Conformité DORA pour le secteur financier et ses prestataires informatiques.

DORA est le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025. Il vise les entités financières de l'Union : banques, assureurs, entreprises d'investissement, établissements de paiement et de monnaie électronique, prestataires sur crypto-actifs, gestionnaires de fonds, les établissements de paiement étant visés quelle que soit leur taille. Les micro-entreprises (moins de 10 salariés et chiffre d'affaires ou bilan annuel jusqu'à 2 M€) bénéficient d'allègements, dont l'exclusion des TLPT. L'article 16 prévoit un cadre simplifié pour des catégories nommées, comme les petites entreprises d'investissement non interconnectées et les établissements de paiement et de monnaie électronique exemptés. Les prestataires TIC désignés critiques par les Autorités européennes de supervision sont supervisés directement au niveau européen. En France, l'autorité de contrôle est l'ACPR ou l'AMF selon votre agrément.

Oui — directement aux prestataires critiques (avec supervision UE), et indirectement aux prestataires non critiques via les obligations contractuelles que leurs clients entités financières doivent imposer. Les prestataires non critiques doivent accepter les clauses de l'article 30 : droits d'audit, notification d'incident, engagements de continuité d'activité, plans de sortie.

Non. Les orientations EBA sont un bon point de départ mais DORA va significativement au-delà sur trois points : des TLPT tous les trois ans pour les entités désignées par l'autorité compétente ; le registre d'information de l'article 28, paragraphe 3, et les clauses contractuelles obligatoires de l'article 30 ; et la cadence de notification d'incident 4h/72h/1mois avec seuils quantitatifs de classification.

Les tests de base sont au moins annuels pour les systèmes TIC qui soutiennent des fonctions critiques ou importantes (hors micro-entreprises) : évaluations de vulnérabilités, tests par scénarios, revues de sécurité réseau et physique. Le TLPT n'est exigé tous les trois ans que des entités financières désignées par leur autorité compétente, selon des critères d'impact, de stabilité financière et de risque TIC ; les micro-entreprises en sont exclues. Il est mené sur les systèmes en production à partir de renseignement réel sur la menace, par des testeurs répondant à l'article 27 (externes, ou internes avec l'accord de l'autorité et un testeur externe tous les trois tests). Les résultats vont à l'autorité ; les constats doivent être corrigés.

DORA exige une notification initiale dans les 4 heures suivant la qualification d'un incident comme majeur — significativement plus rapide que la notification de violation à 72 heures du RGPD et l'alerte précoce à 24 heures de NIS2. La classification DORA utilise des seuils d'impact quantitatifs. Un seul incident peut déclencher les trois cadres simultanément ; nous concevons des processus d'incident intégrés satisfaisant chaque délai.

Oui. Les établissements de paiement sont couverts par DORA quelle que soit leur taille. DORA prévoit lui-même des allègements pour les micro-entreprises (moins de 10 salariés et chiffre d'affaires ou bilan jusqu'à 2 M€), dont l'exclusion des TLPT, et les établissements de paiement exemptés relèvent du cadre simplifié de l'article 16 — mais la notification des incidents et les obligations contractuelles de l'article 30 continuent de s'appliquer.

Oui, de plein droit. Guadeloupe, Martinique, Guyane, La Réunion et Mayotte — comme Saint-Martin — sont des régions ultrapériphériques de l'Union (articles 349 et 355, paragraphe 1, du TFUE). DORA est directement applicable, sans transposition : une entité financière établie dans ces territoires y est soumise exactement comme son homologue métropolitaine, sous ses autorités de surveillance habituelles.

Beaucoup d'entités financières utilisent l'IA au cœur de leur activité. L'évaluation de la solvabilité des personnes physiques relève de l'annexe III haut risque du Règlement européen sur l'IA (point 5 b)) : les obligations déployeur de l'Article 26 s'ajoutent alors aux exigences DORA de gestion des risques TIC. La détection de la fraude est expressément exclue de ce point, et le filtrage LBC n'y figure pas. DORA est par ailleurs lex specialis pour le secteur : NIS2 ne s'applique généralement pas aux services financiers des entités couvertes par DORA.

3 à 6 mois à partir d'un socle EBA-aligné ou ISO 27001 (en comblant les écarts spécifiques DORA) ; 9 à 12 mois bout en bout incluant la préparation TLPT. DORA s'applique depuis le 17 janvier 2025 et les inspections de supervision sont en cours — ce n'est plus un exercice de planification ; la plupart des missions tournent sur des échéances clients tendues.