Le règlement DORA (EU) 2022/2554 génère de nombreuses questions pratiques parmi les entités financières françaises. Voici les réponses aux 15 questions les plus fréquentes.
Questions fréquentes
DORA s'applique-t-il depuis le 17 janvier 2025 ?
Oui. Le règlement (EU) 2022/2554, adopté le 14 décembre 2022, s'applique depuis le 17 janvier 2025 dans tous les États membres de l'Union européenne, sans transposition nationale requise.
Qui est concerné par DORA ?
Toutes les entités financières énumérées à l'article 2 du règlement : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, sociétés de gestion, entreprises d'assurance et de réassurance, intermédiaires d'assurance (hors microentreprises et petites structures), institutions de retraite professionnelle, contreparties centrales, dépositaires centraux, plates-formes de négociation, prestataires de services sur crypto-actifs, entre autres. L'article 2, paragraphe 3, prévoit quelques exclusions ciblées.
Les PME financières sont-elles concernées ?
Oui, avec proportionnalité. Les microentreprises (moins de 10 salariés et chiffre d'affaires ou total de bilan n'excédant pas 2 millions d'euros) sont dispensées de plusieurs obligations. Certaines entités listées à l'article 16 — petites entreprises d'investissement non interconnectées, établissements de paiement ou de monnaie électronique exemptés, notamment — relèvent d'un cadre simplifié de gestion du risque TIC. Aucune n'est pour autant hors du champ de DORA.
Quelle est la différence entre DORA et NIS2 ?
DORA est un règlement propre au secteur financier ; NIS2 est une directive transversale. Pour les entités financières, DORA est l'acte juridique sectoriel au sens de l'article 4 de NIS2 (article 1, paragraphe 2, de DORA) : ses règles de gestion du risque TIC et de notification des incidents s'appliquent à la place des dispositions équivalentes de NIS2.
Qui supervise DORA en France ?
L'ACPR et l'AMF, chacune pour les entités qu'elle agrée ou supervise : l'ACPR notamment pour les banques, les assureurs et les établissements de paiement et de monnaie électronique ; l'AMF notamment pour les sociétés de gestion de portefeuille et les prestataires de services sur crypto-actifs.
Quelles sont les sanctions en cas de non-conformité ?
Pour les entités financières, DORA ne fixe pas de montant : l'article 50 renvoie aux États membres le soin de prévoir des sanctions effectives, proportionnées et dissuasives. En France, elles relèvent du pouvoir de sanction de l'ACPR et de l'AMF (Code monétaire et financier). Pour les prestataires TIC critiques, l'article 35 prévoit une astreinte pouvant atteindre 1 % du chiffre d'affaires quotidien moyen mondial.
Faut-il un RSSI dédié pour être conforme à DORA ?
DORA n'impose pas explicitement le titre de RSSI mais exige une fonction de contrôle ICT indépendante avec accès direct à l'organe de direction, ce qui correspond en pratique au rôle d'un RSSI.
Dans quel délai notifier un incident TIC majeur ?
Notification initiale : 4 heures après classification comme majeur, et au plus tard 24 heures après la prise de connaissance de l'incident. Rapport intermédiaire : 72 heures après la notification initiale. Rapport final : au plus tard un mois après le dernier rapport intermédiaire (règlement délégué (UE) 2025/301, article 5).
Tous les fournisseurs cloud doivent-ils figurer dans le registre DORA ?
Oui pour tous les contrats de services TIC : l'article 28, paragraphe 3, impose un registre d'informations couvrant l'ensemble des accords contractuels conclus avec des prestataires tiers de services TIC, cloud compris. Le registre distingue ceux qui soutiennent des fonctions critiques ou importantes, qui font l'objet d'exigences renforcées.
Les tests TLPT sont-ils obligatoires pour toutes les entités ?
Non. Les TLPT sont réservés aux entités d'importance significative désignées par les autorités compétentes. La majorité des entités sont soumises aux tests de base (évaluations de vulnérabilité, tests de pénétration classiques) mais pas aux TLPT.
À quelle fréquence les tests de résilience doivent-ils être réalisés ?
Hors microentreprises, tous les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes doivent être testés au moins une fois par an (article 24, paragraphe 6). Les entités désignées par leur autorité réalisent en plus un TLPT au moins tous les trois ans, fréquence que l'autorité peut ajuster (article 26).
ISO 27001 est-il suffisant pour la conformité DORA ?
Non. ISO 27001 est une base utile mais DORA va plus loin sur plusieurs points : responsabilité de l'organe de direction, notification des incidents, tests TLPT, gestion des tiers. La conformité DORA nécessite des adaptations spécifiques même pour les entités certifiées ISO 27001.
Les contrats prestataires TIC doivent-ils être renégociés ?
Souvent, oui. L'article 30, paragraphe 2, fixe des clauses minimales pour tous les contrats de services TIC (description des services, localisation des données, assistance en cas d'incident, conditions de résiliation…), et le paragraphe 3 ajoute des clauses renforcées pour ceux qui soutiennent des fonctions critiques ou importantes. Un contrat existant qui ne les contient pas doit être amendé.
DORA modifie-t-il les obligations sous Solvabilité II pour les assureurs ?
Le règlement lui-même ne réécrit pas Solvabilité II : c'est la directive (UE) 2022/2556, adoptée avec DORA, qui modifie plusieurs directives sectorielles, dont Solvabilité II, pour y renvoyer aux exigences de DORA en matière de risque TIC. Les assureurs appliquent donc DORA en complément de leur cadre de gouvernance Solvabilité II.
Un groupe transfrontalier peut-il mutualiser sa conformité DORA ?
En partie. La gouvernance et les outils peuvent être harmonisés au niveau du groupe, et DORA prévoit des « tests groupés » de pénétration fondés sur la menace lorsque plusieurs entités financières utilisent un même prestataire TIC (article 26). Chaque entité reste toutefois responsable de sa propre conformité devant son superviseur.