Les dates clés du règlement DORA (UE) 2022/2554, de la proposition de la Commission en 2020 jusqu'à la clause de réexamen de 2028. Chaque jalon ci-dessous renvoie à un texte publié : règlement au Journal officiel, communiqués du Conseil ou des autorités européennes de surveillance (AES).
| Date | Étape |
|---|---|
| Septembre 2020 | La Commission européenne propose le règlement DORA dans le cadre de son paquet « finance numérique ». |
| 10-11 mai 2022 | Accord provisoire entre la présidence du Conseil et le Parlement européen sur le texte (communiqué du Conseil du 11 mai 2022). |
| 14 décembre 2022 | Signature du règlement (UE) 2022/2554 par le Parlement européen et le Conseil. |
| 27 décembre 2022 | Publication au Journal officiel de l'Union européenne (JO L 333). |
| 16 janvier 2023 | Entrée en vigueur, le vingtième jour suivant la publication (article 64). |
| 17 janvier 2024 | Les AES publient le premier lot de projets de normes techniques finaux : cadre de gestion du risque TIC (et cadre simplifié), critères de classification des incidents, politique relative aux services TIC soutenant des fonctions critiques ou importantes, modèles du registre d'informations. |
| 17 juillet 2024 | Second lot : contenu, modèles et délais de notification des incidents majeurs, tests de pénétration fondés sur la menace (TLPT), conditions de la supervision des prestataires critiques et composition des équipes d'examen conjoint. |
| 26 juillet 2024 | Publication du rapport final sur les normes relatives à la sous-traitance de services TIC soutenant des fonctions critiques ou importantes. |
| 17 janvier 2025 | Date d'application : toutes les obligations du règlement deviennent exigibles (article 64). |
| 18 novembre 2025 | Les AES publient la première liste des prestataires tiers critiques de services TIC désignés au titre de l'article 31. |
| Au moins tous les trois ans | Les entités identifiées par leur autorité compétente réalisent un TLPT (article 26, paragraphe 1) ; l'autorité peut moduler cette fréquence selon le profil de risque. |
| 17 janvier 2028 | Échéance du réexamen du règlement par la Commission, qui remet un rapport au Parlement et au Conseil, accompagné le cas échéant d'une proposition législative (article 58). |
Conclusion
La date du 17 janvier 2025 a fait basculer DORA dans l'exigible, mais elle n'a pas clos le calendrier : la supervision des prestataires critiques n'a démarré qu'avec leur désignation fin 2025, les TLPT suivent un cycle triennal et le texte lui-même sera réexaminé en 2028. Pour une conformité qui tient dans la durée, la veille réglementaire compte autant que le projet initial.
Questions fréquentes
Le règlement DORA va-t-il encore évoluer ?
C'est prévu par le texte lui-même. L'article 58 impose à la Commission de procéder à un réexamen au plus tard le 17 janvier 2028, après consultation des AES et du CERS, et d'en rendre compte au Parlement européen et au Conseil, avec le cas échéant une proposition législative. Ce réexamen porte notamment sur les critères de désignation des prestataires tiers critiques.