superviseurs qu'en confiance client.