DORA 2026 : Impact sur le Secteur Financier Francais

Le DORA 2026 impact secteur financier France constitue l'un des défis réglementaires les plus significatifs depuis l'entrée en vigueur du RGPD en 2018. Le règlement européen 2022/2554 sur la résilience opérationnelle numérique du secteur financier — Digital Operational Resilience Act — est entré en application le 17 janvier 2025 après une période de transition de deux ans suivant sa publication au Journal officiel de l'UE en décembre 2022. Contrairement à une directive qui nécessite une transposition nationale, DORA est un règlement directement applicable dans tous les États membres, sans passer par le filtre des législations nationales. En France, l'ACPR (Autorité de contrôle prudentiel et de résolution) et l'AMF (Autorité des marchés financiers) se partagent le rôle de superviseurs principaux, selon la nature des entités concernées. Au premier semestre 2026, le paysage de la conformité DORA dans le secteur financier français révèle une adoption inégale : les grandes banques systémiques ont massivement investi dans leurs programmes DORA, tandis que les FinTech, les gestionnaires de fonds de taille moyenne et les acteurs de l'assurance peinent à absorber la charge réglementaire dans un contexte de compression des marges. Ce guide expert analyse les 5 piliers de DORA, les entités concernées, les délais et sanctions, et fournit des recommandations concrètes pour accélérer la mise en conformité.

DORA : contexte réglementaire et champ d'application

Le règlement DORA répond à un constat sans appel dressé par les régulateurs européens : le secteur financier est exposé à des cyber-risques systémiques croissants, et les cadres réglementaires existants — RGPD, directive NIS, directives sectorielles bancaires et assurantielles — ne suffisent plus à garantir la résilience opérationnelle numérique de l'ensemble de la chaîne de valeur financière. Les cyberattaques contre des institutions financières ont augmenté de 300 % entre 2020 et 2024 selon l'ENISA (Agence européenne pour la cybersécurité), avec des incidents majeurs touchant des infrastructures de marché critiques en Europe.

DORA comble ce vide en imposant un cadre commun, contraignant et harmonisé à l'ensemble du secteur financier de l'UE. Sa force réside dans son caractère de règlement (et non de directive) : il s'applique directement et uniformément dans les 27 États membres sans nécessiter de transposition, éliminant ainsi les divergences d'interprétation nationales qui affaiblissaient les régimes précédents. Il couvre un périmètre très large d'entités — environ 22 000 entités financières en Europe, dont environ 3 500 en France — et, fait notable, s'étend aux prestataires de services TIC tiers fournissant des services critiques au secteur financier (cloud providers, éditeurs de logiciels core banking, fournisseurs de services de messagerie financière).

Le texte fondateur est complété par un corpus de standards techniques publiés par les trois Autorités européennes de surveillance : l'EBA (Autorité bancaire européenne), l'ESMA (Autorité européenne des marchés financiers) et l'EIOPA (Autorité européenne des assurances et des pensions professionnelles). Ces RTS (Regulatory Technical Standards) et ITS (Implementing Technical Standards) précisent les exigences opérationnelles détaillées secteur par secteur. Pour comprendre les articulations avec d'autres réglementations européennes de cybersécurité, notre guide sur la directive NIS 2 est complémentaire.

Les 5 piliers fondamentaux de DORA expliqués

L'architecture de DORA repose sur cinq piliers interdépendants qui couvrent l'ensemble du cycle de vie de la résilience opérationnelle numérique d'une entité financière.

Pilier 1 — Gestion des risques ICT (ICT Risk Management Framework) : toute entité financière soumise à DORA doit disposer d'un cadre de gestion des risques ICT (Information and Communication Technology) documenté, approuvé par l'organe de direction et révisé au moins annuellement. Ce cadre doit couvrir l'identification et la classification des actifs TIC critiques, l'évaluation continue des risques, la définition des appétits au risque, les mesures de protection et de prévention, et les procédures de détection des anomalies. L'implication personnelle des dirigeants est une exigence explicite : les membres du conseil d'administration et de la direction générale sont tenus de recevoir une formation régulière sur les risques ICT et sont responsables de la validation de la stratégie de résilience.

