DORA (Digital Operational Resilience Act) est le règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier. Applicable depuis le 17 janvier 2025, sans transposition, il impose aux entités financières et à leurs prestataires TIC un cadre commun : gestion du risque TIC, notification des incidents majeurs, tests de résilience et maîtrise du risque lié aux prestataires.
Sur le terrain, DORA arrive rarement par le texte lui-même. Il arrive par une demande de l'ACPR sur le registre d'informations, par un avenant de contrat qu'un prestataire cloud refuse de signer, ou par un incident qu'il faut classer en quelques heures. Ce guide reprend le règlement dans l'ordre où il se pratique : qui est concerné, ce que disent les cinq piliers, article par article, qui contrôle, ce qui est réellement sanctionné, et comment DORA s'articule avec NIS 2 et le RGPD.
DORA en bref : un règlement, pas une directive
On lit souvent « directive DORA ». C'est inexact, et la différence n'est pas qu'une question de vocabulaire. Une directive fixe un objectif que chaque État membre transpose dans son droit national. Un règlement s'applique tel quel : l'article 64 de DORA précise qu'il est « obligatoire dans tous ses éléments et directement applicable dans tout État membre ».
Les dates clés à retenir :
- 14 décembre 2022 : adoption du règlement (UE) 2022/2554, publié au Journal officiel de l'Union européenne le 27 décembre 2022 (JO L 333).
- 17 janvier 2025 : date d'application (art. 64). Depuis ce jour, les obligations sont opposables, sans période de grâce prévue par le texte.
- 18 novembre 2025 : les autorités européennes de surveillance publient la première liste des prestataires tiers critiques de services TIC (voir plus bas).
DORA est complété par une série de normes techniques (RTS et ITS) adoptées par la Commission, qui fixent les modèles, les seuils et les délais. Le règlement dit « quoi », ces textes disent « comment » : les deux se lisent ensemble.
Qui est concerné par le règlement DORA ?
Les 20 catégories d'entités financières (article 2)
L'article 2, paragraphe 1, énumère 21 catégories. Les points a) à t), soit 20 catégories, forment les « entités financières » :
- établissements de crédit, établissements de paiement, prestataires de services d'information sur les comptes, établissements de monnaie électronique ;
- entreprises d'investissement, prestataires de services sur crypto-actifs et émetteurs de jetons se référant à un ou des actifs ;
- dépositaires centraux de titres, contreparties centrales, plates-formes de négociation, référentiels centraux, prestataires de services de communication de données, référentiels des titrisations ;
- gestionnaires de fonds d'investissement alternatifs et sociétés de gestion ;
- entreprises d'assurance et de réassurance, intermédiaires d'assurance et de réassurance, institutions de retraite professionnelle ;
- agences de notation de crédit, administrateurs d'indices de référence d'importance critique, prestataires de services de financement participatif.
Le point u) vise une 21e catégorie, d'une autre nature : les prestataires tiers de services TIC.
Les prestataires TIC : concernés directement ou par contrat
Un éditeur SaaS, un hébergeur ou une ESN qui sert une banque ou un assureur est concerné de deux façons. D'abord par contrat : l'article 30 impose des clauses minimales dans les accords conclus avec les entités financières (description des services, localisation des données, accès, audit, sortie). Ensuite, pour les plus systémiques, par une supervision directe au niveau européen, réservée aux prestataires désignés « critiques » (articles 31 et suivants).
Proportionnalité, régime simplifié et exclusions
DORA ne s'applique pas avec la même intensité à tous. Trois mécanismes à connaître :
- Proportionnalité (art. 4) : les règles de gestion du risque TIC sont mises en œuvre en tenant compte de la taille, du profil de risque global et de la nature, de l'ampleur et de la complexité des activités.
- Cadre simplifié (art. 16) : les articles 5 à 15 ne s'appliquent pas, entre autres, aux petites entreprises d'investissement non interconnectées, aux établissements de paiement et de monnaie électronique exemptés et aux petites institutions de retraite professionnelle. Elles relèvent d'un cadre allégé, détaillé par le règlement délégué (UE) 2024/1774.
- Exclusions (art. 2, §3) : notamment les intermédiaires d'assurance qui sont des microentreprises ou des PME, et les petites entreprises d'assurance visées à l'article 4 de la directive Solvabilité II.
