Publié le 6 août 2026

DORA : le Digital Operational Resilience Act expliqué

La loi sur la résilience opérationnelle numérique (DORA) impose au secteur financier européen une approche harmonisée de la gestion des risques informatiques. Ce règlement est en vigueur depuis le 17 janvier 2025 et concerne non seulement les banques et les assureurs, mais aussi leurs prestataires de services TIC. Cet aperçu explique le champ d'application, les cinq piliers, la surveillance, les sanctions et la distinction par rapport à la directive NIS2 (état : août 2026).

Outre l'abréviation DORA, les termes suivants sont utilisés : Règlement DORA, Règlement de l'UE sur la résilience opérationnelle numérique et Loi sur la résilience opérationnelle numérique courant. Vous faites référence à ce même cadre juridique européen directement applicable en matière de résilience numérique du secteur financier.

L'essentiel en bref

• Le règlement DORA (règlement (UE) 2022/2554) s'applique directement dans tous les États membres de l'UE depuis le 17 janvier 2025 ; aucune loi nationale de transposition n'est nécessaire pour ses dispositions.
• Sont concernées une vingtaine de catégories d'entreprises financières ainsi que les prestataires tiers du secteur des TIC qui fournissent des services au secteur financier.
• Le règlement repose sur cinq piliers : la gestion des risques liés aux TIC, la notification des incidents, les tests de résilience, les risques liés aux tiers dans le domaine des TIC et l'échange d'informations.
• En Allemagne, c'est la BaFin qui veille au respect de ces dispositions. La loi sur la numérisation des marchés financiers (FinmadiG) inscrit ces pouvoirs et ces amendes dans le droit national.
• Pour les établissements financiers, la directive DORA prévaut sur la directive NIS 2 en tant que cadre réglementaire plus spécifique, mais uniquement en ce qui concerne les obligations qui se recoupent.

Qu'est-ce que la loi sur la résilience opérationnelle numérique ?

DORA est un règlement de l'Union européenne relatif à la résilience opérationnelle numérique dans le secteur financier. Il a été publié en décembre 2022 au Journal officiel de l'Union européenne sous le numéro de référence « Règlement (UE) 2022/2554 ». Après une phase transitoire d’environ deux ans, il est d’application obligatoire depuis le 17 janvier 2025. En tant que règlement, DORA produit des effets directs dans chaque État membre ; contrairement à une directive, il ne nécessite pas de loi de transposition pour ses dispositions.

L'objectif : permettre aux entreprises du secteur financier de faire face aux incidents informatiques et aux cyberattaques sans que leurs processus opérationnels critiques ne soient interrompus. À cette fin, la directive DORA harmonise des exigences qui étaient auparavant dispersées dans différentes circulaires nationales. En Allemagne, la BaFin a abrogé ses circulaires de surveillance informatique VAIT, KAIT et ZAIT à compter du 17 janvier 2025, car DORA en couvre le contenu. Selon la BaFin, les circulaires BAIT ne s’appliquent désormais plus qu’aux entités soumises à surveillance qui ne sont pas encore tenues de mettre en œuvre la gestion des risques liés aux TIC conformément à DORA.

Le règlement lui-même ne constitue que le premier niveau. Les normes techniques de réglementation et d'exécution (RTS et ITS) précisent de nombreuses obligations, telles que la classification des incidents, le contenu des notifications ou les exigences contractuelles imposées aux prestataires de services. Quiconque met en œuvre DORA doit également prendre connaissance de ces actes juridiques de niveau 2.

Qui est concerné par DORA ?

L'article 2 du règlement énumère une vingtaine de catégories d'établissements financiers. Parmi celles-ci figurent notamment :

• Établissements de crédit, établissements de paiement et établissements de monnaie électronique
• Entreprises d'investissement, plates-formes de négociation et contreparties centrales
• Sociétés de gestion de capitaux et gestionnaires de fonds d'investissement alternatifs
• Entreprises d'assurance et de réassurance, ainsi que les grands intermédiaires d'assurance
• Agences de notation, prestataires de services liés aux cryptomonnaies et plateformes de financement participatif

À cela s'ajoutent les prestataires tiers de TIC, c'est-à-dire les fournisseurs de services cloud, de centres de données, de logiciels ou d'analyses de données destinés au secteur financier. Ils sont soumis indirectement aux exigences de la DORA par le biais des contrats conclus avec leurs clients du secteur financier. S'ils sont classés comme « critiques » par les autorités de surveillance européennes, un cadre de surveillance direct s'applique en outre. Le règlement prévoit des allègements pour les micro-entreprises, tandis que certains groupes, tels que les petits intermédiaires d'assurance, en sont exemptés.

En Allemagne, la loi FinmadiG, adoptée en décembre 2024, a encore élargi ce champ d'application. Selon la BaFin, cela signifie que d'autres établissements relevant de la loi sur le crédit (Kreditwesengesetz) sont désormais soumis à la DORA, tels que les banques de cautionnement et les établissements de services financiers. Une période transitoire s'appliquant à ces derniers jusqu'au 1er janvier 2027, les obligations de déclaration sont toutefois déjà en vigueur depuis le 17 janvier 2025.