Pilier 2 — Gestion et notification des incidents ICT : DORA impose un processus structuré de détection, classification, gestion et notification des incidents ICT. La classification distingue les incidents "majeurs" — dont l'impact dépasse des seuils définis en termes de clients affectés, de pertes financières ou de durée d'indisponibilité — des incidents "non majeurs". Pour les incidents majeurs, les délais de notification sont stricts : alerte initiale sous 4 heures (dans certains cas 24 heures selon le type d'entité), rapport intermédiaire sous 72 heures et rapport final sous 1 mois. Ces notifications sont adressées aux autorités compétentes (ACPR ou AMF selon l'entité) qui peuvent à leur tour informer d'autres autorités européennes si l'incident a un caractère transfrontalier.

Pilier 3 — Tests de résilience opérationnelle numérique (TLPT) : les entités significatives doivent réaliser des TLPT (Threat-Led Penetration Testing) au moins tous les 3 ans. Ces tests de pénétration pilotés par la menace vont bien au-delà des tests d'intrusion traditionnels : ils simulent des attaques sophistiquées ciblées, basées sur des renseignements réels sur les menaces (cyber threat intelligence), et couvrent l'ensemble de la chaîne de valeur technologique de l'entité, y compris ses prestataires TIC critiques. Le cadre européen TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) sert de référence pour la conduite de ces tests. Les résultats sont communiqués aux autorités de supervision et les corrections sont obligatoires dans des délais définis.

Pilier 4 — Gestion du risque TIC lié aux tiers : c'est probablement le pilier le plus novateur et le plus exigeant de DORA. Les entités financières doivent maintenir un registre complet de tous leurs contrats TIC, avec un inventaire des prestataires et une classification selon leur criticité. Pour les prestataires tiers critiques (Critical Third-Party Providers — CTPP), DORA prévoit un régime de surveillance directe par les autorités européennes de surveillance (EBA, ESMA, EIOPA), avec des pouvoirs d'audit et d'inspection directe sur ces prestataires. Les contrats avec les prestataires TIC doivent inclure des clauses contractuelles minimales définies par les RTS : niveaux de service garantis, droits d'audit, obligations de notification des incidents, clauses de sortie. Notre analyse sur la cyber-assurance en 2026 aborde les implications assurantielles de ces exigences de gestion des tiers.

Pilier 5 — Partage d'informations sur les cybermenaces : DORA encourage et structure le partage volontaire d'informations sur les menaces, vulnérabilités et tactiques cybercriminelles entre entités financières, dans le cadre de dispositifs de partage d'information (information sharing arrangements). Ce pilier est le seul à caractère non strictement obligatoire, mais les autorités européennes ont clairement signalé que la participation active à ces dispositifs sera prise en compte favorablement lors des contrôles.

Quelles entités financières sont concernées par DORA en France ?

DORA couvre un périmètre très large du secteur financier. En France, les entités concernées comprennent notamment :

• Établissements de crédit (banques commerciales, banques mutualistes, banques en ligne)
• Entreprises d'investissement (sociétés de gestion, courtiers, dealers)
• Établissements de paiement et de monnaie électronique
• Compagnies d'assurance et de réassurance
• Sociétés de gestion de fonds d'investissement alternatifs (FIA) et OPCVM
• Contreparties centrales (CCP) et dépositaires centraux de titres (CSD)
• Plateformes de négociation (marchés réglementés, MTF, OTF)
• Référentiels centraux et référentiels de titrisation
• Prestataires de services sur crypto-actifs agréés sous MiCA
• Émetteurs de jetons de monnaie électronique
• Agences de notation de crédit
• Auditeurs légaux des comptes des entités financières d'importance systémique

Les FinTech françaises — de plus en plus nombreuses depuis l'essor de la French Tech financière — sont particulièrement concernées. Dès lors qu'elles détiennent un agrément d'établissement de paiement, de monnaie électronique ou de prestataire de services sur crypto-actifs, elles tombent sous le champ d'application de DORA, quels que soient leur taille et leur chiffre d'affaires. Pour approfondir les liens avec la conformité ISO 27001, notre guide sur le développement sécurisé et ISO 27001 offre des synergies utiles.

