DORA expliqué

Calendrier

1. 16 janvier 2023

   Le règlement est entré en vigueur le vingtième jour suivant sa publication au Journal officiel le 27 décembre 2022 (art. 64).

2. 2 décembre 2024

   Le règlement d'exécution (UE) 2024/2956, qui fixe les modèles normalisés du registre d'informations, a été publié au Journal officiel (art. 28, par. 9).

3. 17 janvier 2025

   Le règlement est applicable (art. 64).

4. 2 juillet 2025

   Le règlement délégué (UE) 2025/532, relatif aux éléments qu'une entité financière doit déterminer et évaluer lorsqu'elle sous-traite des services TIC qui soutiennent des fonctions critiques ou importantes, a été publié au Journal officiel (art. 30, par. 5).

5. 18 novembre 2025

   Les autorités européennes de surveillance (ABE, AEAPP et AEMF) ont publié la première liste des prestataires tiers critiques de services TIC désignés (art. 31, par. 9).

Qui est concerné

DORA s'applique aux entités financières énumérées à l'article 2, paragraphe 1 : notamment les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les dépositaires centraux de titres, les contreparties centrales, les plateformes de négociation, les gestionnaires de fonds d'investissement alternatifs, les sociétés de gestion, les entreprises d'assurance et de réassurance, les intermédiaires d'assurance, les institutions de retraite professionnelle, les agences de notation de crédit, les prestataires de services de financement participatif et les référentiels centraux de titrisation (art. 2, par. 1, points a) à t)).

Il existe des exclusions, par exemple pour les institutions de retraite professionnelle comptant au total 15 membres au plus et pour les intermédiaires d'assurance qui sont des micro, petites ou moyennes entreprises (art. 2, par. 3). Les États membres peuvent exclure certaines autres entités (art. 2, par. 4). Les mesures s'appliquent de manière proportionnée, selon la nature, l'ampleur et la complexité des dépendances TIC et l'importance du service (art. 28, par. 1, point b)).

Les prestataires tiers de services TIC figurent aussi à l'article 2, paragraphe 1, point u), mais ne sont pas des entités financières au sens de l'article 2, paragraphe 2. Les obligations de gestion du risque lié aux tiers prestataires de services TIC (art. 28 à 30) incombent à l'entité financière, et un fournisseur les assume en pratique par le contrat. Seuls les prestataires désignés comme critiques relèvent d'un cadre de supervision direct (voir ci-dessous). Un service TIC est défini largement : des services numériques et de données fournis de manière continue aux utilisateurs par l'intermédiaire de systèmes TIC, y compris le matériel en tant que service (art. 3, point 21)).

Risque lié aux tiers TIC : registre, contrat et sortie

Une entité financière reste à tout moment pleinement responsable du respect du règlement, y compris lorsqu'elle recourt à des services TIC fournis par des tiers (art. 28, par. 1, point a)). Elle tient un registre d'informations sur tous les accords contractuels relatifs aux services TIC fournis par des tiers, au niveau de l'entité et, le cas échéant, aux niveaux sous-consolidé et consolidé. Les accords couvrant des fonctions critiques ou importantes y sont distingués des autres (art. 28, par. 3). L'entité rend compte à l'autorité compétente au moins une fois par an et met le registre à sa disposition sur demande. Les modèles normalisés figurent dans le règlement d'exécution (UE) 2024/2956.

Avant de conclure un contrat, l'entité évalue notamment si le service soutient une fonction critique ou importante, quels risques existent, si le prestataire est approprié et s'il y a des conflits d'intérêts (art. 28, par. 4). Elle examine aussi le risque de concentration : un prestataire difficilement substituable, ou plusieurs accords portant sur des fonctions critiques ou importantes avec le même prestataire ou des prestataires étroitement liés (art. 29, par. 1). En cas de sous-traitance, elle pèse les risques de chaînes longues ou complexes et de sous-traitants établis dans des pays tiers. Pour un prestataire établi dans un pays tiers, elle tient aussi compte du respect des règles de l'Union en matière de protection des données et de l'application effective du droit dans ce pays (art. 29, par. 2).

Pour les services TIC qui soutiennent des fonctions critiques ou importantes, l'entité doit disposer de stratégies de sortie. Elle doit pouvoir mettre fin à un accord sans perturber son activité, sans limiter le respect des exigences réglementaires et sans nuire à la continuité et à la qualité des services fournis aux clients. Les plans de sortie sont documentés, testés et réexaminés périodiquement. L'entité identifie des solutions alternatives et élabore des plans de transition pour transférer les services et les données de manière sûre et intégrale vers un autre prestataire ou les réintégrer en interne (art. 28, par. 8). Les contrats doivent pouvoir être résiliés notamment en cas de manquement grave, de faiblesses avérées dans la gestion du risque TIC du prestataire, ou lorsque l'autorité compétente ne peut plus exercer une surveillance effective de l'entité (art. 28, par. 7).