Les microentreprises restent dans le champ, mais plusieurs obligations sont allégées pour elles : par exemple la communication des changements post-incident à l'autorité (art. 13, §2) ou les tests de pénétration fondés sur la menace (art. 26), dont elles sont exclues.
Les 5 piliers de DORA
Les obligations des entités financières se répartissent en cinq chapitres du règlement, qu'on appelle les cinq piliers :
- Gestion du risque lié aux TIC : chapitre II, articles 5 à 16.
- Gestion, classification et notification des incidents liés aux TIC : chapitre III, articles 17 à 23.
- Tests de résilience opérationnelle numérique : chapitre IV, articles 24 à 27.
- Gestion des risques liés aux prestataires tiers de services TIC : chapitre V, articles 28 à 44.
- Partage d'informations sur les cybermenaces : chapitre VI, article 45.
Pilier 1 : la gestion du risque TIC (articles 5 à 16)
Le premier pilier part de la gouvernance. L'article 5, §2, rend l'organe de direction responsable de la définition, de l'approbation et de la supervision du cadre de gestion du risque TIC, et lui confie « la responsabilité ultime » de ce risque. L'article 5, §4, va plus loin : les membres de la direction doivent maintenir leurs connaissances à jour, « notamment en suivant régulièrement une formation spécifique ». Viennent ensuite le cadre de gestion du risque (art. 6), l'identification des actifs et des dépendances (art. 8), la protection et la prévention (art. 9), la détection (art. 10), la continuité d'activité (art. 11) et l'apprentissage après incident (art. 13).
Pilier 2 : les incidents majeurs (articles 17 à 23)
Les entités financières classent leurs incidents selon les critères du règlement délégué (UE) 2024/1772, et déclarent les incidents majeurs à leur autorité compétente (art. 19). Les délais sont fixés par l'article 5 du règlement délégué (UE) 2025/301 :
- notification initiale : dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance ;
- rapport intermédiaire : au plus tard 72 heures après la notification initiale ;
- rapport final : au plus tard un mois après le dernier rapport intermédiaire.
Quand l'incident affecte les intérêts financiers des clients, ceux-ci doivent aussi être informés sans retard injustifié (art. 19, §3). Pour un premier aperçu de ce que ces déclarations donnent à l'échelle européenne, voir notre actualité sur le premier bilan des incidents TIC majeurs publié par les superviseurs européens.
Pilier 3 : les tests de résilience (articles 24 à 27)
Toute entité financière, hors régime simplifié, établit un programme de tests de résilience proportionné (art. 24 et 25) : analyses de vulnérabilité, tests de scénarios, tests de performance, revues de code source selon les cas. Les entités identifiées par leur autorité réalisent en plus, au moins tous les trois ans, un test de pénétration fondé sur la menace (TLPT) sur des systèmes en production (art. 26). Les critères d'identification et la méthode sont précisés par le règlement délégué (UE) 2025/1190.
Pilier 4 : le risque lié aux prestataires TIC (articles 28 à 44)
C'est le pilier qui mobilise le plus les équipes conformité et achats. L'article 28, §3, impose de tenir et de mettre à jour un registre d'informations couvrant tous les accords contractuels portant sur des services TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Son format est fixé par le règlement d'exécution (UE) 2024/2956. L'article 30 liste les clauses contractuelles obligatoires. Les articles 31 à 44 organisent la supervision européenne des prestataires critiques. Pour les orientations les plus récentes sur le risque de tiers, voir les orientations finales de l'EBA alignées sur le registre DORA.
Pilier 5 : le partage d'informations (article 45)
Le cinquième pilier est le seul qui soit facultatif : les entités financières « peuvent » échanger entre elles des informations et renseignements sur les cybermenaces, au sein de communautés de confiance. Si elles y participent, elles en informent leur autorité compétente.
Ce que DORA change concrètement, secteur par secteur
Banques et établissements de paiement
Pour les banques, DORA prolonge des exigences déjà connues (orientations de l'EBA sur le risque TIC et l'externalisation) mais les rend directement applicables et homogènes. Les points de friction les plus fréquents sont le registre d'informations, à tenir au niveau individuel, sous-consolidé et consolidé, et la renégociation des contrats TIC pour y intégrer les clauses de l'article 30.
Assurance, mutuelles et institutions de prévoyance
Les entreprises d'assurance et de réassurance soumises à Solvabilité II entrent dans le champ, y compris les mutuelles et institutions de prévoyance qui en relèvent. Seules les petites entreprises visées à l'article 4 de la directive Solvabilité II sont exclues. Pour une mutuelle, l'effort porte souvent sur la gouvernance du risque TIC (rôle du conseil d'administration, art. 5) et sur la cartographie des prestataires qui soutiennent les fonctions critiques : gestion des contrats, tiers payant, hébergement.