Les cinq piliers de DORA

DORA classe les exigences en cinq blocs thématiques qui s'articulent les uns autour des autres :

• Gestion des risques liés aux TIC (articles 5 à 16) : Les entreprises du secteur financier doivent disposer d'un cadre documenté pour l'identification, la protection, la détection, la réaction et la restauration. L'organe de direction assume la responsabilité finale et doit piloter activement la mise en œuvre. Les petites entreprises sont autorisées à appliquer un cadre simplifié.
• Traitement et notification des incidents liés aux TIC (articles 17 à 23) : Les incidents doivent être enregistrés et classés selon des critères uniformes et, s'ils sont jugés graves, signalés à l'autorité de surveillance dans un délai déterminé.
• Tests de résilience opérationnelle numérique (articles 24 à 27) : Un programme de tests fondé sur les risques est obligatoire. Les entreprises désignées par l'autorité de surveillance doivent en outre réaliser, au moins tous les trois ans, un test d'intrusion axé sur les menaces (TLPT).
• Gestion des risques liés aux tiers dans le domaine des TIC (articles 28 à 44) : Les contrats conclus avec des prestataires de services TIC doivent comporter des éléments minimaux bien définis ; toutes les relations d'externalisation doivent être consignées dans un registre d'informations. Un cadre de surveillance spécifique s'applique aux prestataires tiers de services TIC critiques. L'article consacré à ce sujet fournit des précisions sur Risque lié aux tiers dans le domaine des TIC dans le cadre de la directive DORA.
• Échange d'informations (article 45) : Les établissements financiers sont autorisés à partager, à titre volontaire, des informations sur les menaces et des renseignements relatifs aux cyberattaques au sein de cercles de confiance.

Dans la pratique, c'est le quatrième pilier qui mobilise le plus de ressources. Si de nombreuses entreprises financières connaissent bien leurs contrats, elles ignorent en revanche la situation réelle de leurs prestataires en matière de sécurité. C'est précisément là qu'interviennent les procédures d'évaluation continue.

Obligations de déclaration : délais applicables aux incidents informatiques graves

Les délais de déclaration sont fixés par le règlement délégué (UE) n° 2025/301. Celui-ci prévoit une procédure en trois étapes :

En Allemagne, c'est la BaFin qui, en tant qu'autorité centrale, reçoit les déclarations. Si un délai tombe un week-end ou un jour férié, les établissements financiers ont jusqu'à midi du jour ouvrable suivant pour effectuer leur déclaration. Cette dérogation ne s'applique pas aux déclarations initiales et intermédiaires des établissements de crédit, des contreparties centrales, des opérateurs de marchés et des entités NIS2 classées comme essentielles ou importantes. Par ailleurs, les établissements financiers peuvent signaler volontairement les cybermenaces significatives. Pour respecter ces délais, il est nécessaire de disposer de processus de détection et de classification bien rodés ; une simple réaction ad hoc ne suffit pas.

Surveillance : la BaFin et le cadre européen de surveillance

Pour les entreprises financières allemandes, la BaFin est l'autorité de surveillance compétente ; elle travaille en étroite collaboration avec la Banque fédérale allemande (Deutsche Bundesbank). La BaFin fait office de centre national de signalement des incidents liés aux TIC, recueille les registres d'informations sur les risques liés aux tiers et analyse les données sous l'angle des risques pour le secteur financier. Elle décide également quelles entreprises doivent réaliser des tests d'intrusion axés sur les menaces.

La nouveauté réside au niveau européen : les trois autorités de surveillance de l'UE, l'ABE, l'AEAPP et l'AEMF, classent certains prestataires tiers de services TIC comme critiques pour le secteur financier. Pour chaque prestataire critique, une autorité de surveillance chef de file assure la supervision directe, avec des droits d’information, d’enquête et d’inspection pouvant aller jusqu’à des contrôles sur place. Ainsi, pour la première fois, les grands fournisseurs de services cloud et informatiques sont soumis à une surveillance financière spécifique au niveau de l’UE, bien qu’ils ne soient pas eux-mêmes des établissements financiers.

Sanctions en cas d'infraction

La DORA n'impose pas de montants d'amendes uniformes à l'échelle de l'UE pour les établissements financiers. L'article 50 oblige les États membres à définir des sanctions et des mesures correctives qui soient „ efficaces, proportionnées et dissuasives “. En Allemagne, la loi FinmadiG a notamment intégré ces normes de sanction dans la loi sur le crédit (KWG). L'article 56 de la KWG couvre désormais également les infractions à la DORA ; pour les personnes morales, il prévoit, en cas de certaines infractions, des amendes pouvant aller jusqu'à 20 millions d'euros ou 10 % du chiffre d'affaires annuel total, le montant le plus élevé étant retenu.

