DORA
Règlement sur la résilience opérationnelle numérique du secteur financier (Digital Operational Resilience Act)
Règlement (UE) 2022/2554 du 14 décembre 2022
En deux mots
DORA oblige les banques, assurances, sociétés de gestion et autres acteurs financiers à résister aux pannes et aux cyberattaques : gestion du risque informatique, notification des incidents majeurs, tests de résilience et maîtrise des prestataires informatiques. Une entreprise non financière n'est concernée qu'indirectement, si elle fournit des services informatiques à une entité financière : ses contrats doivent alors contenir les clauses imposées par DORA.
Qui est concerné
Les 21 catégories d'entités financières de l'article 2 (établissements de crédit, de paiement et de monnaie électronique, entreprises d'investissement, sociétés de gestion, entreprises d'assurance et de réassurance, intermédiaires d'assurance hors microentreprises et PME, prestataires de services sur crypto-actifs, infrastructures de marché, etc.), et indirectement les prestataires de services TIC tiers de ces entités (cloud, logiciel, hébergement, infogérance, données), dont les prestataires désignés critiques sont supervisés directement au niveau européen.
Sanctions
Sanctions administratives fixées par chaque État membre (art. 50 et 51) : en France, sanctions de la commission des sanctions de l'ACPR ou de l'AMF selon le Code monétaire et financier, pouvant atteindre plusieurs dizaines de millions d'euros ou un pourcentage du chiffre d'affaires, avec publication. Pour un prestataire TIC critique : astreinte journalière jusqu'à 1 % du chiffre d'affaires mondial quotidien moyen, pendant six mois au plus (art. 35, § 8).
Autorité de contrôle
ACPR (banques, assurances, établissements de paiement) et AMF (sociétés de gestion, infrastructures de marché) ; supervision européenne des prestataires TIC critiques par l'ABE, l'AEAPP et l'AEMF
État au 14 octobre 2026 : DORA est pleinement applicable depuis le 17 janvier 2025, directement en droit français, sans transposition (le Code monétaire et financier a été adapté par la loi n° 2023-171 du 9 mars 2023, dite DDADUE). Les normes techniques sont en vigueur, notamment le règlement délégué (UE) 2024/1774 sur le cadre de gestion du risque TIC, le règlement délégué (UE) 2025/301 sur le contenu et les délais de notification des incidents majeurs, et le règlement d'exécution (UE) 2024/2956 sur le modèle du registre d'information. Le registre d'information est remis chaque année à l'ACPR ou à l'AMF (première remise en 2025, nouvelle campagne en 2026). Le 18 novembre 2025, les autorités européennes de surveillance ont désigné une première liste de prestataires TIC tiers critiques, désormais soumis à leur surveillance directe. Les tests de pénétration fondés sur la menace (TLPT) s'appliquent aux entités désignées par l'autorité, selon le règlement délégué (UE) 2025/1190. À venir : la proposition européenne « Omnibus numérique » prévoit un point unique de notification des incidents géré par l'ENISA, sans changer les délais DORA ; elle n'est pas adoptée à cette date.
Ce que couvre le questionnaire
| Questions de périmètre | 4 |
| Gouvernance et cadre de gestion du risque TIC | 5 |
| Protection, sauvegarde et continuité | 2 |
| Incidents majeurs et tests de résilience | 5 |
| Gestion des prestataires informatiques | 3 |
| Prestataire TIC d'une entité financière | 2 |
Version 1 du questionnaire.