L'acte, formellement
Pour citer DORA dans une politique interne, une note au conseil ou un contrat, voici les références qui comptent. Le lien ELI est le lien stable : il ne casse pas quand EUR-Lex change d'interface.
- Nom court : DORA
- Citation formelle : Regulation (EU) 2022/2554
- Journal officiel : OJ L 333, 27.12.2022, p. 1
- Numéro CELEX : 32022R2554
- Entrée en vigueur : 16 janvier 2023
- Applicable depuis : 17 janvier 2025
- Structure : 9 chapitres, 64 articles, 106 considérants, aucune annexe
- Forme juridique : Règlement, directement applicable, sans transposition nationale
Obtenir le texte officiel
Les deux liens ci-dessous mènent à EUR-Lex, le service de publication du Journal officiel. La version HTML porte des ancres stables, de sorte que chaque numéro d'article de l'index ouvre directement le bon endroit. Le PDF est la composition du Journal officiel, donc la version à joindre à une note au conseil ou à un dossier d'audit.
Lire le texte intégral sur EUR-Lex · Télécharger le PDF (français)
Cette page n'héberge pas de copie. Un règlement est modifié, rectifié et consolidé ; un PDF posé sur un site tiers est un instantané qui se périme en silence, et qui le cite dans un dossier prudentiel hérite de ce risque. EUR-Lex publie le texte authentique.
Les 64 articles, chapitre par chapitre
Les intitulés sont les intitulés officiels. Chaque numéro d'article ouvre la version française du texte sur EUR-Lex. Lorsqu'un article porte un mandat que la Commission a rempli par un acte délégué ou d'exécution, le numéro de cet acte est indiqué à la suite.
Chapitre I · Dispositions générales
Chapitre II · Gestion du risque lié aux TIC
- Art. 5 · Gouvernance et organisation
- Art. 6 · Cadre de gestion du risque lié aux TIC
- Art. 7 · Systèmes, protocoles et outils de TIC
- Art. 8 · Identification
- Art. 9 · Protection et prévention
- Art. 10 · Détection
- Art. 11 · Réponse et rétablissement
- Art. 12 · Politiques et procédures de sauvegarde, procédures et méthodes de restauration et de rétablissement
- Art. 13 · Apprentissage et évolution
- Art. 14 · Communication
- Art. 15 · Harmonisation accrue des outils, méthodes, processus et politiques de gestion du risque lié aux TIC (Acte juridique 2024/1774)
- Art. 16 · Cadre simplifié de gestion du risque lié aux TIC
Chapitre III · Gestion, classification et notification des incidents liés aux TIC
- Art. 17 · Processus de gestion des incidents liés aux TIC
- Art. 18 · Classification des incidents liés aux TIC et des cybermenaces (Acte juridique 2024/1772)
- Art. 19 · Déclaration des incidents majeurs liés aux TIC et notification volontaire des cybermenaces importantes
- Art. 20 · Harmonisation du contenu et des modèles des rapports de notification (Acte juridique 2025/301, 2025/302)
- Art. 21 · Centralisation des notifications d’incidents majeurs liés aux TIC
- Art. 22 · Retour d’information en matière de surveillance
- Art. 23 · Incidents opérationnels ou de sécurité liés au paiement concernant les établissements de crédit, les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique
Chapitre IV · Tests de résilience opérationnelle numérique
- Art. 24 · Exigences générales applicables à la réalisation de tests de résilience opérationnelle numérique
- Art. 25 · Test des outils et systèmes de TIC
- Art. 26 · Tests avancés d’outils, de systèmes et de processus de TIC sur la base de tests de pénétration fondés sur la menace (Acte juridique 2025/1190)
- Art. 27 · Exigences applicables aux testeurs afin de réaliser des tests de pénétration fondés sur la menace
Chapitre V · Gestion des risques liés aux prestataires tiers de services TIC
- Art. 28 · Principes généraux (Acte juridique 2024/1773, 2024/2956)
- Art. 29 · Évaluation préliminaire du risque de concentration de TIC au niveau de l’entité
- Art. 30 · Principales dispositions contractuelles (Acte juridique 2025/532)
- Art. 31 · Désignation de prestataires tiers critiques de services TIC (Acte juridique 2024/1502)
- Art. 32 · Structure du cadre de supervision
- Art. 33 · Tâches du superviseur principal
- Art. 34 · Coordination opérationnelle entre superviseurs principaux
- Art. 35 · Pouvoirs du superviseur principal
- Art. 36 · Exercice des pouvoirs du superviseur principal en dehors de l’Union
- Art. 37 · Demande d’informations
- Art. 38 · Enquêtes générales
- Art. 39 · Inspections
