Le règlement est le même dans toute l'Union. Ce qui change d'un pays à l'autre, c'est l'autorité qui vous contrôle, le portail par lequel vous déposez, et la langue dans laquelle vous rédigez. Voici la version française.
La question qui revient le plus souvent n'est pas « que dit DORA », mais « à qui dois-je parler ». En France, la réponse ne dépend pas de l'article de DORA concerné : elle dépend du statut sous lequel vous êtes agréé.
| Type d'entité | Autorité compétente | Portail de dépôt |
|---|---|---|
| Établissements de crédit | ACPR (adossée à la Banque de France) | OneGate |
| Organismes d'assurance et de réassurance | ACPR | OneGate |
| Établissements de paiement et de monnaie électronique | ACPR | OneGate |
| Sociétés de gestion de portefeuille | AMF | GECO |
| Entreprises d'investissement, infrastructures de marché | AMF | GECO |
| Prestataires de services sur actifs numériques | AMF | GECO |
Un groupe qui abrite à la fois une banque et une société de gestion a donc deux interlocuteurs, deux portails et deux calendriers de dépôt. C'est le premier point à trancher avant d'organiser la remontée d'information, et c'est celui que les programmes groupe découvrent le plus tard.
Les établissements de crédit dits importants restent par ailleurs supervisés directement par la BCE dans le cadre du MSU. La conformité DORA y est examinée à travers le SREP, en plus du dialogue avec l'ACPR.
L'article 28(3) de DORA impose de tenir un registre d'information de tous les accords contractuels portant sur des services TIC fournis par des tiers, et de le transmettre à l'autorité compétente. Le format est fixé au niveau européen par le standard technique d'exécution (UE) 2024/2956 : quinze modèles liés entre eux, en xBRL-CSV.
Pour la France, l'échéance de transmission par l'entité est fixée au 31 mars 2026. Les autorités consolident ensuite et transmettent aux autorités européennes de surveillance pour le 30 avril 2026. Comme la date entité relève du calendrier national, confirmez-la auprès de votre autorité avant de caler votre plan de charge.
Deux erreurs coûtent cher au premier cycle et n'ont rien de français : agréger les contrats par prestataire au lieu d'une ligne par accord, et laisser vides les modèles de sous-traitance pour les grands fournisseurs cloud. Le contrôle croisé est automatisé côté superviseur.
Le détail des quinze modèles et du format est sur la page registre d'information.
Les délais de notification sont européens et ne varient pas d'un État membre à l'autre : notification initiale, rapport intermédiaire, rapport final. Ce qui est national, c'est le canal et la langue.
En France, le dépôt se fait par OneGate pour les entités supervisées par l'ACPR, et par GECO pour celles relevant de l'AMF. Le français est la langue de dépôt, l'anglais étant accepté en second rang selon les cas.
La recommandation opérationnelle qui compte tient en une phrase : testez le portail hors incident. Identifiez qui détient les accès, vérifiez qu'ils fonctionnent, faites un dépôt à blanc. Une équipe qui découvre le circuit d'authentification à la quatrième heure d'un incident majeur a déjà perdu l'essentiel de son délai. C'est le point sur lequel un exercice annuel a le meilleur rendement.
Les délais et les modèles sont détaillés sur la page notification des incidents TIC.
Les articles 26 et 27 de DORA imposent des tests de pénétration fondés sur la menace aux entités désignées par leur autorité compétente, selon leur taille, leur profil de risque et leur importance systémique. Toutes les entités ne sont pas concernées : la désignation est un acte de l'autorité, pas une auto-évaluation.
La France dispose de sa déclinaison nationale du cadre européen TIBER-EU, TIBER-FR, pilotée côté Banque de France et ACPR. Une entité qui conduisait déjà des exercices TIBER-FR retrouve l'essentiel de la méthode : équipe rouge, équipe blanche, renseignement sur la menace, attestation de l'autorité. Les écarts portent sur la coordination avec l'autorité et sur le contenu du dossier de restitution.
Le cadre complet, les rôles et le déroulé d'un test sont sur la page TLPT, en anglais.
DORA est un règlement. Il s'applique directement, sans loi de transposition, depuis le 17 janvier 2025. C'est la différence de nature avec NIS2, qui est une directive et passe par le droit national de chaque État membre.
Pour une entité financière française, trois conséquences pratiques :
Les obligations françaises antérieures en matière de sécurité des systèmes d'information, portées notamment par l'ANSSI pour les opérateurs concernés, continuent de suivre leur propre régime. Elles ne sont ni absorbées ni annulées par DORA.
C'est le point sur lequel circulent le plus d'affirmations fausses, y compris dans la presse spécialisée.
DORA ne fixe aucun plafond européen d'amende pour les entités financières. L'article 50 demande à chaque État membre de donner à ses autorités compétentes le pouvoir de prononcer des sanctions administratives et des mesures correctrices, et laisse le montant au droit national. En France, le pouvoir de sanction relève des commissions des sanctions de l'ACPR et de l'AMF, selon l'autorité dont vous dépendez.
Le seul pourcentage de chiffre d'affaires que le règlement mentionne concerne les prestataires tiers critiques désignés, pas les entités financières. Le pourcentage souvent attribué à DORA appartient en réalité à NIS2.
Le régime complet, avec les articles et les citations, est détaillé sur la page qu'est-ce que DORA.
Construire votre registre d'information →
Oui, si elle est agréée dans l'Union. DORA vise les établissements de crédit de toute taille, des établissements supervisés directement par la BCE aux établissements moins importants suivis par l'ACPR. La proportionnalité joue sur la profondeur des contrôles, pas sur le périmètre : être petit ne fait pas sortir du champ.
Cela dépend de votre statut d'agrément, pas de l'article de DORA concerné. Banques, assureurs et établissements de paiement relèvent de l'ACPR. Sociétés de gestion, entreprises d'investissement et prestataires sur actifs numériques relèvent de l'AMF. Un groupe mixte a donc deux interlocuteurs et deux portails.
Sur OneGate si vous relevez de l'ACPR, sur GECO si vous relevez de l'AMF. Le format est européen et identique dans les deux cas : xBRL-CSV, quinze modèles, selon le standard technique (UE) 2024/2956. C'est le canal qui est national, pas le contenu.
Le français est la langue de dépôt en France, l'anglais étant accepté en second rang selon les cas. Le point à préparer n'est pas la langue mais l'accès : identifiez les détenteurs des identifiants du portail et faites un dépôt à blanc avant d'en avoir besoin.
Non, pas pour tout le monde. Les tests fondés sur la menace des articles 26 et 27 visent les entités désignées par l'autorité compétente selon leur taille, leur profil de risque et leur importance systémique. TIBER-FR est la déclinaison française du cadre européen TIBER-EU, utilisée par les entités concernées.
Non. DORA s'ajoute à l'existant et en réutilise largement les preuves. Votre cartographie des risques, vos plans de continuité, vos comités et vos pistes d'audit restent le socle. Le travail consiste à combler les écarts propres à DORA, pas à repartir d'une page blanche.
Cette page est une aide professionnelle, pas un conseil juridique. · Version anglaise