Référentiel · Union européenne

DORALe règlement européen sur la résilience opérationnelle numérique du secteur financier

Le règlement européen qui impose aux entités financières et à leurs prestataires TIC un cadre commun de résilience opérationnelle numérique, applicable depuis le 17 janvier 2025.

Contactez nos experts
Un règlement européen

Qu’est-ce que DORA ?

DORA (Digital Operational Resilience Act) harmonise les exigences de cybersécurité du secteur financier face à une menace croissante : entre janvier 2023 et juin 2024, l'ENISA a recensé 488 incidents dans ce secteur en Europe, dont 46 % touchant des banques. Directement applicable sans transposition nationale, le règlement étend la responsabilité des entités financières à leurs prestataires TIC et concerne plus de 22 000 entités en Europe, selon l'ACPR.

Le règlement européen qui impose aux entités financières et à leurs prestataires TIC un cadre commun de résilience opérationnelle numérique, applicable depuis le 17 janvier 2025.

Le secteur financier reste l’une des cibles prioritaires des cyberattaques en Europe : entre janvier 2023 et juin 2024, l’ENISA a recensé 488 incidents de cybersécurité dans ce secteur, dont 46 % ont touché des banques européennes. Face à cette réalité et à la fragmentation des cadres nationaux, l’Union européenne a adopté DORA (Digital Operational Resilience Act), directement applicable dans tous les États membres sans transposition nationale.

DORA harmonise les exigences de résilience numérique du secteur financier et étend la responsabilité des entités financières à leurs prestataires TIC, dont la solidité conditionne désormais directement leur propre résilience. Selon l’ACPR, plus de 22 000 entités financières en Europe sont concernées.

Le règlement définit la résilience opérationnelle numérique comme la capacité d’une entité financière à maintenir, renforcer et évaluer en continu l’intégrité et la fiabilité de ses opérations, y compris via ses prestataires TIC, pour garantir une fourniture ininterrompue de ses services.

Cette page présente les exigences clés du règlement, son calendrier d’application, les sanctions encourues et les étapes de mise en conformité.

Décryptage

Les cinq piliers de DORA

DORA s’articule autour de cinq piliers fondamentaux qui structurent l’ensemble du règlement.

  1. La gestion des risques TIC

    Les entités financières doivent mettre en place un cadre de gestion des risques TIC documenté, approuvé par l’organe de direction, et révisé régulièrement. Ce cadre couvre l’identification et la classification de tous les actifs TIC critiques, l’évaluation des risques associés, la définition des mesures de protection et de détection, et les plans de continuité et de reprise d’activité.

    L’ACPR précise que ce cadre doit inclure des rôles et des responsabilités clairs, ainsi que des systèmes de contrôle pour identifier et atténuer les risques liés aux TIC. La direction est personnellement responsable de l’approbation et de la supervision de ce cadre.

  2. La gestion et la notification des incidents TIC

    Les entités financières doivent mettre en place un processus formalisé de classification, de gestion et de notification des incidents TIC. Un incident est considéré comme majeur s’il impacte plus de 10 % de la base client ou génère des pertes économiques supérieures à 100 000 euros.

    Le processus de notification des incidents majeurs se déroule en trois temps :

    • Notification initiale dans les 4 heures suivant la classification de l’incident comme majeur
    • Rapport intermédiaire dans les 72 heures avec une évaluation détaillée de l’incident
    • Rapport final dans un délai d’un mois après la notification initiale

    En France, les déclarations d’incidents doivent être transmises via le portail OneGate de l’ACPR au format JSON. Les cybermenaces importantes peuvent également être notifiées à l’ACPR sur une base volontaire.

  3. Les tests de résilience opérationnelle numérique

    Les entités financières doivent réaliser un programme annuel de tests de résilience opérationnelle numérique, couvrant les systèmes TIC critiques. Ce programme inclut deux niveaux de tests :

    • Les tests de base : analyses de vulnérabilités, évaluations de la sécurité des réseaux, simulations de crise, accessibles à toutes les entités
    • Les tests TLPT (Threat-Led Penetration Testing) : tests avancés basés sur la menace réelle, obligatoires tous les trois ans pour les entités financières significatives

    Les tests TLPT sont des tests d’intrusion de haute intensité, conduits par des testeurs qualifiés selon un cadre méthodologique défini par les AES. En France, les premiers TLPT sont attendus en 2026. L’AMF et l’ACPR accompagnent les entités dans la mise en œuvre de ces tests.