L'article 30 fixe le contenu minimal du contrat. Pour la sous-traitance, le règlement délégué (UE) 2025/532 précise notamment que le contrat indique quels services peuvent être sous-traités et à quelles conditions, que le prestataire reste responsable des services de ses sous-traitants, qu'il annonce à temps les modifications importantes avec un délai de préavis raisonnable pendant lequel l'entité peut approuver ou s'opposer, et que l'entité peut prévoir des droits de résiliation dans certains cas (art. 4 à 6 de ce règlement).

Supervision des prestataires TIC critiques

Les autorités européennes de surveillance (ABE, AEAPP et AEMF, ensemble les AES) désignent, par l'intermédiaire du comité mixte, les prestataires tiers critiques de services TIC (CTPP). Elles tiennent compte de l'impact systémique d'une défaillance à grande échelle, de l'importance systémique des entités financières qui recourent au prestataire, de la dépendance pour des fonctions critiques ou importantes et du degré de substituabilité (art. 31, par. 1 et 2). L'une des AES est nommée responsable de la supervision principale (Lead Overseer) pour chaque prestataire désigné (art. 31, par. 1, point b)).

Situation actuelle : le 18 novembre 2025, les AES ont publié la première liste des CTPP désignés, établie à partir des registres d'informations tenus par les entités financières. La liste figure sur le site des AES, par ordre alphabétique, et comprend notamment des fournisseurs de services cloud. L'article 31, paragraphe 9, prévoit une mise à jour annuelle de la liste. Consultez les AES pour la version à jour.

Un prestataire désigné informe ses clients de sa désignation, et la supervision commence au plus tard un mois après la notification (art. 31, par. 5). Le Lead Overseer évalue si le prestataire dispose de règles et de procédures solides pour gérer le risque TIC qu'il peut faire peser sur les entités financières, y compris la portabilité des données, la portabilité des applications et l'interopérabilité (art. 33, par. 2 et par. 3, point f)), et peut adresser des recommandations, notamment sur la sous-traitance (art. 35). Un prestataire établi dans un pays tiers doit créer une filiale dans l'Union dans les douze mois suivant la désignation, faute de quoi les entités financières ne peuvent pas utiliser ses services (art. 31, par. 12).

La désignation ne décharge pas l'entité financière de sa propre responsabilité (art. 28, par. 1, point a)). Savoir si un fournisseur figure sur la liste est toutefois un élément que vous pouvez intégrer à votre évaluation des risques et au registre.

Notification des incidents et lien avec NIS2

Une entité financière notifie les incidents majeurs liés aux TIC à l'autorité compétente : une notification initiale, un rapport intermédiaire et un rapport final (art. 19, par. 1 et 4). Un incident majeur est un incident lié aux TIC ayant une incidence négative élevée sur les systèmes qui soutiennent des fonctions critiques ou importantes (art. 3, point 10)). Les délais et le format découlent de normes techniques prises en application de l'article 20. Lorsque l'incident touche les intérêts financiers de clients, l'entité les en informe aussi (art. 19, par. 3). La notification peut être externalisée, mais l'entité en reste responsable (art. 19, par. 5). Pour vous, acheteur, cela signifie que le fournisseur doit aider : le contrat contient l'obligation d'assistance en cas d'incident, sans coût supplémentaire ou à un coût déterminé ex ante (art. 30, par. 2, point f)).

DORA constitue une lex specialis par rapport à NIS2, la directive (UE) 2022/2555 (considérant 16). Pour les entités financières identifiées comme entités essentielles ou importantes en vertu des règles nationales transposant NIS2, DORA est un acte juridique sectoriel de l'Union au sens de l'article 4 de cette directive (art. 1, par. 2). Les États membres peuvent prévoir que les notifications soient aussi transmises aux CSIRT (art. 19, par. 1). La supervision DORA des prestataires critiques s'entend sans préjudice de NIS2 et des autres règles de l'Union applicables aux fournisseurs de services d'informatique en nuage (art. 32, par. 8). Le CRA, lui, concerne les produits et leurs fabricants, tandis que DORA concerne l'utilisation de services TIC par les entités financières.

Que demander à un fournisseur

Utilisez les points ci-dessous dans les appels d'offres, les questionnaires et les négociations contractuelles. Ils découlent des articles 28 à 30 et du règlement délégué (UE) 2025/532. Ils ne sont pas exhaustifs ; pour une fonction critique ou importante, les exigences supplémentaires de l'article 30, paragraphe 3, s'appliquent.