Sociétés de gestion et gestionnaires de FIA
Les sociétés de gestion d'OPCVM et les gestionnaires de FIA sont des entités financières au sens de l'article 2 (points k et l). Leur autorité compétente, en France, est l'AMF. La proportionnalité joue ici à plein : une société de gestion de taille modeste n'a pas à reproduire le dispositif d'une grande banque, mais elle doit pouvoir démontrer un cadre documenté et un registre tenu à jour.
Prestataires TIC du secteur financier
Un prestataire non désigné critique n'est pas supervisé directement, mais il reçoit les exigences par ses clients : questionnaires, clauses d'audit, droit de résiliation, stratégie de sortie. Côté éditeur, l'enjeu est d'être prêt à répondre vite et de façon documentée.
Qui contrôle DORA en France ?
L'article 46 confie le contrôle aux autorités compétentes déjà désignées par les textes sectoriels. En France :
- l'ACPR pour les établissements de crédit, les entreprises d'assurance, les établissements de paiement et de monnaie électronique, et les entreprises d'investissement qu'elle supervise. Elle collecte les registres d'informations et reçoit les déclarations d'incidents majeurs, y compris celles des établissements de crédit importants, qu'elle transmet à la BCE. Ses instructions 2025-I-11 (incidents) et 2025-I-12 (registres) sont publiées sur sa page dédiée à DORA ;
- l'AMF pour les sociétés de gestion, les gestionnaires de FIA et les acteurs de marché qu'elle supervise ;
- la BCE pour les établissements de crédit importants, dans le cadre du mécanisme de surveillance unique.
Lors de son webinaire DORA du 23 janvier 2026, l'ACPR a présenté 2025 comme une année d'accompagnement et 2026 comme une année de supervision, centrée sur trois thèmes : le processus de gestion des incidents, le cadre de gestion du risque TIC et la conformité des contrats TIC à DORA.
Au niveau européen, les trois autorités européennes de surveillance (EBA, EIOPA, ESMA) produisent les normes techniques et supervisent les prestataires critiques. Le 18 novembre 2025, elles ont publié la liste des 19 prestataires tiers critiques de services TIC, parmi lesquels Amazon Web Services, Google Cloud, Microsoft, Oracle, SAP, IBM, Capgemini et Orange (liste complète, PDF).
Quelles sanctions prévoit DORA ?
Le chiffre de « 10 % du chiffre d'affaires » circule beaucoup. Il ne figure nulle part dans le règlement. Ce que dit le texte :
- Pour les entités financières (art. 50) : DORA ne fixe pas de montant. Il oblige les États membres à prévoir des sanctions administratives et des mesures correctives « effectives, proportionnées et dissuasives », et donne aux autorités des pouvoirs d'enquête, d'inspection sur place et d'injonction. Le montant dépend donc du droit national et de l'autorité compétente.
- Sanctions pénales (art. 52) : les États membres peuvent choisir un régime pénal plutôt qu'administratif pour certaines violations.
- Pour les prestataires TIC critiques (art. 35) : c'est le seul montant chiffré par le texte. Le superviseur principal peut imposer une astreinte journalière, pendant six mois au maximum, d'un montant pouvant atteindre 1 % du chiffre d'affaires quotidien moyen réalisé au niveau mondial au cours de l'exercice précédent (art. 35, §7 et §8).
DORA, NIS 2 et RGPD : qui s'applique quand ?
Pour une entité financière, DORA joue le rôle de texte spécial face à NIS 2 : l'article 1er, §2, de DORA le qualifie d'« acte juridique sectoriel » au sens de l'article 4 de la directive NIS 2, ce qui écarte les dispositions équivalentes de NIS 2 pour ces entités. Notre guide complet sur la directive NIS 2 détaille son propre champ.
Le RGPD, lui, continue de s'appliquer en parallèle. Un même incident peut être à la fois un incident TIC majeur au sens de DORA et une violation de données personnelles au sens de l'article 33 du RGPD, avec deux délais et deux destinataires : l'ACPR ou l'AMF d'un côté, la CNIL dans les 72 heures de l'autre. Pour une analyse détaillée de cette articulation, voir DORA, NIS 2, RGPD : quel texte s'applique à votre organisation ? et notre guide sur la réaction à une violation de données.