  4. La gestion du risque lié aux prestataires TIC tiers

    C’est l’un des piliers les plus structurants de DORA. Les entités financières restent entièrement responsables de la conformité au règlement, même lorsqu’elles externalisent des fonctions TIC. Elles doivent notamment :

    • Constituer et maintenir un registre d’informations exhaustif de tous les accords contractuels avec les prestataires TIC, transmis annuellement aux autorités compétentes (au plus tard le 31 mars de l’année N)
    • Inclure des clauses contractuelles obligatoires dans chaque contrat TIC : description des services, niveaux de service (SLA), droits d’audit, obligations de notification d’incidents, plan de continuité, et conditions de résiliation
    • Notifier à l’ACPR tout projet d’accord contractuel portant sur des services TIC soutenant des fonctions critiques, au moins six semaines avant son entrée en vigueur
    • Définir une stratégie de sortie pour les prestataires TIC critiques, incluant des plans de substitution et des procédures de transition
    • Analyser le risque de concentration : la dépendance excessive vis-à-vis d’un nombre limité de prestataires TIC est un risque systémique que DORA cherche à encadrer

  5. Le partage d’informations sur les menaces cyber

    DORA encourage et encadre le partage volontaire d’informations sur les menaces cyber entre entités financières. Ce partage peut porter sur les indicateurs de compromission, les tactiques, techniques et procédures des attaquants, et les alertes de cybersécurité. Il doit s’effectuer dans des conditions garantissant la confidentialité des informations sensibles et le respect des règles de concurrence.

Repères

Un peu « d'histoire » autour de DORA

L'histoire de DORA s'inscrit dans une volonté européenne de moderniser le cadre réglementaire financier face à une dépendance technologique croissante, et à la fragmentation des règles de cybersécurité entre les États membres.

  1. 2020

    Une proposition née du paquet « finance numérique »

    La Commission européenne présente le règlement DORA dans le cadre de son paquet « finance numérique » (Digital Finance Package). L'objectif est clair : les exigences de résilience numérique du secteur financier, jusqu'alors disparates selon les États membres et les catégories d'acteurs, doivent être harmonisées à l'échelle de l'Union.

  2. 2022

    Un accord politique entre le Parlement et le Conseil

    Après plusieurs mois de négociations menées selon la procédure législative ordinaire, la présidence du Conseil et le Parlement européen trouvent un accord provisoire sur le texte, les 10 et 11 mai 2022.

  3. 2022

    L'adoption formelle du texte

    Le Parlement européen approuve formellement l'accord lors de sa session plénière du 10 novembre 2022. Le Conseil de l'Union européenne fait de même le 28 novembre suivant, ouvrant la voie à la signature définitive du règlement.

  4. 2022

    La signature et la publication du règlement

    Le règlement (UE) 2022/2554 est signé par les présidents du Parlement européen et du Conseil le 14 décembre 2022, puis publié au Journal officiel de l'Union européenne le 27 décembre 2022. Il entre en vigueur dès le 16 janvier 2023.

  5. 2023

    Une période de 24 mois pour se préparer

    Conscient de l'ampleur du chantier, le règlement prévoit une période de mise en conformité de 24 mois avant son application complète. Durant cette phase, les trois autorités européennes de surveillance (EBA, ESMA, EIOPA) élaborent les normes techniques qui précisent les modalités concrètes d'application du texte : cadre de gestion des risques TIC, critères de classification des incidents, modèles de registre d'informations, ou encore méthodologie des tests de résilience.

  6. 2025

    L'entrée en application du règlement

    Au terme de cette période de préparation, DORA devient pleinement applicable dans l'ensemble des États membres, sans qu'aucune loi de transposition ne soit nécessaire puisqu'il s'agit d'un règlement et non d'une directive.

Cartographie croisée

DORA face aux exigences transverses

Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.

9 obligations explicites, 2 exigences partielles et 1 recommandation sur les 12 familles d’exigences communes.

Obligation explicite Exigence partielle Recommandation / implicite
Les enjeux

Pourquoi la mise en conformité à DORA est-elle essentielle ?

La mise en conformité à DORA ne se limite pas à répondre à une obligation réglementaire supplémentaire. Elle répond à une réalité opérationnelle que le secteur financier découvre très concrètement depuis l’entrée en application du règlement : sa résilience numérique dépend largement de tiers qu’il ne maîtrise pas directement.

Le premier bilan publié par les autorités européennes de surveillance en juin 2026 le confirme avec précision.

