DORA : l'EBA consulte sur la version 4.4 de son cadre de reporting, deux clarifications à surveiller pour les entités financières

L'Autorité bancaire européenne (EBA) a ouvert une consultation sur la version 4.4 de son cadre technique de reporting, qui intègre pour la première fois des clarifications directement liées à DORA (Digital Operational Resilience Act, le règlement européen sur la résilience opérationnelle numérique du secteur financier). Deux questions-réponses techniques, référencées DORA272 et DORA282, précisent le périmètre et les modalités de déclaration attendues des entités concernées.

Ce qui s'est passé

L'EBA a publié le 24 juillet 2026 une alerte invitant les parties prenantes à commenter la version 4.4 de son cadre de reporting (reporting framework), qui succède aux versions 4.2 et 4.3 déployées progressivement depuis fin 2025. Cette nouvelle mouture intègre des ajustements liés à DORA, entré en application en janvier 2025, avec deux clarifications techniques référencées DORA272 et DORA282 dans l'outil de questions-réponses de l'Autorité. Elles portent sur le champ d'application exact des obligations de reporting DORA et sur la structuration attendue des déclarations, un point que plusieurs établissements avaient identifié comme source d'ambiguïté depuis l'entrée en vigueur du règlement.

Pourquoi c'est important

DORA impose aux établissements financiers, ainsi qu'à leurs prestataires informatiques critiques, un ensemble d'obligations de résilience opérationnelle numérique : cartographie des risques TIC, tests de résilience, notification des incidents majeurs sous 72 heures, et surveillance renforcée des sous-traitants technologiques. Le cadre de reporting technique de l'EBA traduit ces obligations en formats de déclaration standardisés — périodicité, champs obligatoires, taxonomie des incidents. Une clarification sur le périmètre applicable n'a donc rien d'un détail administratif : elle détermine qui doit déclarer quoi, et selon quel calendrier.

Pour les DPO et RSSI, cette consultation s'inscrit dans un chantier plus large de convergence entre les obligations de l'article 32 du RGPD sur la sécurité du traitement, NIS 2 et DORA — trois textes qui se recoupent largement sur la gestion du risque informatique et la notification d'incidents. Notre guide DORA, NIS 2, RGPD : quel texte s'applique à votre organisation ? détaille précisément ces zones de recouvrement.

Ce que ça change pour les organisations

Concrètement, les entités soumises à DORA — banques, assurances, sociétés de gestion, mais aussi prestataires de services TIC critiques — ont intérêt à :

• Suivre l'issue de la consultation : les clarifications DORA272 et DORA282 influenceront directement les gabarits de reporting à intégrer dans leurs outils de conformité.
• Revoir dès maintenant leur registre des informations relatif aux contrats TIC, qui sert de socle aux déclarations DORA, pour vérifier qu'il couvre bien le périmètre que l'EBA s'apprête à préciser.
• Coordonner DPO, RSSI et fonction risques pour éviter que ces ajustements techniques ne soient traités en silo, alors qu'ils touchent aussi la notification d'incidents au titre de l'article 33 du RGPD et de NIS 2. Notre analyse du premier rapport des ESAs sur les incidents ICT majeurs montre d'ailleurs qu'en 2026, la majorité des incidents déclarés ne relevaient pas de la cybersécurité stricto sensu mais de défaillances système — un signal que les critères de qualification comptent autant que les délais de déclaration.

Les organisations qui sous-traitent une partie de leur infrastructure gagneront aussi à revisiter leurs clauses contractuelles à la lumière de ces ajustements : notre guide Sous-traitant RGPD : définition, obligations et audit de conformité propose une méthodologie transposable à l'évaluation des prestataires TIC critiques. Notre veille sur le rapport annuel 2025 du Joint Committee EBA/EIOPA/ESMA donne par ailleurs une vision d'ensemble de la trajectoire DORA pour les mois à venir.

Ce que Leto pense de cette décision

Cette consultation confirme une tendance de fond : DORA continue d'être affiné texte réglementaire après texte réglementaire, près de deux ans après son entrée en application. Pour les équipes conformité déjà mobilisées sur le RGPD et NIS 2, ces ajustements successifs sont autant d'occasions de vérifier que leur référentiel de reporting reste aligné, plutôt que de multiplier les tableurs de suivi propres à chaque texte. Nous conseillons aux DPO et RSSI de traiter cette consultation non comme une formalité réservée aux équipes reporting, mais comme un signal à remonter en comité de conformité : le périmètre de DORA continue de se préciser, et il vaut mieux l'anticiper que le découvrir au moment de la première déclaration.

Sources : EBA E-mail alert, 24 juillet 2026