La Commission a proposé le 19 novembre 2025, dans le cadre du Digital Omnibus, un point d'entrée unique pour la notification des incidents, géré par l'ENISA et couvrant notamment NIS 2, le RGPD et DORA. Il ne fusionne pas les obligations : il mutualise le canal. Tant que ce texte n'est pas adopté et publié au Journal officiel, les notifications restent distinctes. Notre actualité sur la position de l'ANSSI sur le guichet unique donne le contexte français.
Les textes d'application et le PDF du règlement
DORA renvoie à une série de normes techniques de réglementation (RTS, règlements délégués) et d'exécution (ITS, règlements d'exécution). Les plus utilisées au quotidien :
- Règlement délégué (UE) 2024/1774 : outils, méthodes et politiques de gestion du risque TIC, et cadre simplifié.
- Règlement délégué (UE) 2024/1772 : critères de classification des incidents et seuils des incidents majeurs.
- Règlement délégué (UE) 2025/301 : contenu et délais des notifications d'incidents majeurs.
- Règlement d'exécution (UE) 2025/302 : formulaires et modèles de notification des incidents.
- Règlement d'exécution (UE) 2024/2956 : modèles types du registre d'informations.
- Règlement délégué (UE) 2025/1190 : tests de pénétration fondés sur la menace (TLPT).
Le texte officiel du règlement, en français, est disponible sur EUR-Lex : règlement (UE) 2022/2554 au format PDF.
Questions fréquemment posées
C'est quoi DORA ?
DORA (Digital Operational Resilience Act) est le règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier. Applicable depuis le 17 janvier 2025, il impose aux entités financières et à leurs prestataires TIC des règles communes de gestion du risque TIC, de notification des incidents, de tests et de gestion des prestataires.
Quels sont les 5 piliers de DORA ?
Les cinq piliers sont : la gestion du risque lié aux TIC (articles 5 à 16), la gestion et la notification des incidents liés aux TIC (articles 17 à 23), les tests de résilience opérationnelle numérique (articles 24 à 27), la gestion des risques liés aux prestataires tiers de services TIC (articles 28 à 44) et le partage d'informations sur les cybermenaces (article 45), ce dernier étant facultatif.
DORA est-il une directive ?
Non. DORA est un règlement européen, directement applicable dans tous les États membres sans transposition (article 64). Il est accompagné d'une directive modificative, la directive (UE) 2022/2556, qui adapte les directives sectorielles existantes, ce qui explique en partie la confusion.
Qui contrôle DORA en France ?
L'ACPR contrôle les banques, les assureurs, les établissements de paiement et de monnaie électronique et les entreprises d'investissement qu'elle supervise. L'AMF contrôle notamment les sociétés de gestion et les gestionnaires de FIA. La BCE intervient pour les établissements de crédit importants, et les autorités européennes de surveillance supervisent directement les prestataires TIC critiques.
Quelles sanctions en cas de non-respect de DORA ?
Pour les entités financières, DORA laisse aux États membres le soin de fixer des sanctions effectives, proportionnées et dissuasives (article 50) : il ne prévoit pas de plafond de 10 % du chiffre d'affaires. Le seul montant chiffré vise les prestataires TIC critiques : une astreinte journalière pouvant atteindre 1 % de leur chiffre d'affaires quotidien moyen mondial, pendant six mois au maximum (article 35).
Quelle différence avec les métriques DORA du DevOps ?
Ce sont deux sujets sans lien. Les « métriques DORA » du DevOps viennent du programme de recherche DevOps Research and Assessment et mesurent la performance de livraison logicielle (fréquence de déploiement, délai de mise en production d'un changement, temps de rétablissement après un échec). Le règlement DORA est un texte juridique européen sur la résilience numérique du secteur financier.
Former la direction et les équipes : une obligation écrite dans DORA
Deux articles sont souvent oubliés dans les plans de mise en œuvre. L'article 5, §4, impose aux membres de l'organe de direction de suivre régulièrement une formation spécifique au risque TIC. L'article 13, §6, impose des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, « sous forme de modules obligatoires », pour tous les employés et les membres de la direction, et, le cas échéant, pour les prestataires TIC.
Leto propose des modules de micro-learning pour sensibiliser vos collaborateurs et votre direction à ces sujets : découvrir l'offre de sensibilisation.