3383

incidents majeurs liés aux TIC déclarés en 2025 dans l'ensemble de l'Union européenne au titre de DORA

10%

de ces incidents étaient directement liés à la cybersécurité, les défaillances système et les événements externes, souvent imputables à des prestataires tiers, constituant la cause principale.

80%

des 33 incidents majeurs déclarés en 2025 par les entités financières sous sa supervision proviennent de leurs prestataires, qu'il s'agisse d'une indisponibilité liée à une cyberattaque (55 %) ou d'un incident accidentel (27 %).

Source : rapport conjoint des autorités européennes de surveillance (EBA, ESMA, EIOPA), juin 2026 ; rapport de l'AMF sur les incidents majeurs déclarés en 2025, septembre 2026.

Ce premier bilan illustre exactement ce que DORA a été conçu pour corriger : la dépendance croissante du secteur financier à ses prestataires TIC, qui expose chaque entité, quelle que soit sa taille, son activité ou sa structure actionnariale, à des risques qu'elle ne peut plus traiter isolément.

Quels sont les avantages d'une mise en conformité structurée ?

Au-delà de la conformité réglementaire, une démarche DORA bien menée apporte des bénéfices concrets, directement mesurables dans la gestion quotidienne du risque opérationnel :

  1. Visibilité réelle sur la chaîne de dépendance TIC

  2. Réduction du risque de concentration

  3. Détection et réponse aux incidents plus rapides

  4. Résilience testée, pas supposée

  5. Contrats TIC mieux négociés

  6. Confiance renforcée des superviseurs et des clients

  7. Anticipation face à l'intensification des contrôles

  8. Mutualisation avec les autres référentiels de sécurité

La mise en conformité à DORA n'est pas qu'une réponse à une obligation européenne : c'est l'occasion de transformer une dépendance technologique souvent sous-estimée en un risque identifié, mesuré et maîtrisé.

Périmètre

Les entités financières concernées

DORA couvre plus de 20 catégories d’entités financières, notamment :

  • Les établissements de crédit (banques, caisses d’épargne…)
  • Les entreprises d’investissement et les sociétés de gestion de portefeuille
  • Les établissements de paiement et de monnaie électronique
  • Les compagnies d’assurance et de réassurance
  • Les plateformes de négociation et les contreparties centrales
  • Les prestataires de services sur crypto-actifs
  • Les intermédiaires d’assurance, sauf s’ils sont qualifiés de microentreprises

Un principe de proportionnalité est prévu : les microentreprises (moins de 10 salariés et moins de 2 millions d’euros de chiffre d’affaires) et certaines petites entités bénéficient d’un cadre simplifié de gestion des risques TIC.

Les prestataires TIC critiques

DORA introduit un régime de supervision directe des prestataires TIC considérés comme critiques (CTPP, Critical Third-Party Providers). Le 18 novembre 2025, les Autorités Européennes de Surveillance (EBA, ESMA, EIOPA) ont publié une première liste de 19 prestataires TIC critiques, dont 9 américains, 2 asiatiques, 2 britanniques et 6 européens. Ces prestataires sont supervisés directement par un lead overseer européen, mais cette désignation n’exonère pas les entités financières de leurs obligations contractuelles à leur égard.

DORA et NIS 2 : deux règlements complémentaires

DORA prime sur la directive NIS 2 pour les entités financières qu’il couvre, mais les deux règlements sont complémentaires. NIS 2 encadre la cybersécurité des organisations dans leur ensemble, tandis que DORA se concentre spécifiquement sur la résilience opérationnelle numérique du secteur financier. Une entité financière soumise à DORA bénéficie d’une couverture plus complète et plus exigeante que celle offerte par NIS 2 seul.

NIS 2Renforce la cybersécurité des entités essentielles et importantes dans 18 secteurs. Gouvernance, gestion des risques, chaîne d'approvisionnement, déclaration d'incidents.
Les échéances

Calendrier d’application de DORA

  1. Passé

    Entrée en vigueur du règlement

    Le règlement (UE) 2022/2554 entre en vigueur, ouvrant une période de 24 mois durant laquelle les entités financières, leurs prestataires TIC et les autorités de surveillance doivent se préparer à son application complète.

  2. Passé

    Premier lot de normes techniques

    Les autorités européennes de surveillance publient leurs premiers projets de normes techniques finaux : cadre de gestion du risque TIC (standard et simplifié), critères de classification des incidents, politique relative aux services TIC soutenant des fonctions critiques, et modèles du registre d'informations.