Tableau : entités concernées par taille et obligations différenciées

ACPR et AMF : comment la supervision DORA est-elle organisée en France ?

En France, la supervision DORA est organisée selon les compétences existantes des deux autorités de supervision financière. L'ACPR (Autorité de contrôle prudentiel et de résolution), adossée à la Banque de France, supervise les banques, les établissements de paiement, les compagnies d'assurance et les organismes de retraite professionnelle supplémentaire. Son pôle cyber, renforcé depuis l'entrée en vigueur de DORA, dispose de compétences techniques spécialisées pour évaluer la conformité des systèmes TIC bancaires et assurantiels. Le site cyber de l'ACPR publie régulièrement des résultats d'enquêtes thématiques et des recommandations pratiques.

L'AMF (Autorité des marchés financiers) supervise pour sa part les sociétés de gestion, les plateformes de négociation, les prestataires de services sur crypto-actifs et les autres acteurs du marché des capitaux. Sa direction des systèmes d'information de marché a été impliquée dès la phase de consultation de DORA et a développé des outils d'auto-évaluation mis à disposition des acteurs supervisés. Le dossier thématique DORA de l'AMF centralise les textes réglementaires, les Q&A et les guides pratiques.

Au niveau européen, pour les prestataires TIC tiers qualifiés de critiques (CTPP) — typiquement les grands cloud providers comme Microsoft Azure, AWS, Google Cloud, et certains fournisseurs de services financiers spécialisés —, la supervision directe est exercée conjointement par l'EBA, l'ESMA et l'EIOPA selon un mécanisme de "chef de file" désigné. Cette supervision directe des CTPP par les autorités européennes est une innovation réglementaire majeure de DORA, qui reconnaît implicitement que le risque de concentration chez quelques prestataires cloud constitue une menace systémique pour la stabilité financière européenne.

Le registre des contrats TIC : obligation centrale de DORA

L'une des exigences les plus structurantes de DORA concerne la tenue d'un registre complet et à jour de tous les arrangements contractuels passés avec des prestataires TIC tiers. Ce registre doit être communiqué aux autorités compétentes sur demande et faire l'objet d'un rapport annuel agrégé à l'échelle européenne (via l'EBA pour le secteur bancaire).

Pour chaque prestataire, le registre doit documenter : la nature des services ICT fournis, la criticité des fonctions supportées, le niveau de dépendance (concentration risk), les dispositions contractuelles de continuité et de sortie, et les résultats des évaluations de risques annuelles. Les entités financières doivent classer leurs prestataires ICT selon leur criticité et appliquer une due diligence renforcée aux prestataires critiques, incluant des questionnaires de sécurité détaillés, des audits contractuels et des clauses de résiliation permettant une sortie dans des délais raisonnables en cas d'incident grave.

La gestion du risque de concentration est une préoccupation centrale de DORA : une entité financière ne devrait pas être totalement dépendante d'un seul prestataire cloud ou logiciel pour ses fonctions critiques. Les autorités de supervision examinent attentivement ce risque de concentration lors des revues annuelles de conformité. La constitution du registre représente souvent plusieurs mois de travail d'inventaire et de qualification pour les grandes entités financières, dont les parcs applicatifs peuvent compter plusieurs centaines de prestataires TIC. Notre analyse sur le règlement IA 2026 aborde les implications spécifiques pour les entités financières utilisant des systèmes d'IA dans leurs opérations.

TLPT : les tests de résilience approfondis en pratique

Les TLPT (Threat-Led Penetration Testing) constituent l'aspect le plus technique et le plus exigeant de DORA pour les entités financières significatives. Contrairement aux tests de pénétration classiques qui vérifient la résistance des défenses contre des vecteurs d'attaque connus, les TLPT simulent des campagnes d'attaque sophistiquées, ciblées et réalistes basées sur des renseignements actualisés sur les menaces pesant spécifiquement sur l'entité testée et son secteur.

