L'une des premières questions que se posent les professionnels du secteur financier face au règlement DORA est simple : suis-je concerné ? La réponse se trouve à l'article 2 du règlement (EU) 2022/2554, qui définit un périmètre étonnamment large. Avec 20 catégories d'entités financières explicitement listées, DORA ratisse bien au-delà des seules banques.
Voyons en détail qui doit se conformer — et ce que cela implique concrètement pour chaque type d'acteur.
Vue d'ensemble : les 20 catégories d'entités financières
L'article 2, paragraphe 1, du règlement énumère 21 points, de a) à u). Le paragraphe 2 regroupe les points a) à t) sous le nom d'« entités financières » : ce sont les 20 catégories du tableau. Le point u) vise les prestataires tiers de services TIC, traités plus bas.
| Point de l'art. 2(1) | Catégorie d'entité | Précision du texte |
|---|---|---|
| a) | Établissements de crédit | — |
| b) | Établissements de paiement | Y compris ceux exemptés au titre de la directive (UE) 2015/2366 |
| c) | Prestataires de services d'information sur les comptes | — |
| d) | Établissements de monnaie électronique | Y compris ceux exemptés au titre de la directive 2009/110/CE |
| e) | Entreprises d'investissement | — |
| f) | Prestataires de services sur crypto-actifs agréés (MiCA) et émetteurs de jetons se référant à un ou des actifs | — |
| g) | Dépositaires centraux de titres | — |
| h) | Contreparties centrales | — |
| i) | Plateformes de négociation | — |
| j) | Référentiels centraux | — |
| k) | Gestionnaires de fonds d'investissement alternatifs | Hors gestionnaires visés à l'article 3, paragraphe 2, de la directive 2011/61/UE (art. 2(3)(a)) |
| l) | Sociétés de gestion | — |
| m) | Prestataires de services de communication de données | — |
| n) | Entreprises d'assurance et de réassurance | Hors organismes visés à l'article 4 de la directive Solvabilité II 2009/138/CE (art. 2(3)(b)) |
| o) | Intermédiaires d'assurance, de réassurance et à titre accessoire | Hors microentreprises et PME (art. 2(3)(e)) |
| p) | Institutions de retraite professionnelle | Hors régimes comptant au total 15 affiliés au plus (art. 2(3)(c)) |
| q) | Agences de notation de crédit | — |
| r) | Administrateurs d'indices de référence critiques | — |
| s) | Prestataires de services de financement participatif | — |
| t) | Référentiels des titrisations | — |
AES = Autorités européennes de supervision (EBA, ESMA, EIOPA). Un même groupe peut cumuler plusieurs points : une banque qui détient une société de gestion relève à la fois des points a) et l).
Focus par catégorie : ce que DORA implique
Établissements de crédit (banques)
Les banques sont au coeur du dispositif DORA. Pour elles, le règlement se superpose aux guidelines existantes de l'EBA sur la gestion des risques ICT et la sous-traitance. Concrètement, les banques doivent :
- Mettre en place un cadre de gestion des risques ICT approuvé par le conseil d'administration
- Constituer un registre d'informations exhaustif de tous les accords contractuels avec des prestataires tiers ICT
- Notifier les incidents ICT majeurs à leur autorité compétente (ACPR en France)
- Pour les établissements d'importance systémique : réaliser des tests TLPT au moins tous les 3 ans
Les grands groupes bancaires font face à un défi supplémentaire : la consolidation des registres d'informations à l'échelle du groupe, dans un contexte où les dépendances ICT sont souvent mal cartographiées.
Entreprises d'assurance et de réassurance
Le secteur de l'assurance était jusqu'ici moins encadré sur les risques ICT que le secteur bancaire. DORA change la donne. Les assureurs doivent appliquer les mêmes exigences fondamentales, avec quelques spécificités :
- Les intermédiaires d'assurance sont couverts à partir de la taille d'une grande entreprise : les microentreprises et PME de l'intermédiation sont purement et simplement exclues du règlement (article 2, paragraphe 3, e)
- Le rôle de l'EIOPA dans la supervision des prestataires tiers critiques spécifiques au secteur assurantiel
- L'intégration avec les exigences de Solvabilité II en matière de gouvernance et de sous-traitance
Sociétés de gestion et gestionnaires de fonds
Les gestionnaires d'actifs — qu'il s'agisse de sociétés de gestion d'OPCVM ou de gestionnaires de FIA — sont pleinement dans le périmètre de DORA. La gestion d'actifs étant fortement dépendante de systèmes technologiques (plateformes de trading, gestion du risque, valorisation), les obligations DORA sont particulièrement pertinentes.
Points d'attention spécifiques :
- La gestion déléguée (délégation de la gestion de portefeuille) implique une vigilance renforcée sur les risques ICT tiers
- Les systèmes de valorisation et de gestion des ordres sont considérés comme des fonctions critiques ou importantes
- La multiplicité des prestataires (dépositaires, administrateurs, brokers) complique la constitution du registre d'informations
Prestataires de services sur crypto-actifs
Les prestataires de services sur crypto-actifs agréés sous MiCA et les émetteurs de jetons référencés à des actifs sont une addition notable au périmètre de DORA. C'est la première fois que ces acteurs sont soumis à un cadre aussi structuré en matière de résilience opérationnelle.
Pour les exchanges, plateformes de custody et fournisseurs de portefeuilles, DORA impose des exigences qui vont bien au-delà de ce que beaucoup avaient anticipé — notamment en matière de tests de résilience et de gestion des incidents.
Infrastructures de marché
Les contreparties centrales (CCP), les dépositaires centraux de titres (CSD) et les plateformes de négociation sont des acteurs systémiques par nature. DORA renforce les exigences existantes (EMIR, CSDR) avec un cadre spécifique sur la résilience numérique :
- Tests TLPT obligatoires pour les CCP et les infrastructures systémiques
- Obligations renforcées de notification d'incidents, compte tenu de l'impact systémique potentiel
- Exigences accrues sur les stratégies de sortie pour les prestataires ICT critiques
Les prestataires tiers critiques de services ICT
Au-delà des 20 catégories d'entités financières, DORA introduit un cadre inédit de supervision directe des prestataires tiers critiques de services ICT (articles 31 à 44).
Un prestataire est désigné comme "critique" par les AES sur la base de critères incluant :
- Le caractère systémique des services fournis au secteur financier
- Le degré de dépendance des entités financières vis-à-vis de ce prestataire
- Le degré de substituabilité du prestataire
- Le nombre et la taille des entités financières clientes
Les prestataires désignés critiques sont soumis à une supervision directe exercée par un "lead overseer" (superviseur principal) désigné parmi les AES. Ce superviseur dispose de pouvoirs d'investigation, d'inspection sur site et de recommandation.
En pratique, les premiers prestataires désignés incluent des hyperscalers cloud (AWS, Microsoft Azure, Google Cloud), des fournisseurs de services financiers de base (Bloomberg, Refinitiv) et des éditeurs de logiciels bancaires.
Pour une analyse détaillée de ces obligations, consultez notre article sur la gestion des risques ICT tiers sous DORA.
Exemptions et proportionnalité
DORA n'applique pas un modèle "one size fits all". Plusieurs mécanismes de proportionnalité existent :
Le cadre simplifié de l'article 16 : une liste de statuts, pas un seuil de taille
On lit souvent que l'article 16 viserait les « petites » entités. Le texte dit autre chose. Il écarte les articles 5 à 15 pour une liste fermée : les petites entreprises d'investissement non interconnectées, les établissements de paiement exemptés au titre de la directive (UE) 2015/2366, les établissements exemptés au titre de la directive 2013/36/UE (quand l'État membre n'a pas choisi de les sortir du périmètre), les établissements de monnaie électronique exemptés au titre de la directive 2009/110/CE et les petites institutions de retraite professionnelle.
Ces entités ne sont pas dispensées pour autant. L'article 16 leur impose un socle plus court mais réel : un cadre de gestion du risque TIC solide et documenté, une surveillance continue des systèmes, l'identification des dépendances envers les prestataires TIC, des plans de continuité testés régulièrement.