  3. Passé

    Second lot de normes techniques

    Un second lot de normes précise le contenu, les modèles et les délais de notification des incidents majeurs, la méthodologie des tests de pénétration fondés sur la menace (TLPT), ainsi que les conditions de supervision des prestataires critiques.

  4. Passé

    Application complète du règlement

    DORA est pleinement applicable depuis le 17 janvier 2025. Toutes les entités financières concernées doivent se conformer à l’ensemble des exigences du règlement. Les premières déclarations d’incidents TIC majeurs sont transmises aux autorités compétentes via OneGate.

  5. Passé

    Première remise exceptionnelle du registre d'informations

    Les entités financières transmettent pour la première fois leur registre d'informations (RoI) à l'ACPR, qui le relaie ensuite aux autorités européennes de surveillance pour identifier les prestataires tiers critiques. Les années suivantes, cette remise annuelle devra intervenir au plus tard le 31 mars.

  6. Passé

    Publication de la première liste de prestataires TIC critiques

    Les autorités européennes de surveillance (EBA, ESMA, EIOPA) publient leur première liste de prestataires TIC critiques (CTPP) au titre de l'article 31 du règlement. Dix-neuf prestataires y figurent, dont neuf américains, six européens, deux asiatiques et deux britanniques.

  7. Passé

    Premiers tests TLPT et intensification des contrôles

    Les entités financières significatives réalisent leurs premiers tests de pénétration fondés sur la menace (TLPT). La liste des prestataires critiques fait l'objet de sa première revue annuelle, tandis que l'ACPR et l'AMF intensifient leurs contrôles de conformité auprès des entités françaises.

  8. À venir

    Clause de réexamen du règlement

    La Commission européenne doit remettre un rapport d'évaluation au Parlement et au Conseil, après consultation des autorités européennes de surveillance et du Comité européen du risque systémique. Ce réexamen pourra s'accompagner d'une proposition d'évolution du texte, notamment sur les critères de désignation des prestataires critiques.

Les risques

Sanctions et risques en cas de non-conformité

Contrairement à NIS 2 ou au RGPD, DORA ne fixe pas de plafond européen harmonisé pour les sanctions applicables aux entités financières. L’article 50 du règlement renvoie ce pouvoir à chaque État membre, à charge pour lui de définir des mesures « effectives, proportionnées et dissuasives ». Seules les sanctions visant les prestataires TIC critiques sont directement fixées par le règlement lui-même.

Pour les prestataires TIC critiques

1 %
du CA mondial quotidien moyen, par jour

Les prestataires TIC désignés comme critiques par les AES s’exposent à des astreintes journalières pouvant atteindre 1 % de leur chiffre d’affaires mondial quotidien moyen, jusqu’à ce qu’ils se conforment aux exigences du règlement ou aux injonctions des superviseurs européens.

Pour les entités financières

100 M€
pour les entités supervisées par l'ACPR

En l’absence de plafond européen, c’est le droit national qui s’applique. En France, l’ACPR peut prononcer des sanctions pécuniaires allant jusqu’à 100 millions d’euros au titre de l’article L. 612-39 du Code monétaire et financier. L’AMF dispose de pouvoirs de sanction comparables pour les sociétés de gestion, les prestataires de services d’investissement et les acteurs des crypto-actifs placés sous sa supervision.

Au-delà des amendes, les deux régimes de sanctions partagent plusieurs leviers communs :

  • Injonctions de mise en conformité : l'autorité compétente ordonne à l'entité de corriger ses manquements dans un délai défini. C'est la mesure la plus fréquente en début de cycle de supervision, avant tout passage à une sanction formelle.
  • Publication des décisions (name and shame) : les sanctions peuvent être rendues publiques, sauf si cette publication risque de perturber les marchés financiers ou de causer un préjudice disproportionné à l'entité concernée.
  • Suspension des activités ou retrait d'agrément : la mesure la plus sévère, réservée aux manquements graves et persistants, qui peut mettre fin à l'activité de l'entité sur le territoire concerné.
  • Responsabilité personnelle des dirigeants : à l'image de NIS 2 et du RGPD, les organes de direction peuvent voir leur responsabilité directement engagée en cas de carence manifeste dans le pilotage du risque TIC.

L'approche des régulateurs reste généralement graduée : observations, recommandations, mises en demeure, puis sanctions formelles en cas de manquement persistant. Mais un écart flagrant, comme l'incapacité totale à produire un registre d'informations ou l'absence de tout cadre de gestion des risques TIC, peut accélérer sensiblement ce processus. L'ACPR a d'ailleurs fait de DORA l'un des axes prioritaires de son programme de supervision pour 2026, avec des contrôles sur place ciblant en particulier la gestion des incidents, les cadres de gestion du risque TIC et la conformité contractuelle avec les prestataires informatiques.

