Règlement DORA : obligations, contrats TIC et registre d’informations

Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554 du 14 décembre 2022) impose depuis le 17 janvier 2025 un cadre commun de résilience opérationnelle numérique au secteur financier européen. Banques, assureurs, sociétés de gestion, prestataires de services sur crypto-actifs et fintechs doivent gérer leur risque informatique, déclarer leurs incidents, tester leur résilience et encadrer leurs prestataires informatiques. Pour les directions juridiques, l’essentiel du chantier se joue dans les contrats : clauses obligatoires, registre d’informations, stratégie de sortie. Voici ce que le texte exige concrètement, et comment s’y conformer.

Qui est concerné par DORA ?

DORA s’applique aux entités financières au sens large : établissements de crédit, entreprises d’investissement, sociétés de gestion, entreprises d’assurance et de réassurance, intermédiaires, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, entre autres catégories listées à l’article 2 du règlement. Il saisit aussi, indirectement, leurs prestataires tiers de services TIC : éditeurs de logiciels, hébergeurs, fournisseurs de cloud. Les prestataires jugés critiques à l’échelle européenne relèvent d’un cadre de supervision dédié.

Contrairement à la directive NIS 2, qui vise un large éventail de secteurs et attend encore sa loi de transposition française, DORA est un règlement : il s’applique directement, sans texte national. Un prestataire informatique hors secteur financier peut donc être rattrapé par DORA via ses clients banques ou assureurs, qui lui imposent contractuellement leurs propres obligations. Sur l’articulation entre les deux textes, voyez notre page consacrée à la directive NIS 2.

Les quatre blocs d’obligations

L’ACPR résume le règlement en quatre volets : la gestion du risque informatique (gouvernance, cartographie, politiques de sécurité, sous la responsabilité de l’organe de direction) ; le reporting des incidents ; les tests de résilience opérationnelle numérique ; et la gestion du risque de tiers porté par les prestataires informatiques. Les trois derniers appellent des développements concrets, car ils produisent des obligations datées et contrôlables.

Déclarer les incidents majeurs (article 19)

Depuis le 17 janvier 2025, les entités financières déclarent à l’ACPR tous les incidents majeurs liés aux TIC visés à l’article 19(1) du règlement. Les critères de qualification d’un incident majeur sont fixés par le règlement délégué (UE) 2024/1772 ; les modalités et délais de déclaration par le règlement d’exécution (UE) 2025/302. La déclaration peut être externalisée à un prestataire dans les conditions de l’article 19(5), à charge d’en informer l’ACPR dès la signature de l’accord.

Cette déclaration s’ajoute, sans s’y substituer, à la notification d’une violation de données personnelles à la CNIL lorsque des données de clients ou de salariés sont touchées. Les deux régimes coexistent, avec des critères et des destinataires distincts : notre page avocat violation de données personnelles traite ce second volet.

Tester la résilience : du test courant au TLPT

DORA impose un programme de tests proportionné à la taille et au profil de risque de l’entité. Pour les entités désignées, il culmine avec les tests de pénétration fondés sur la menace (TLPT) : des attaques simulées en conditions réelles, sur les systèmes en production. En France, ces tests sont pilotés par une équipe commune Banque de France, ACPR et AMF (la TCT-FR), sur la base du cadre TIBER-FR. Le volet juridique n’est pas accessoire : encadrement contractuel des testeurs, périmètre d’autorisation, confidentialité des résultats, sort des données touchées pendant le test.

Les contrats avec les prestataires TIC : le cœur du chantier

Les clauses minimales de l’article 30(2)

Tout accord contractuel portant sur l’utilisation de services TIC doit contenir une liste minimale d’éléments : description complète des services, localisation des données et des traitements, dispositions sur la disponibilité, l’intégrité et la confidentialité, assistance en cas d’incident, droits de résiliation et préavis, participation du prestataire aux programmes de sensibilisation. Un contrat cloud ou d’infogérance signé sur les seules conditions générales du fournisseur est rarement conforme à ce socle.

Les clauses renforcées pour les fonctions critiques ou importantes (article 30(3))

Quand le service soutient une fonction critique ou importante de l’entité, des exigences s’ajoutent : niveaux de service précis et mesurables, obligation de coopération avec les autorités, droits d’accès, d’inspection et d’audit au bénéfice de l’entité et de ses superviseurs, plans de continuité testés, et stratégie de sortie organisant la réversibilité sans rupture de service. La qualification de la fonction, en amont, détermine donc le niveau contractuel exigible : c’est une analyse juridique autant qu’opérationnelle.