Microentreprise : une notion distincte
La microentreprise est définie à l'article 3, point 60 : une entité financière qui emploie moins de 10 personnes et dont le chiffre d'affaires annuel et/ou le total du bilan annuel n'excède pas 2 millions d'euros (les plateformes de négociation, contreparties centrales, référentiels centraux et dépositaires centraux ne peuvent pas en être). Ce statut ne donne pas accès à l'article 16 ; il ouvre des allègements ponctuels, prévus dans certains articles du règlement. Pour tout le reste, la modulation passe par le principe de proportionnalité de l'article 4.
Entités exclues
L'article 2, paragraphe 3, sort du périmètre :
- les gestionnaires de FIA visés à l'article 3, paragraphe 2, de la directive 2011/61/UE ;
- les entreprises d'assurance et de réassurance visées à l'article 4 de la directive Solvabilité II (2009/138/CE) ;
- les institutions de retraite professionnelle dont les régimes comptent au total 15 affiliés au plus ;
- les personnes exemptées en vertu des articles 2 et 3 de la directive MiFID II (2014/65/UE) ;
- les intermédiaires d'assurance, de réassurance et à titre accessoire qui sont des microentreprises ou des PME ;
- les institutions de chèques postaux visées à l'article 2, paragraphe 5, point 3, de la directive 2013/36/UE.
Le paragraphe 4 permet en outre à chaque État membre d'exclure certaines entités listées à l'article 2, paragraphe 5, points 4 à 23, de la directive 2013/36/UE établies sur son territoire.
Comment déterminer si vous êtes dans le périmètre ?
Si vous n'êtes pas sûr que votre organisation tombe dans le périmètre de DORA, voici un processus simple :
- Vérifiez votre agrément : êtes-vous agréé ou enregistré auprès d'une autorité financière (ACPR, AMF, ou équivalent européen) ?
- Identifiez votre catégorie : à quel(s) point(s) de l'article 2, paragraphe 1, votre agrément vous rattache-t-il ? Vérifiez aussi les exclusions du paragraphe 3.
- Évaluez la proportionnalité : votre statut figure-t-il dans la liste fermée de l'article 16 ? Êtes-vous une microentreprise au sens de l'article 3, point 60 ?
- Cartographiez vos obligations : selon votre catégorie et taille, quelles sont vos obligations spécifiques ?
En cas de doute, consultez votre autorité compétente nationale. En France, l'ACPR et l'AMF ont publié des orientations et des FAQ dédiées.
Questions fréquentes sur le périmètre DORA
Combien d'entités sont concernées par le règlement DORA ?
L'article 2, paragraphe 1, énumère 21 points. Les points a) à t) forment les « entités financières », soit 20 catégories ; le point u) vise les prestataires tiers de services TIC, dont les plus critiques sont placés sous la surveillance directe des autorités européennes de supervision.
Les prestataires cloud sont-ils soumis à DORA ?
Les prestataires cloud ne sont pas directement soumis à toutes les obligations DORA, mais les prestataires tiers critiques de services ICT (dont les grands cloud providers) font l'objet d'un cadre de supervision directe par les autorités européennes de supervision.
Les microentreprises sont-elles exemptées de DORA ?
Non, sauf une exception : les intermédiaires d'assurance et de réassurance qui sont des microentreprises ou des PME sont exclus (article 2, paragraphe 3, e). Pour les autres, être une microentreprise (article 3, point 60) ouvre des allègements ponctuels prévus article par article. Ce n'est pas le cadre simplifié de l'article 16, réservé à une liste fermée de statuts sans critère de taille.
Les entreprises de crypto-actifs sont-elles concernées par DORA ?
Oui, les prestataires de services sur crypto-actifs agréés sous MiCA et les émetteurs de jetons référencés à des actifs relèvent du point f) de l'article 2, paragraphe 1.
Les succursales d'entités de pays tiers sont-elles soumises à DORA ?
DORA s'applique aux succursales établies dans l'UE d'entités financières de pays tiers dans la mesure où elles relèvent de la supervision d'une autorité compétente nationale.