Votre feuille de route

Les étapes de mise en conformité à DORA

  1. Cartographie des risques TIC

    La première action consiste à identifier et cartographier l’ensemble des systèmes et services TIC utilisés par l’entité, leurs interdépendances, et leur criticité pour les fonctions financières essentielles. Cette cartographie est le fondement du cadre de gestion des risques TIC imposé par DORA.

  2. Constitution du registre des prestataires TIC

    L’entité doit constituer un registre exhaustif de tous ses accords contractuels avec des prestataires TIC, en précisant pour chacun la nature des services fournis, leur criticité, et les clauses contractuelles en place. Ce registre doit être transmis annuellement à l’ACPR ou à l’AMF selon le cas.

  3. Politique de gestion des incidents TIC

    L’entité doit formaliser son processus de classification, de gestion et de notification des incidents TIC, en définissant les critères de classification des incidents majeurs, les canaux de notification, et les responsables désignés pour chaque étape du processus.

  4. Programme de tests de résilience

    L’entité doit définir son programme annuel de tests de résilience, en distinguant les tests de base accessibles à toutes les entités et les tests TLPT obligatoires pour les entités significatives. Ce programme doit être documenté, ses résultats tracés, et les lacunes identifiées faire l’objet de plans de remédiation.

  5. Revue contractuelle

    Tous les contrats avec des prestataires TIC doivent être revus et, si nécessaire, renégociés pour inclure les clauses obligatoires imposées par DORA : description précise des services, SLA, droits d’audit, obligations de notification d’incidents, plan de continuité, et conditions de résiliation et de sortie.

  6. Formation des équipes

    Les équipes IT, risques et conformité doivent être formées aux exigences spécifiques de DORA : cadre de gestion des risques TIC, processus de notification des incidents, gestion des prestataires TIC, et programme de tests de résilience. La direction doit également être sensibilisée à ses responsabilités personnelles au titre du règlement.

Questions fréquentes

DORA en 4 questions

Mon entreprise est-elle concernée par DORA si elle n’est pas une banque ?

DORA couvre plus de 20 catégories d’entités financières, bien au-delà des seules banques. Les assureurs, les sociétés de gestion de portefeuille, les établissements de paiement, les plateformes de négociation, les prestataires de services sur crypto-actifs et les intermédiaires d’assurance (sauf microentreprises) sont tous concernés. Les prestataires TIC qui fournissent des services à ces entités peuvent également être désignés comme critiques et soumis à une supervision directe.

Qu’est-ce qu’un test TLPT et à qui s’applique-t-il ?

Le TLPT (Threat-Led Penetration Testing) est un test d’intrusion avancé basé sur la menace réelle, conduit par des testeurs qualifiés selon un cadre méthodologique défini par les AES. Il simule des scénarios d’attaque réalistes pour évaluer la résilience des systèmes TIC critiques de l’entité. Il est obligatoire tous les trois ans pour les entités financières significatives identifiées par les autorités compétentes. Les premiers TLPT en France sont attendus en 2026.

Qu’est-ce que le registre d’informations DORA et quand doit-il être transmis ?

Le registre d’informations (RoI) est un inventaire exhaustif de tous les accords contractuels avec des prestataires TIC, incluant la nature des services, leur criticité, et les clauses contractuelles applicables. Il doit être transmis annuellement à l’autorité compétente, au plus tard le 31 mars de l’année N pour l’ACPR. Il doit être constitué en français ou en anglais, de façon uniforme.

DORA s’applique-t-il aux prestataires TIC non financiers ?

Oui, les prestataires TIC qui fournissent des services à des entités financières peuvent être désignés comme critiques par les AES et soumis à une supervision directe. Cette désignation est fondée sur des critères incluant le nombre d’entités financières dépendantes, la criticité des services fournis, et l’impact potentiel d’une défaillance sur la stabilité financière. La première liste de 19 prestataires critiques a été publiée en novembre 2025.

Pourquoi nous faire confiance ?

Votre conformité DORA avec Fidens

Cartographie des risques TIC, registre des prestataires, tests de résilience, gestion des incidents : nos consultants vous accompagnent à chaque étape et vous aident à mutualiser vos efforts avec ISO 27001 et NIS 2.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité