Les mutuelles françaises — organismes relevant du Code de la Mutualité, du Code des assurances ou du Code de la sécurité sociale — sont soumises au règlement DORA (EU) 2022/2554 depuis le 17 janvier 2025. Leur situation est particulière : elles constituent un tissu de plusieurs milliers d'entités de tailles très variables, des grandes mutuelles nationales aux petites mutuelles locales, avec des profils de risque TIC radicalement différents.
Quelles Mutuelles Sont Soumises à DORA ?
Les mutuelles soumises au Code de la Mutualité et relevant de la surveillance de l'ACPR sont dans le champ d'application de DORA. Cela inclut les mutuelles complémentaires santé, les mutuelles prévoyance, et les unions de mutuelles. Les organismes complémentaires santé qui ne sont pas des mutuelles au sens du Code de la Mutualité peuvent être soumis à DORA via d'autres régimes (institutions de prévoyance, assureurs santé).
Régime Proportionnel pour les Petites Mutuelles
Les petites mutuelles, nombreuses en France, relèvent de la proportionnalité prévue à l'article 4 du règlement : les exigences s'appliquent en tenant compte de la taille, du profil de risque et de la nature des activités. Ce n'est pas le cadre simplifié de l'article 16, qui vise une liste fermée de statuts (entreprises d'investissement, établissements de paiement ou de monnaie électronique exemptés, petites institutions de retraite professionnelle...) dont les organismes d'assurance ne font pas partie.
Les plus petites peuvent en revanche sortir complètement du champ : l'article 2, paragraphe 3, b), exclut les organismes visés à l'article 4 de la directive Solvabilité II (2009/138/CE). Tout dépend donc de la situation de la mutuelle au regard de Solvabilité II.
Grandes Mutuelles Nationales : Régime Standard
Les grandes mutuelles nationales (Harmonie Mutuelle, MGEN, Mutuel, etc.) sont soumises au régime DORA standard. Leur taille, leur nombre d'adhérents et leur dépendance à des systèmes de gestion complexes les placent dans la même catégorie que les assureurs classiques de taille comparable.
Enjeux TIC Spécifiques aux Mutuelles
Les mutuelles présentent des enjeux TIC spécifiques. La gestion des remboursements santé impose des systèmes de traitement d'un volume important de petites transactions à grande vitesse. Les données de santé des adhérents sont parmi les données personnelles les plus sensibles, soumises à des obligations RGPD renforcées en plus de DORA. Les mutuelles utilisent souvent des systèmes informatiques anciens (legacy), parfois développés sur mesure, dont la modernisation est coûteuse.
Articulation DORA et Gouvernance Mutualiste
La gouvernance mutualiste — avec son conseil d'administration composé de membres élus non professionnels — présente des défis spécifiques pour l'application de l'article 5 de DORA qui impose à l'organe de direction de définir et superviser la stratégie de résilience numérique. Des formations adaptées aux administrateurs élus et des outils de reporting simplifiés sont indispensables pour satisfaire cette obligation dans le contexte mutualiste.
Ressources pour les Mutuelles
Les mutuelles peuvent s'appuyer sur plusieurs ressources pour leur conformité DORA. La Mutualité Française a publié des guides et organisé des formations. L'ACPR met à disposition des questionnaires superviseurs et des FAQ. Des consultants spécialisés proposent des offres de conformité DORA mutualisées entre plusieurs petites mutuelles, réduisant le coût individuel de mise en conformité.
Conclusion
DORA est une réalité pour les mutuelles françaises, quelle que soit leur taille. La proportionnalité du règlement permet d'adapter les exigences à la réalité des petites structures, mais toutes doivent franchir le seuil minimal de conformité. Le secteur mutualiste a l'avantage de pouvoir mutualiser ses coûts de conformité, notamment via des groupements et des outils partagés.
Questions fréquentes
Une petite mutuelle de 500 adhérents est-elle soumise à DORA ?
Cela dépend de Solvabilité II, pas du nombre d'adhérents. Si la mutuelle relève de l'article 4 de la directive 2009/138/CE, DORA ne s'applique pas (article 2, paragraphe 3, b). Sinon elle est dans le champ comme entreprise d'assurance, sans accès au cadre simplifié de l'article 16 : ses obligations sont modulées par la proportionnalité de l'article 4, et la notification des incidents majeurs s'applique.
Comment financer la conformité DORA pour une petite mutuelle ?
Plusieurs voies existent. Les unions de mutuelles peuvent mutualiser les coûts d'une démarche de conformité commune. Des prestataires proposent des offres packagées adaptées aux petites entités. Certaines dépenses de conformité peuvent être considérées comme des investissements IT déductibles fiscalement.