Quand DORA est-il entré en vigueur ?

Le règlement DORA (EU 2022/2554) est entré en application le 17 janvier 2025, après deux ans de période de transition depuis son adoption en décembre 2022.

Quelles entités sont soumises à DORA ?

DORA s’applique à plus de 20 catégories d’entités financières de l’UE : banques, assureurs, gestionnaires d’actifs, prestataires de services de paiement, plateformes de crypto-actifs, sociétés d’investissement, et leurs prestataires ICT critiques.

Qu’est-ce qu’un incident ICT majeur selon DORA ?

Un incident ICT majeur est un incident qui répond à certains seuils (clients affectés, durée, impact financier, atteinte à la réputation) définis dans les RTS adoptés par les ESAs. Il déclenche une obligation de notification en 3 étapes au superviseur.

Les TLPT sont-ils obligatoires pour toutes les entités ?

Non. Les TLPT (Threat-Led Penetration Tests) sont obligatoires uniquement pour les entités désignées comme « significatives » selon des critères de taille et de criticité systémique. Les autres entités restent soumises à des tests de vulnérabilité standard.

Quelles sanctions en cas de non-conformité DORA ?

Les superviseurs peuvent imposer des sanctions administratives. Pour les personnes morales, les amendes peuvent atteindre 2% du chiffre d’affaires annuel mondial total. Pour les prestataires ICT critiques désignés, les sanctions peuvent aller jusqu’à 1% du chiffre d’affaires journalier moyen mondial.

DORA Compliance Checklist 2026 : Les 8 Points Essentiels