- Art. 40 · Supervision continue
- Art. 41 · Harmonisation des conditions permettant l’exercice des activités de supervision (Acte juridique 2025/295, 2025/420)
- Art. 42 · Suivi par les autorités compétentes
- Art. 43 · Redevances de supervision (Acte juridique 2024/1505)
- Art. 44 · Coopération internationale
Chapitre VI · Dispositifs de partage d’informations
- Art. 45 · Dispositifs de partage d’informations et de renseignements sur les cybermenaces
Chapitre VII · Autorités compétentes
- Art. 46 · Autorités compétentes
- Art. 47 · Coopération avec les structures et autorités établies par la directive (UE) 2022/2555
- Art. 48 · Coopération entre autorités
- Art. 49 · Exercices, communication et coopération entre secteurs financiers
- Art. 50 · Sanctions administratives et mesures correctives
- Art. 51 · Exercice du pouvoir d’imposer des sanctions administratives et des mesures correctives
- Art. 52 · Sanctions pénales
- Art. 53 · Obligations de notification
- Art. 54 · Application de sanctions administratives
- Art. 55 · Secret professionnel
- Art. 56 · Protection des données
Chapitre VIII · Actes délégués
- Art. 57 · Exercice de la délégation
Chapitre IX · Dispositions transitoires et finales
- Art. 58 · Clause de réexamen
- Art. 59 · Modifications du règlement (CE) n o 1060/2009
- Art. 60 · Modifications du règlement (UE) n o 648/2012
- Art. 61 · Modifications du règlement (UE) n o 909/2014
- Art. 62 · Modifications du règlement (UE) n o 600/2014
- Art. 63 · Modification du règlement (UE) 2016/1011
- Art. 64 · Entrée en vigueur et application
Les actes délégués et d'exécution
DORA fixe les obligations ; le détail vit dans les actes de niveau 2 que la Commission adopte sur les mandats inscrits dans les articles. Tous sont adoptés. La colonne qui compte en pratique est celle du mandat : elle dit quel article vous respectez réellement quand vous mettez en œuvre une norme technique.
Les dates réellement inscrites dans le texte
Trois dates viennent du règlement lui-même. Tout le reste de ce qui circule comme « échéance DORA » vient d'un acte de niveau 2, du calendrier d'une autorité compétente, ou de nulle part.
- Entrée en vigueur : 16 janvier 2023 (Art. 64)
- Applicable depuis : 17 janvier 2025 (Art. 64)
- 17/01/2028 : Art. 58
Le 17 janvier 2028 est une clause de réexamen, pas une échéance de conformité. L'article 58 oblige la Commission à procéder à un réexamen et à faire rapport au Parlement européen et au Conseil. Il ne déplace aucune obligation pour une entité financière.
Ce que DORA exige en pratique →
Questions fréquentes
Où télécharger le règlement DORA en PDF ?
Sur EUR-Lex, qui publie la composition du Journal officiel pour chacune des 24 langues officielles. La version française se trouve à eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32022R2554, et le point d'entrée stable pour toute langue est l'adresse ELI eur-lex.europa.eu/eli/reg/2022/2554/oj. Évitez les copies hébergées ailleurs : un règlement est consolidé dans le temps, et un instantané se périme sans le dire.
DORA est-il un règlement ou une directive ?
Un règlement. L'article 64 énonce qu'il est obligatoire dans tous ses éléments et directement applicable dans tout État membre : il n'y a donc pas de loi de transposition à chercher. Le droit national n'intervient qu'à un endroit, les sanctions administratives, que l'article 50 confie aux États membres.
Combien d'articles compte DORA ?
64 articles en neuf chapitres, précédés de 106 considérants, sans annexe. Le chapitre II traite la gestion du risque lié aux TIC (articles 5 à 16), le chapitre III la gestion et la notification des incidents (17 à 23), le chapitre IV les tests de résilience opérationnelle numérique (24 à 27), le chapitre V le risque lié aux prestataires tiers de services TIC et le cadre de supervision (28 à 44), et le chapitre VI le partage d'informations (45).
Quelle version linguistique fait foi ?
Les 24 versions linguistiques font foi au même titre ; aucune n'est juridiquement la traduction d'une autre. En pratique, utilisez la version de votre langue de travail pour la documentation interne et les contrats, puisque les autorités compétentes emploient cette terminologie, et recoupez l'anglais là où un terme porte des conséquences.
Cette page est une aide professionnelle, pas un conseil juridique. · Version anglaise