Le registre d’informations (article 28(3))

Chaque entité tient et met à jour un registre d’informations recensant tous ses accords contractuels avec des prestataires TIC, à tous les niveaux du groupe : individuel, sous-consolidé et consolidé. Ce registre se remet aux autorités ; l’ACPR en a organisé la première collecte le 15 avril 2025 et publie une FAQ détaillée sur son contenu. Les projets d’accords portant sur des fonctions critiques ou importantes doivent en outre être signalés à l’autorité compétente en temps utile. Tenir ce registre suppose d’avoir inventorié ses contrats, y compris les plus anciens : l’exercice révèle souvent des accords jamais renégociés, sans clause d’audit ni stratégie de sortie.

Pour les éditeurs et prestataires eux-mêmes, l’effet est symétrique : leurs clients financiers exigent désormais des avenants DORA. Nos pages avocat SaaS et avocat contrats informatiques décrivent l’accompagnement des deux côtés de la table.

Quels risques en cas de manquement ?

Le contrôle du respect de DORA relève des autorités de supervision sectorielles, en France l’ACPR et l’AMF, qui disposent de leurs pouvoirs habituels d’injonction et de sanction. Le volet « directive » du paquet DORA, qui ajuste les textes sectoriels, figure dans le projet de loi français sur la résilience des infrastructures critiques, non promulgué à la date de mise à jour de cet article. Au-delà du risque prudentiel, un contrat TIC non conforme expose surtout l’entité à un risque opérationnel très concret : impossibilité d’auditer un prestataire défaillant, absence de stratégie de sortie au moment où il faudrait changer de fournisseur, discussion assurantielle fragilisée après un incident.

Ce que fait l’avocat dans une mise en conformité DORA

Notre intervention porte sur le volet juridique, en coordination avec vos équipes informatiques et vos prestataires techniques : cartographie contractuelle et constitution du registre d’informations, qualification des fonctions critiques ou importantes, rédaction et négociation des avenants au regard des articles 28 et 30, encadrement juridique des tests, articulation avec le RGPD et la directive NIS 2. Hashtag Avocats accompagne à Paris les fintechs, établissements de paiement et éditeurs qui servent le secteur financier : voyez notre page avocat fintech et, pour la dimension sécurité d’ensemble, notre page avocat cybersécurité.

Questions fréquentes sur le règlement DORA

DORA est-il déjà applicable ?
Oui. Le règlement (UE) 2022/2554 s’applique depuis le 17 janvier 2025, directement et sans loi de transposition. Seul le volet « directive » du paquet, qui ajuste des textes sectoriels, attend encore sa loi française.

Qui doit tenir le registre d’informations ?
Toutes les entités financières entrant dans le champ de DORA, pour l’ensemble de leurs accords contractuels avec des prestataires TIC, aux niveaux individuel, sous-consolidé et consolidé (article 28(3)). La première remise à l’ACPR est intervenue le 15 avril 2025 et l’obligation de mise à jour est permanente.

Une fintech non agréée est-elle concernée ?
Le champ d’application de l’article 2 vise les entités régulées du secteur financier. Une société technologique non régulée n’est pas directement assujettie, mais ses clients financiers doivent lui imposer contractuellement les clauses des articles 30(2) et 30(3) dès lors qu’elle leur fournit des services TIC.

Quelle différence entre DORA et NIS 2 ?
DORA est un règlement, d’application directe, réservé au secteur financier. NIS 2 est une directive multisectorielle dont la loi de transposition française n’est pas promulguée. Une entité financière relève de DORA pour ses obligations de résilience ; un même groupe peut avoir des filiales soumises à l’un ou à l’autre régime.

Que risque une entité dont les contrats TIC ne sont pas conformes ?
Des mesures de supervision de l’ACPR ou de l’AMF, mais aussi des risques opérationnels directs : absence de droit d’audit sur un prestataire défaillant, réversibilité impossible faute de stratégie de sortie, position affaiblie dans la discussion avec l’assureur après un incident.

Sources officielles

• Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA) – EUR-Lex
• ACPR, « Digital Operational Resilience Act (DORA) », présentation et textes d’application – acpr.banque-france.fr
• ACPR, « FAQ sur la directive et le règlement DORA » (registre d’informations, articles 28(3) et 30(2)-(3), incidents article 19, TLPT TIBER-FR) – acpr.banque-france.fr
• Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024, critères de classification des incidents liés aux TIC – EUR-Lex
• Articles 33 et 34 du règlement (UE) 2016/679 (RGPD), notification des violations de données personnelles – EUR-Lex

Cet article présente l’état du droit à titre d’information générale, vérifié à la date de publication. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d’avocat.