Plus d'un an et demi après l'entrée en application du règlement DORA, le 17 janvier 2025 1, le bilan DORA est contrasté : les fondations sont posées, mais la maturité reste inégale. Les entités financières ont remis leurs premiers registres d'information, déclaré leurs premiers incidents majeurs et vu les autorités européennes désigner les premiers prestataires TIC critiques. Les superviseurs disposent désormais de données réelles, et ces données montrent autant de progrès que de fragilités.
Le message des autorités est clair : la phase de mise en conformité documentaire est terminée. Pour 2026, l'ACPR annonce une supervision renforcée qui porte sur l'efficacité des dispositifs, avec trois priorités : le processus de gestion des incidents, le cadre de gestion des risques TIC et la conformité des contrats TIC 3. Les entités qui ont traité DORA comme un projet à livrer doivent maintenant le faire vivre comme un processus de gestion des risques, avec des preuves.
Cet article fait la synthèse des enseignements publiés par l'ACPR, l'AMF et les autorités européennes de surveillance (ESAs) et en tire des priorités concrètes pour les DSI, RSSI et responsables conformité.
Bilan DORA : ce que montrent les premières données de supervision
Le premier cycle de remise des registres d'information a été laborieux. Selon l'état des lieux présenté par l'ACPR huit mois après l'entrée en application, 84 % des entités concernées avaient effectué une remise sur la plateforme OneGate, mais seuls 39 % de ces registres avaient pu être traités au niveau européen 2. L'autorité pointe un calendrier serré, des règles de validation qui ont évolué pendant la période de remise et un format peu maîtrisé, en partie faute de participation aux exercices de test 2.
Côté incidents, le premier rapport conjoint des ESAs, publié le 3 juin 2026, recense 3 383 incidents majeurs liés aux TIC déclarés en 2025 par les entités financières de l'Union, soit environ 0,18 incident par entité soumise à DORA 4. Environ un tiers de ces incidents a eu un impact transfrontière et seuls 10 % environ relèvent de la cybersécurité : les défaillances de systèmes et les événements externes en sont les principaux moteurs 4.
Premier enseignement de DORA : la plupart des incidents majeurs ne sont pas des cyberattaques, mais des défaillances de systèmes et de chaînes de prestataires.
En France, le questionnaire 2025 de l'ACPR indique que 17 % des banques et 25 % des assureurs répondants ont déclaré au moins un incident majeur 3. Ces chiffres doivent être lus avec prudence : ils reflètent aussi la façon dont chaque entité a interprété les critères de classification, l'un des points faibles relevés par le superviseur 2. Ils montrent néanmoins que l'incident majeur n'est pas un événement exceptionnel réservé aux grands groupes : il concerne une part significative du marché dès la première année.
Premier enseignement : le risque tiers est au cœur du sujet
Les données convergent. Au niveau européen, près d'un tiers des incidents majeurs déclarés en 2025 trouve son origine dans la défaillance d'un prestataire tiers 8, et les ESAs recommandent de renforcer la gestion du risque tiers et la coordination avec les prestataires pendant la réponse aux incidents 4. Dans les notifications reçues par l'ACPR, un tiers est impliqué dans plus de la moitié des cas, et un incident unique ayant touché plusieurs entités a pesé sur les statistiques cyber 2. Les ESAs soulignent la dimension de plus en plus systémique du risque TIC, porté par des infrastructures et des services partagés 4.
Cette réalité a trouvé une traduction institutionnelle le 18 novembre 2025, avec la désignation par les ESAs d'une première liste de prestataires TIC critiques, établie à partir des registres d'information remis par les entités 5. Pour les établissements, la conséquence pratique est double. La qualité du registre conditionne la vision qu'ont les superviseurs de la concentration du marché. Et la cartographie des dépendances devient un exercice de gestion des risques à part entière, et non un simple reporting annuel.
L'AMF va dans le même sens. Dans une communication du 3 juin 2026, elle demande aux entités qu'elle supervise de tenir une cartographie précise des systèmes, des données et des prestataires critiques, et de maîtriser les accès associés 6.
Deuxième enseignement : la déclaration d'incidents est un processus à industrialiser
La classification et la déclaration des incidents font partie des piliers qui ont le plus progressé selon l'ACPR 3. Pourtant, l'autorité constate que les délais réglementaires sont rarement respectés, que certains champs obligatoires sont mal renseignés et que les critères de classification sont parfois mal compris 2. Elle rappelle notamment que les mesures compensatoires ne doivent pas être prises en compte pour classer un incident 2.
Ces écarts tiennent rarement à un manque de volonté. Ils viennent de la difficulté à réunir en quelques heures des informations dispersées entre la production informatique, la sécurité, les métiers et les prestataires, puis à les faire valider par la bonne personne, y compris un samedi soir. Une organisation qui découvre ses circuits de décision au moment de l'incident a peu de chances de tenir les délais. C'est donc un sujet d'organisation et d'outillage autant que de conformité.
Ce que les superviseurs attendent en 2026
L'ACPR a annoncé trois priorités de supervision pour 2026 : l'amélioration du processus de gestion des incidents, l'évaluation du cadre de gestion des risques TIC et la revue de conformité des contrats TIC à DORA 3. Elle prévoit de contrôler la conformité des contrats sur un échantillon d'entités 7, ainsi que des analyses transversales et des contrôles sur place pour les entités jugées les plus à risque 2.