Un TLPT se déroule en trois phases. La phase de renseignement sur les menaces (Threat Intelligence — TI) mobilise une équipe spécialisée pour analyser les campagnes d'attaque récentes contre le secteur financier, identifier les groupes APT (Advanced Persistent Threat) actifs et les TTP (Tactics, Techniques and Procedures) utilisées. La phase de tests (Red Team) conduit ensuite une simulation d'attaque réaliste sur les systèmes de production réels de l'entité, dans un cadre contrôlé et confidentiel. La phase de clôture documente les lacunes identifiées et établit un plan de remédiation obligatoire.

Les TLPT doivent être réalisés par des prestataires externes qualifiés, selon des critères définis par les autorités de supervision. En France, l'ACPR et l'AMF ont publié leurs exigences de qualification pour les prestataires TLPT, en cohérence avec le cadre TIBER-EU. Le coût d'un TLPT varie entre 150 000 et 500 000 euros selon la taille et la complexité du périmètre testé, ce qui représente un poste de dépense non négligeable pour les entités concernées. Pour les entités qui ont déjà adopté un cadre ISO 27001, la transition vers les TLPT DORA est facilitée par l'existence d'une cartographie des actifs et d'une gestion des risques structurée, comme l'explique notre guide sur la transition ISO 27001:2022.

Coûts de conformité DORA : ce que révèlent les données du marché

Les coûts de mise en conformité DORA varient considérablement selon la taille, la complexité technologique et le niveau de maturité de départ de chaque entité. Les premières enquêtes menées par l'EBA et les cabinets spécialisés au premier semestre 2026 convergent vers les fourchettes suivantes :

• Banques systémiques (BNP Paribas, Société Générale, Crédit Agricole, BPCE) : les investissements DORA s'intègrent dans des programmes de transformation cyber déjà en cours, représentant une surcouche de 20 à 30 millions d'euros sur 3 ans, principalement en mise à niveau du cadre de gestion des risques ICT, en constitutiondu registre TIC et en TLPT.
• Banques régionales et mutualistes de taille moyenne : 500 000 à 2 millions d'euros sur 2 ans, avec un effort concentré sur la documentation du cadre ICT, le déploiement de capacités de détection et de notification des incidents, et la revue des contrats TIC.
• Compagnies d'assurance de taille significative : 1 à 3 millions d'euros, avec un accent particulier sur la gestion du risque tiers (nombreux prestataires de services informatiques legacy) et la mise en place des TLPT.
• FinTech et établissements de paiement de taille intermédiaire : 100 000 à 500 000 euros, avec des défis spécifiques liés à l'architecture cloud-native et à la gestion des API critiques.

Ces coûts se répartissent typiquement entre 40 % pour les ressources humaines (recrutements, formations, conseil externe), 35 % pour les outils technologiques (SIEM, GRC, outils de gestion du registre TIC) et 25 % pour les services de tests et d'audit (TLPT, audits tiers). Notre guide sur la conformité PCI DSS 4.0.1 offre des synergies utiles pour les entités financières traitant des paiements par carte, où les exigences se recoupent partiellement avec DORA.

DORA vs NIS 2 : quelles différences pour les entités financières ?

De nombreuses entités financières françaises se demandent comment articuler DORA et NIS 2, les deux régimes s'appliquant potentiellement en parallèle. La réponse est claire : pour les entités du secteur financier entrant dans le champ de DORA, ce règlement prime sur la directive NIS 2 grâce à une clause de lex specialis. En pratique, une banque soumise à DORA n'est pas soumise aux obligations NIS 2 pour les matières couvertes par DORA. Elle peut cependant relever de NIS 2 pour d'autres activités numériques ne relevant pas strictement de ses services financiers (par exemple, une filiale de services numériques).