• Description des services et sous-traitance : quelles fonctions et quels services le fournisseur assure-t-il, peut-il les sous-traiter et à quelles conditions ? Qui sont les sous-traitants qui soutiennent des fonctions critiques ou importantes (art. 30, par. 2, point a) ; règlement (UE) 2025/532, art. 4) ?
• Localisations : dans quelles régions ou quels pays les services sont-ils fournis et les données traitées et stockées, y compris par des sous-traitants, et le fournisseur prévient-il à l'avance d'un changement (art. 30, par. 2, point b)) ?
• Protection des données : qu'est-il convenu en matière de disponibilité, d'authenticité, d'intégrité et de confidentialité des données à caractère personnel et autres (art. 30, par. 2, point c)) ?
• Accès et restitution : comment récupérez-vous vos données dans un format facilement accessible en cas d'insolvabilité, de cessation d'activité ou de résiliation (art. 30, par. 2, point d)) ?
• Incidents : le fournisseur apporte-t-il son assistance sans coût supplémentaire ou à un coût déterminé ex ante, et coopère-t-il pleinement avec les autorités (art. 30, par. 2, points f) et g)) ?
• Résiliation : quels droits de résiliation et quels préavis minimaux s'appliquent, et pouvez-vous résilier dans les cas de l'article 28, paragraphe 7 (art. 30, par. 2, point h)) ?
• Fonctions critiques ou importantes : existe-t-il des niveaux de service avec des objectifs quantitatifs et qualitatifs précis, des obligations de notification des évolutions pouvant affecter la prestation, des plans de continuité testés et une participation obligatoire aux tests de pénétration fondés sur la menace (TLPT) (art. 30, par. 3, points a) à d)) ?
• Audit : disposez-vous, ainsi que l'autorité compétente, de droits illimités d'accès, d'inspection et d'audit, et le fournisseur y coopère-t-il (art. 30, par. 3, point e)) ?
• Sortie : existe-t-il une période de transition adéquate et obligatoire pendant laquelle le fournisseur continue d'assurer le service afin que vous puissiez migrer ou le reprendre en interne (art. 30, par. 3, point f)) ?
• Registre : le fournisseur peut-il fournir les données nécessaires aux modèles du règlement d'exécution (UE) 2024/2956, et figure-t-il sur la liste des prestataires critiques des AES ?
• Concentration : dans quelle mesure dépendez-vous de ce fournisseur ou de prestataires qui lui sont liés, et existe-t-il une alternative réaliste (art. 29, par. 1) ?

DORA, CLOUD Act et souveraineté numérique

DORA ne mentionne ni le CLOUD Act ni la souveraineté numérique. Elle demande en revanche de la visibilité sur la localisation et la dépendance : les contrats indiquent les régions ou pays où les services sont fournis et où les données sont traitées et stockées (art. 30, par. 2, point b)) ; pour un prestataire établi dans un pays tiers, l'entité pèse les règles de l'Union en matière de protection des données et l'application effective du droit dans ce pays (art. 29, par. 2) ; et pour la sous-traitance, le prestataire évalue les risques liés à la localisation des sous-traitants, de leur société mère et du lieu depuis lequel le service est fourni (règlement (UE) 2025/532, art. 4, par. 1, point d)). DORA envisage elle-même des prestataires de pays tiers et pose des conditions, comme une filiale dans l'Union pour les prestataires critiques (art. 31, par. 12).

Le CLOUD Act américain a ajouté la section 2713 au titre 18 du code des États-Unis (Pub. L. 115-141, div. V, 23 mars 2018). Elle prévoit qu'un fournisseur de services de communications électroniques ou de services informatiques à distance doit conserver, sauvegarder ou communiquer les communications et les enregistrements qui relèvent de sa possession, de sa garde ou de son contrôle, qu'ils soient situés à l'intérieur ou à l'extérieur des États-Unis. La disposition est donc rattachée au fournisseur et non au lieu de stockage. Le lieu de stockage prévu au contrat est ainsi une question, et le lieu d'établissement du fournisseur et de sa société mère en est une autre. Savoir si la disposition s'applique à un fournisseur donné et comment elle s'articule avec le droit de l'UE relève d'une analyse juridique que cette page ne fait pas.

Pour les cinq dimensions du score : JES montre où le fournisseur et sa société mère ultime sont établis, DRS porte sur la résidence des données, PLS sur le verrouillage et la portabilité, et SRS sur l'open source et l'auto-hébergement. Ces sujets rejoignent les points contractuels sur la localisation, la sortie et la reprise en interne. Le score n'est pas une évaluation de conformité : la conformité d'une entité financière à DORA dépend de son propre registre, de ses contrats, de ses tests et de son évaluation des risques.

Questions fréquentes

Sources

• Règlement (UE) 2022/2554, texte au Journal officiel (EUR-Lex)
• Règlement d'exécution (UE) 2024/2956 : modèles normalisés du registre d'informations (EUR-Lex)
• Règlement délégué (UE) 2025/532 : sous-traitance de services TIC (EUR-Lex)
• ABE, AEAPP et AEMF : communiqué sur la désignation des prestataires tiers critiques de services TIC (18 novembre 2025)
• AES : liste des prestataires tiers critiques de services TIC désignés
• 18 U.S.C. § 2713, ajouté par le CLOUD Act (GovInfo)