DORA : l'EBA consulte sur la version 4.4 de son cadre de reporting technique

L'Autorité bancaire européenne (EBA) a ouvert une consultation sur la version 4.4 de son cadre technique de reporting et de disclosure DORA. Concrètement : les établissements financiers et leurs prestataires TIC vont devoir se pencher, une fois de plus, sur leurs obligations de déclaration réglementaire — et les DPO qui pilotent des flux de données personnelles dans ces circuits ont tout intérêt à suivre le dossier de près.

Ce qui s'est passé

Dans son alerte du 24 juillet 2026, l'EBA sollicite des retours de la part des acteurs concernés sur la version 4.4 du package technique qui encadre le reporting et le disclosure au titre du Digital Operational Resilience Act (DORA). Deux Q&A techniques accompagnent cette mise à jour — DORA272 et DORA282 — et apportent des clarifications sur le champ d'application du texte ainsi que sur la nature exacte des obligations de reporting imposées aux entités financières.

Ce n'est pas la première itération. Depuis l'entrée en application de DORA en janvier 2025, les autorités de surveillance européennes (EBA, ESMA, EIOPA, réunies au sein du Joint Committee) ajustent régulièrement le cadre technique à mesure que remontent les premiers retours d'expérience sur les incidents ICT majeurs. Ce cycle d'ajustement continu explique pourquoi le texte de DORA continue d'évoluer près de dix-huit mois après son entrée en vigueur, et pourquoi les superviseurs européens en font l'un des axes prioritaires de leur rapport annuel.

Pourquoi c'est important

DORA impose aux entités financières — banques, assurances, sociétés de gestion — mais aussi à leurs prestataires TIC critiques (cloud, hébergement, SaaS), un cadre de résilience opérationnelle numérique unifié : gestion des risques ICT, notification des incidents majeurs, tests de résilience, surveillance de la chaîne de sous-traitance. Le règlement coexiste avec le RGPD et NIS 2, ce qui crée un chevauchement d'obligations que beaucoup d'organisations peinent encore à démêler : un même incident de sécurité peut déclencher à la fois une notification DORA auprès de l'autorité compétente et une notification de violation de données personnelles auprès de la CNIL, avec des délais et des destinataires qui ne sont pas identiques.

Les précisions apportées par les Q&A DORA272 et DORA282 ne sont donc pas un détail réservé aux juristes bancaires. Elles redéfinissent le périmètre exact de ce qui doit être déclaré, à qui, et selon quel format technique — des paramètres qui déterminent directement quelles données, parfois personnelles lorsqu'elles concernent des collaborateurs ou des clients impliqués dans un incident, transitent vers les régulateurs.

Ce que ça change pour les organisations

Pour les DPO et RSSI d'établissements financiers, ou de leurs prestataires, trois réflexes s'imposent dès maintenant :

Suivre la consultation. Les retours attendus par l'EBA sur cette version 4.4 sont l'occasion de faire remonter les difficultés opérationnelles constatées lors des premiers cycles de reporting, avant que le format technique ne soit figé pour les prochains trimestres.

Vérifier l'articulation avec les process RGPD existants. Si vos procédures de notification d'incident ont été pensées uniquement pour le RGPD, c'est le moment de vérifier qu'elles couvrent aussi les délais et les destinataires propres à DORA, faute de quoi un même incident pourrait être mal qualifié en interne.

Cartographier les sous-traitants TIC critiques. Les clarifications de périmètre issues des Q&A rappellent que la chaîne de sous-traitance reste un point d'attention constant — y compris pour des organisations qui ne sont pas elles-mêmes des entités financières mais leur fournissent des services numériques, et qui peuvent à ce titre entrer dans le périmètre de surveillance de leurs clients régulés.

Ce que Leto pense de cette décision

Cette consultation illustre un phénomène qu'on observe sur tous les textes numériques européens récents : le règlement voté n'est que le point de départ, la vraie complexité opérationnelle se joue dans les strates successives de standards techniques, de Q&A et de guidelines qui viennent, mois après mois, préciser ce qu'il faut réellement faire sur le terrain. Pour une PME ou une ETI sans équipe juridique dédiée, suivre ces mises à jour en continu à la main est illusoire. C'est précisément ce que doit permettre l'application de veille RGPD, cyber et IA de Leto, qui centralise ce type d'alerte réglementaire au fil de l'eau plutôt que de laisser chaque DPO reconstituer le puzzle seul.

Sources : EBA — E-mail alert, 24 juillet 2026