Les principales différences entre DORA et NIS 2 méritent d'être soulignées :

• Périmètre sectoriel : DORA couvre exclusivement le secteur financier, NIS 2 couvre 18 secteurs critiques dont le secteur bancaire et les infrastructures des marchés financiers.
• Notification d'incidents : DORA impose une notification en 4 heures pour les incidents majeurs ICT, NIS 2 impose 72 heures pour les incidents significatifs. DORA est donc plus exigeant sur ce point.
• Tests de résilience : DORA impose les TLPT tous les 3 ans pour les entités significatives, NIS 2 n'impose pas de tests de pénétration spécifiques mais exige des politiques de sécurité testées.
• Gestion des tiers : DORA va très loin dans la gestion du risque tiers ICT, avec un registre obligatoire et une surveillance directe des CTPP. NIS 2 impose une gestion des risques de la chaîne d'approvisionnement mais sans le même niveau de formalisation.

Questions fréquentes

DORA s'applique-t-il aux FinTech françaises de petite taille ?

Oui, dès lors qu'une FinTech détient un agrément réglementaire en France (établissement de paiement, établissement de monnaie électronique, prestataire de services sur crypto-actifs sous MiCA, société de gestion), elle est soumise à DORA quelle que soit sa taille. Le règlement prévoit toutefois des régimes allégés pour les microentreprises (moins de 10 salariés et moins de 2 millions d'euros de bilan annuel), avec notamment l'exemption des tests TLPT et des obligations de notification simplifiées. L'ACPR et l'AMF ont publié des guides pratiques adaptés aux petites entités financières sur leurs sites respectifs.

Quelle est la différence entre DORA et le règlement RGPD pour les données financières ?

DORA et le RGPD ont des objets distincts : DORA vise la résilience opérationnelle numérique des entités financières (continuité des services, gestion des incidents ICT, tests de résilience), tandis que le RGPD protège les données à caractère personnel des individus. Un incident cyber dans une banque peut déclencher simultanément une notification DORA (incident ICT majeur) et une notification RGPD à la CNIL (si des données personnelles ont été compromises). Les deux obligations sont cumulatives et indépendantes.

Les prestataires cloud peuvent-ils être directement supervisés par les régulateurs européens sous DORA ?

Oui, c'est l'une des innovations les plus significatives de DORA. Les prestataires TIC tiers qualifiés de critiques (CTPP) par les Autorités européennes de surveillance font l'objet d'une supervision directe de l'EBA, l'ESMA ou l'EIOPA selon un mécanisme de chef de file. Ces prestataires — qui incluent potentiellement de grands cloud providers comme Microsoft Azure, AWS ou Google Cloud — peuvent faire l'objet d'inspections, d'audits et d'injonctions directes de la part des régulateurs européens, sans passer par les États membres. Aucune désignation de CTPP n'avait encore été officiellement publiée en juillet 2026, mais les travaux des autorités européennes en ce sens sont avancés.

Quelles sanctions sont prévues par DORA en cas de non-conformité ?

DORA prévoit des sanctions significatives, dont la mise en œuvre concrète dépend des législations nationales de chaque État membre. En France, l'ACPR dispose de pouvoirs de sanctions administratives pouvant aller jusqu'à 10 % du chiffre d'affaires annuel net pour les établissements de crédit, en application des pouvoirs existants du Code monétaire et financier renforcés par DORA. Des sanctions pécuniaires spécifiques à DORA peuvent également être prononcées directement par les Autorités européennes de surveillance contre les CTPP. En pratique, aucune sanction DORA n'avait encore été publiée en France ou en Europe en juillet 2026, les superviseurs privilégiant l'accompagnement dans cette première année d'application.

Comment articuler la conformité DORA avec la certification ISO 27001 existante ?

La certification ISO 27001 constitue une base solide pour la conformité DORA, mais elle ne suffit pas à elle seule. ISO 27001 couvre la gestion de la sécurité de l'information dans un cadre général, tandis que DORA impose des exigences spécifiques au secteur financier : délais de notification d'incidents précis, TLPT selon le cadre TIBER-EU, registre TIC formalisé, et gestion du risque de concentration chez les tiers. Une entité certifiée ISO 27001 a généralement un avantage significatif dans sa démarche DORA — cartographie des actifs, gestion des risques, politique de sécurité — mais devra compléter son dispositif avec les éléments spécifiques au règlement, notamment les tests TLPT et le registre contractuel TIC.