Glossaire DORA : Définitions des Termes Clés du Règlement

Le règlement DORA (UE) 2022/2554 fixe lui-même le sens des mots qu'il emploie : son article 3 aligne 65 définitions. Les quatorze retenues ici sont celles qui reviennent le plus dans les échanges avec l'ACPR, l'AMF ou les prestataires. Pour chacune, la définition officielle est reprise (ou très fidèlement résumée), avec la référence de l'article, puis éclairée d'une remarque pratique quand elle évite un contresens fréquent.

Résilience opérationnelle numérique (art. 3, point 1)

La capacité d'une entité financière à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelles en assurant, directement ou indirectement par le recours aux services de prestataires tiers de services TIC, l'intégralité des capacités liées aux TIC nécessaires pour garantir la sécurité des réseaux et des systèmes d'information qu'elle utilise, et qui sous-tendent la fourniture continue de services financiers et leur qualité, y compris en cas de perturbations.

Risque lié aux TIC (art. 3, point 5)

Toute circonstance raisonnablement identifiable liée à l'utilisation des réseaux et des systèmes d'information qui, si elle se concrétise, peut compromettre la sécurité des réseaux et des systèmes d'information, de tout outil ou processus dépendant de la technologie, du fonctionnement et des processus ou de la fourniture de services, en produisant des effets préjudiciables dans l'environnement numérique ou physique.

Incident lié aux TIC (art. 3, point 8)

Un événement ou une série d'événements liés entre eux, non prévus par l'entité financière, qui compromet la sécurité des réseaux et des systèmes d'information et a une incidence négative sur la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données, ou sur les services fournis par l'entité.

Incident majeur lié aux TIC (art. 3, point 10)

Un incident lié aux TIC qui a une incidence négative élevée sur les réseaux et systèmes d'information soutenant les fonctions critiques ou importantes de l'entité financière. Le caractère « majeur » se détermine selon les critères de l'article 18, précisés par des normes techniques de réglementation ; c'est cette qualification qui déclenche l'obligation de notification à l'autorité compétente (article 19).

Services TIC (art. 3, point 21)

Les services numériques et de données fournis de manière permanente par l'intermédiaire des systèmes de TIC à un ou plusieurs utilisateurs internes ou externes, y compris le matériel en tant que service et les services matériels qui englobent l'assistance technique par mises à jour de logiciels ou de micrologiciels réalisées par le fournisseur du matériel. Seuls les services de téléphonie analogique traditionnels sont exclus.

Prestataire tiers de services TIC (art. 3, point 19)

Une entreprise qui fournit des services TIC. La définition tient en une ligne et ne pose aucun seuil de taille ni de volume : un petit éditeur de logiciel est un prestataire tiers au même titre qu'un hyperscaler cloud.

Risque de concentration de TIC (art. 3, point 29)

Une exposition à un ou plusieurs prestataires tiers critiques de services TIC liés entre eux, créant une dépendance telle que leur indisponibilité, leur défaillance ou toute autre insuffisance pourrait mettre en péril la capacité de l'entité à assurer des fonctions critiques ou importantes, lui causer des pertes importantes, voire menacer la stabilité financière de l'Union.

Fonction critique ou importante (art. 3, point 22)

Une fonction dont la perturbation est susceptible de nuire sérieusement à la performance financière de l'entité, ou à la solidité ou à la continuité de ses services et activités ; ou dont l'interruption, l'anomalie ou la défaillance nuirait sérieusement à sa capacité de respecter en permanence les conditions de son agrément ou ses autres obligations issues du droit des services financiers.

Prestataire tiers critique de services TIC (art. 3, point 23 et art. 31)

Un prestataire tiers de services TIC désigné comme critique par les autorités européennes de surveillance (ABE, AEAPP, AEMF), agissant par l'intermédiaire de leur comité mixte sur recommandation du forum de supervision, au terme d'une évaluation fondée sur les critères de l'article 31, paragraphe 2 (effet systémique d'une défaillance à grande échelle, importance systémique des entités qui en dépendent, dépendance de ces entités pour leurs fonctions critiques ou importantes, degré de substituabilité). La première liste de prestataires désignés a été publiée le 18 novembre 2025.

Superviseur principal (art. 3, point 61 et art. 31, §1, b)

L'autorité européenne de surveillance chargée de superviser un prestataire tiers critique. Il s'agit de l'AES compétente pour les entités financières qui, ensemble, pèsent la plus grande part du total des actifs (somme des bilans individuels) de toutes les entités utilisant les services de ce prestataire.

Test de pénétration fondé sur la menace — TLPT (art. 3, point 17)

Un cadre simulant les tactiques, techniques et procédures d'acteurs de la menace réels, perçus comme représentant une véritable cybermenace, qui permet de tester de manière contrôlée, sur mesure et en fonction des renseignements (red team) les systèmes critiques de l'entité en environnement de production. Les testeurs peuvent être internes ou externes, mais une entité qui recourt à des testeurs internes doit engager un testeur externe tous les trois tests (article 26, paragraphe 8).

Microentreprise (art. 3, point 60)

Une entité financière qui emploie moins de dix personnes et dont le chiffre d'affaires annuel et/ou le total du bilan annuel n'excède pas 2 millions d'euros. Les plates-formes de négociation, contreparties centrales, référentiels centraux et dépositaires centraux de titres ne peuvent jamais être des microentreprises. À ne pas confondre avec le cadre simplifié de l'article 16, qui vise une liste fermée de statuts sans critère de taille.

RTS (normes techniques de réglementation)

Normes élaborées conjointement par l'ABE, l'AEAPP et l'AEMF, puis adoptées par la Commission européenne sous forme de règlement délégué. Une fois publiées au Journal officiel, elles sont directement contraignantes et précisent le contenu des obligations DORA (cadre de gestion du risque TIC, classification des incidents, TLPT…).

ITS (normes techniques d'exécution)

Normes élaborées par les mêmes autorités et adoptées par la Commission sous forme de règlement d'exécution. Elles fixent les aspects pratiques : formulaires et modèles, notamment ceux du registre d'informations sur les accords contractuels avec les prestataires TIC et ceux de la notification des incidents majeurs.