Pour les prestataires tiers de services TIC critiques, le règlement prévoit lui-même un instrument contraignant : conformément à l’article 35 du DORA, l’autorité de contrôle compétente peut infliger des astreintes pouvant atteindre 1 % du chiffre d’affaires quotidien moyen mondial réalisé au cours de l’exercice précédent, et ce quotidiennement pendant une période pouvant aller jusqu’à six mois.

À cela s'ajoute la dimension personnelle : conformément à l'article 5 de la DORA, l'organe de direction assume la responsabilité finale de la gestion des risques liés aux TIC. Les directions qui négligent la mise en œuvre et le contrôle s'exposent ainsi également à des risques de responsabilité personnelle.

DORA et NIS2 : points communs et différences

DORA et la directive NIS2 Ces deux textes proviennent du paquet législatif de l'UE de décembre 2022, mais adoptent des approches différentes. L'article 4 de la directive NIS2 régit cette relation : les actes législatifs sectoriels ayant un effet au moins équivalent prévalent. Pour les entreprises du secteur financier, la directive DORA s'applique donc en tant que lex specialis, mais uniquement en matière de gestion des risques liés aux TIC et de notification des incidents. Un aperçu de la Exigences NIS2 et mesures obligatoires indique les autres thèmes couverts par la directive.

À noter dans la pratique : la règle de priorité ne dispense pas systématiquement les entreprises du secteur financier de l'application de la directive NIS 2. Elle ne fait que remplacer les obligations que la directive DORA régit de manière équivalente ou plus stricte. Les groupes comptant des sociétés tant au sein du secteur financier qu'en dehors de celui-ci doivent tenir compte des deux cadres réglementaires en parallèle.

Questions fréquentes

---

Depuis quand l'utilisation de DORA est-elle obligatoire ?

Le règlement est entré en vigueur en janvier 2023 et son application est obligatoire depuis le 17 janvier 2025. Pour les établissements qui ne relèvent du champ d’application de DORA qu’en vertu de la loi allemande FinmadiG, la BaFin prévoit une période transitoire jusqu’au 1er janvier 2027 ; toutefois, les obligations de déclaration s’appliquent déjà à eux.

---

La réglementation DORA s'applique-t-elle également aux prestataires de services informatiques hors du secteur financier ?

Oui, en deux étapes. Tous les prestataires tiers de services TIC des entreprises financières satisfont indirectement à ces exigences par le biais des clauses contractuelles minimales que leurs clients doivent leur imposer. Les prestataires classés comme « critiques » sont en outre soumis à une surveillance directe de la part des autorités de surveillance européennes, qui peut aller jusqu’à des contrôles et des astreintes.

---

Qu'est-ce qu'un TLPT et qui doit le réaliser ?

Un test d'intrusion axé sur les menaces simule des attaques réelles contre les systèmes de production d'une entreprise financière, en s'appuyant sur des scénarios de menaces actuels. Conformément à l'article 26 du règlement DORA, il doit être effectué au moins tous les trois ans. C'est l'autorité de contrôle compétente qui détermine quelles entreprises sont concernées, sur la base des critères fixés par le règlement.

---

La directive DORA remplace-t-elle la directive NIS2 ?

Non. La directive DORA prévaut sur la directive NIS 2 pour les entreprises du secteur financier uniquement dans les domaines où les obligations se recoupent, à savoir la gestion des risques liés aux technologies de l'information et de la communication (TIC) et la notification des incidents. Pour les entreprises n'appartenant pas au secteur financier, la directive NIS 2 reste le cadre de référence.

---

En quoi une notation de sécurité facilite-t-elle la mise en œuvre de la directive DORA ?

Un Note de sécurité évalue la surface d'attaque d'une entreprise visible de l'extérieur à l'aide de critères mesurables. Cela permet de surveiller en permanence la situation en matière de sécurité de ses propres systèmes et de ceux des prestataires de services TIC, par exemple dans le cadre de la surveillance continue prévue par le quatrième pilier. La mise en œuvre contractuelle et organisationnelle de DORA ne remplace pas une notation, mais elle fournit des données fiables pour la prise de décision en matière de risques.

Conclusion : aborder le risque lié aux tiers comme une mission permanente

DORA fait de la gestion des prestataires de services TIC une obligation permanente : tenir à jour les registres d'informations, affiner les contrats, évaluer les prestataires en continu. LocateRisk vous accompagne dans cette démarche grâce à une solution de gestion des risques liés aux fournisseurs qui combine des questionnaires et des notations de sécurité basées sur des indicateurs clés de performance (KPI). L'analyse examine la surface d'attaque visible de l'extérieur de vos prestataires, sans installation d'agent, en conformité avec le RGPD et avec un hébergement dans des centres de données allemands certifiés. Découvrez comment mettre en place votre système de gestion des risques fournisseurs dans le cadre de la réglementation DORA.