Les obligations concrètes de DORA sont précisées par des normes techniques de réglementation (RTS) et d'exécution (ITS). Voici les principales, avec leurs références officielles et ce qu'elles imposent.
DORA fixe les grands principes ; ce sont les normes techniques qui en précisent l'application opérationnelle. Deux catégories existent :
Élaborées par les autorités européennes de surveillance (EBA, ESMA, EIOPA), elles sont adoptées par la Commission européenne sous forme de règlements délégués ou d'exécution. Pour le contexte général, voir notre page sur DORA.
Le règlement délégué (UE) 2024/1774 précise les exigences du cadre de gestion du risque lié aux TIC. Il détaille notamment :
Il inclut aussi le cadre simplifié applicable à certaines entités au titre de la proportionnalité.
Le règlement délégué (UE) 2024/1772 fixe les critères permettant de déterminer si un incident lié aux TIC est majeur et doit être déclaré. Il définit notamment sept critères de classification : nombre de clients et de contreparties touchés, durée et indisponibilité du service, étendue géographique, pertes de données, criticité des services affectés et impact économique.
Ce RTS précise également les seuils de matérialité. Pour la mise en pratique, consultez notre page notification des incidents.
Les normes techniques associées au règlement (UE) 2025/301 harmonisent le contenu et les modèles de notification des incidents majeurs liés aux TIC. Elles précisent :
Ces modèles assurent une déclaration uniforme à travers l'Union.
Le règlement d'exécution (UE) 2024/2956 définit les modèles standards du registre d'information que chaque entité doit tenir sur ses accords contractuels avec les prestataires tiers de TIC. Il comprend 15 modèles interconnectés, un format xBRL-CSV et des vocabulaires contrôlés (codes LEI, codes pays et devise ISO).
Ce registre est central pour la surveillance et la désignation des prestataires critiques. Découvrez tous les détails sur notre page dédiée au registre d'information.
Plusieurs normes encadrent le risque lié aux prestataires tiers de TIC. Le RTS sur la sous-traitance des services TIC critiques ou importants précise les éléments que les entités doivent évaluer et inclure dans leurs contrats lorsqu'un prestataire recourt à des sous-traitants en chaîne.
D'autres normes encadrent les politiques relatives aux services TIC soutenant des fonctions critiques et le cadre de surveillance des prestataires tiers critiques (PSTIC), incluant les frais de surveillance et les informations à fournir.
Un RTS spécifique encadre les tests de pénétration fondés sur la menace (TLPT), alignés sur le cadre TIBER-EU. Il précise :
Les TLPT s'appliquent aux entités financières les plus significatives, au moins tous les trois ans.
Constituer votre registre d'information →
Un RTS (norme technique de réglementation) précise le contenu et les méthodes d'une obligation. Un ITS (norme technique d'exécution) définit des formats, modèles et procédures uniformes. Les deux complètent DORA et sont juridiquement contraignants.
Le règlement délégué (UE) 2024/1772 fixe les critères de classification des incidents liés aux TIC. Il définit sept critères, comme le nombre de clients touchés, la durée, l'étendue géographique, les pertes de données et l'impact économique, ainsi que les seuils de matérialité.
L'ITS (UE) 2024/2956 impose le format xBRL-CSV, structuré autour de 15 modèles interconnectés, avec des vocabulaires contrôlés tels que les codes LEI et les codes ISO de pays et de devise.
Non. Les tests de pénétration fondés sur la menace (TLPT) concernent uniquement les entités financières les plus significatives, identifiées par les autorités compétentes selon des critères de risque. Elles doivent en principe réaliser un TLPT au moins tous les trois ans.
Les normes techniques sont publiées au Journal officiel de l'Union européenne sous forme de règlements délégués (RTS) ou d'exécution (ITS) et restent consultables sur EUR-Lex. Les autorités européennes de surveillance publient également les projets et rapports finaux.
Cette page est une aide professionnelle, pas un conseil juridique. · Version anglaise