Des preuves plutôt que des déclarations d'intention
L'autorité attend des rapports narratifs plus complets, notamment sur le profil de risque TIC et le système de gestion des risques 3. Elle demande aussi d'intégrer le registre d'information dans la gestion du risque tiers, avec une revue de l'analyse de risque lorsque les critères de criticité évoluent, et de faire évoluer les processus internes, de la continuité d'activité à la gestion de crise, à partir des incidents majeurs vécus 2. Autrement dit, chaque incident doit laisser une trace dans le dispositif.
Des programmes de tests encore immatures
Le questionnaire de l'ACPR révèle qu'à la date des réponses, 41 % des assureurs et 45 % des banques n'avaient pas encore développé de programme de tests de résilience opérationnelle numérique, ou l'avaient seulement planifié 3. L'écart est important, car DORA impose à toutes les entités, hors micro-entreprises, un programme de tests fondé sur les risques 1.
Une attention accrue à l'hygiène de sécurité
L'AMF, de son côté, insiste sur l'accélération du déploiement des correctifs de sécurité, les sauvegardes avec tests de restauration fréquents, la détection des événements de sécurité, les exercices de crise cyber et la prise en compte des risques liés à l'intelligence artificielle dans les scénarios 6. Ces attentes rappellent que DORA ne se substitue pas aux fondamentaux : il les rend opposables.
Priorités pour les douze prochains mois
Pour une ETI financière comme pour un grand compte, les enseignements publiés permettent de hiérarchiser les chantiers :
- Mesurer, sur les incidents de l'année écoulée, le délai réel entre détection, classification et notification initiale, et le comparer aux délais réglementaires.
- Documenter la grille de classification en excluant explicitement l'effet des mesures compensatoires, conformément au rappel de l'ACPR.
- Rapprocher le registre d'information du référentiel achats et du référentiel d'architecture, pour qu'il serve à piloter la concentration et non seulement à remettre un fichier.
- Lancer une revue des contrats TIC qui soutiennent des fonctions critiques ou importantes, clause par clause, en commençant par les prestataires désignés comme critiques.
- Formaliser un programme de tests annuel couvrant les systèmes qui soutiennent des fonctions critiques ou importantes, avec un suivi des remédiations jusqu'à leur clôture.
- Tirer de chaque incident majeur un retour d'expérience tracé, avec des actions sur la continuité d'activité et la gestion de crise.
- Préparer des rapports narratifs étayés par des indicateurs : délais de notification, taux de remédiation des vulnérabilités, couverture des tests, dépendances par prestataire.
Le cadre lui-même n'est pas figé : l'ACPR rappelle que la clause de revoyure de DORA est fixée au 17 janvier 2028 2. D'ici là, les normes techniques, les questions-réponses des ESAs et les pratiques de supervision continueront de préciser les attentes. Cela plaide pour des dispositifs outillés et adaptables plutôt que pour des réponses figées dans des documents.
En résumé
DORA a produit ce qu'il promettait : une visibilité inédite sur les incidents et les dépendances technologiques du secteur financier. Les superviseurs vont désormais juger la capacité des entités à exploiter cette visibilité, à tenir les délais et à corriger durablement. DATASWING accompagne ces chantiers à la jonction de l'architecture SI, de la donnée et de la cybersécurité.
— Questions fréquentes
Ce qu'on nous demande souvent
Depuis quand DORA s'applique-t-il aux entités financières ?+
Le règlement (UE) 2022/2554, dit DORA, s'applique depuis le 17 janvier 2025. Il concerne notamment les banques, les assureurs, les entreprises d'investissement, les sociétés de gestion et les établissements de paiement. Des règlements délégués et d'exécution de la Commission précisent ses exigences sur la gestion des risques TIC, les incidents, le registre d'information, les tests et la sous-traitance.
Quelles sont les priorités de l'ACPR sur DORA en 2026 ?+
L'ACPR a annoncé trois priorités pour 2026 : améliorer le processus de gestion des incidents, évaluer le cadre de gestion des risques TIC et revoir la conformité des contrats TIC à DORA, contrôlée sur un échantillon d'entités. Elle attend aussi des rapports narratifs plus complets et une meilleure qualité des registres d'information et des notifications d'incidents.
Combien d'incidents majeurs DORA ont été déclarés en 2025 ?+
Selon le premier rapport conjoint des ESAs, publié en juin 2026, 3 383 incidents majeurs liés aux TIC ont été déclarés en 2025 dans l'Union, soit environ 0,18 par entité soumise à DORA. Environ un tiers avait un impact transfrontière et seuls 10 % environ étaient liés à la cybersécurité, les défaillances de systèmes dominant.
DORA va-t-il être révisé ?+
L'ACPR rappelle que la clause de revoyure de DORA est fixée au 17 janvier 2028. D'ici cette échéance, le cadre continue d'être précisé par les normes techniques, les questions-réponses des autorités européennes et les pratiques de supervision. Les entités ont donc intérêt à construire des dispositifs adaptables plutôt que des réponses figées.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) ↗EUR-Lex, Union européenne · 2022-12
- [2]
-
[3]
Webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-01
-
[4]
ESAs publish first report on DORA major ICT-related incidents ↗ESMA, au nom des ESAs · 2026-06
-
[5]
European Supervisory Authorities designate critical ICT third-party providers ↗ESMA, au nom des ESAs · 2025-11
- [6]
-
[7]
FAQ du webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-03
-
[8]
ESAs 2025 report on major ICT-related incidents (JC 2026 16) ↗Comité mixte des ESAs (EBA, EIOPA, ESMA) · 2026-06
