DORA : ce qui coince vraiment, dix-huit mois après l'entrée en application

Ce que DORA a changé une fois passée la date d'application

Le règlement (UE) 2022/2554 s'applique depuis le 17 janvier 2025, sans période transitoire. Dix-huit mois plus tard, la question n'est plus de savoir si une entité est dans le périmètre, mais si elle peut le prouver. Les superviseurs ont de la matière : deux campagnes de registres d'information, des notifications d'incidents horodatées, une première liste de prestataires critiques. Le contrôle porte sur des écarts constatés, pas sur des intentions.

Les programmes que nous conduisons depuis 2023 se ressemblent sur un point. La partie sécurité de DORA est rarement celle qui fait déraper le projet. Ce qui coûte, c'est le registre d'information et la remise à niveau des contrats : un chantier de données et un chantier de droit, confiés à des équipes non dimensionnées pour les porter.

Le périmètre est plus large qu'il n'y paraît

DORA couvre une vingtaine de catégories d'entités agréées : établissements de crédit, sociétés de gestion, assureurs, dépositaires centraux, contreparties centrales, prestataires sur crypto-actifs, plateformes de financement participatif. L'article 16 ouvre un cadre simplifié à certaines petites structures, sans les dispenser des obligations sur les tiers ni sur les incidents.

Le vrai pivot n'est pas la catégorie d'agrément, c'est la notion de fonction critique ou importante. Presque toutes les obligations renforcées se déclenchent sur cette qualification : stipulations de l'article 30, paragraphe 3, stratégies de sortie, périmètre des tests avancés, profondeur de la sous-traitance à documenter. Une cartographie trop généreuse fait exploser la charge du programme ; trop étroite, elle ne survit pas à la première question du superviseur. C'est la décision structurante du dispositif : elle se documente, se date et se fait valider par l'organe de direction. Dans un groupe, elle se prend entité par entité — chaque agrément est assujetti pour lui-même, et une DSI mutualisée servant trois filiales réglementées produit trois registres et trois chaînes de notification.

Le registre d'information est le chantier le plus sous-estimé

Le règlement d'exécution (UE) 2024/2956 fixe les gabarits et le format : une quinzaine de tables liées en xBRL-CSV, une ligne par accord contractuel et non par fournisseur, un LEI valide et actif dans la base GLEIF pour l'entité comme pour ses prestataires directs, les pays de résidence et de traitement des données, le rang de chaque sous-traitant intervenant sur une fonction critique.

Ce n'est pas un exercice de sécurité, mais de qualité de données, sur un référentiel qui n'existait presque nulle part avant 2024. L'exercice à blanc des autorités européennes de surveillance avait réuni 1 039 entités en 2024 : 93,5 % des remises comportaient au moins une erreur, et 86 % de ces erreurs n'étaient qu'une information obligatoire laissée vide.

La première collecte officielle s'est tenue au printemps 2025, sur une date de référence au 31 mars ; le rythme est désormais annuel, référence au 31 décembre et remise au trimestre suivant. Un registre n'est donc pas un livrable de projet, c'est une chaîne de production : propriétaire nommé, réconciliation avec les référentiels achats et contrats, contrôle de cohérence exécuté avant la remise plutôt qu'après le rejet.

Le piège le plus banal reste le LEI. Beaucoup de fournisseurs technologiques de taille moyenne n'en ont pas, l'obtention prend plusieurs semaines et un identifiant expiré provoque un rejet sec. Cette collecte se lance six mois avant l'échéance, pas six semaines.

La remise à niveau des contrats est un chantier juridique

L'article 30 impose un socle de stipulations à tout accord de services TIC, et un socle renforcé au paragraphe 3 pour ceux qui soutiennent une fonction critique : niveaux de service quantitatifs, droits d'accès, d'inspection et d'audit sans restriction, assistance en cas d'incident, participation aux tests de résilience, préavis et motifs de résiliation, stratégie de sortie.

Le règlement délégué (UE) 2025/532 a complété le dispositif sur la sous-traitance, et sa genèse mérite d'être connue. La Commission a rejeté le premier projet début 2025 : son article 5, sur la surveillance des sous-traitants, excédait le mandat donné aux AES par l'article 30, paragraphe 5. Le texte amendé a été adopté le 24 mars. Traduction opérationnelle : vous devez encadrer la chaîne de sous-traitance avant de contractualiser, mais le levier de supervision continue qu'esquissait le projet initial n'existe pas.

Reste la négociation. Face à un hyperscaler ou à un éditeur de core banking, vous ne renégociez pas : vous prenez son addendum DORA standard, vous le confrontez ligne à ligne à l'article 30, vous documentez l'écart résiduel et le portez au registre des risques avec une décision d'acceptation signée au bon niveau. C'est la seule posture défendable. Le travail utile consiste à trier : les contrats soutenant une fonction critique d'abord, et parmi eux ceux dont la sortie est impossible.

Les incidents : le problème n'est pas le formulaire, c'est l'horloge

Le règlement délégué (UE) 2024/1772 fixe la mécanique de qualification. L'incident franchit d'abord une porte d'entrée — services critiques affectés, ou accès malveillant non autorisé réussi — puis devient majeur si le critère de perte de données est atteint seul, ou si au moins deux des autres critères de matérialité le sont ensemble. Ces critères sont chiffrés : plus de 10 % de la clientèle ou plus de 100 000 clients touchés, indisponibilité supérieure à deux heures sur un service critique ou incident durant plus de 24 heures, impact dans au moins deux États membres, coûts et pertes au-delà de 100 000 euros.

Toute la chaîne repose donc sur une qualification décidée sous pression, souvent la nuit, sur des données partielles. L'investissement utile est modeste : une astreinte habilitée à classifier sans attendre un comité, un arbre de décision qui tient sur une page, et l'horodatage systématique de la prise de connaissance.

L'horodatage est le point le plus contesté en contrôle. À quelle minute exacte l'entité a-t-elle eu connaissance ? Si la seule réponse est un ticket dont la date de création a été écrasée lors d'une reprise, le dossier est faible, quelle que soit la réponse technique. Un exercice de simulation par an, comité de crise et juriste dans la salle, vaut mieux que trente pages de procédure.

Ce que les tests de résilience exigent au-delà du scan annuel

L'article 24, paragraphe 6, demande que tous les systèmes soutenant des fonctions critiques ou importantes soient testés au moins une fois par an. La plupart des entités ont déjà un test d'intrusion annuel sur leur périmètre exposé : ce n'est pas la même chose. Il faut une méthodologie documentée, un cadrage par les risques, une indépendance réelle de la fonction de test et un suivi des conclusions jusqu'à clôture. Les constats ouverts au-delà de leur échéance sont exactement ce qu'une inspection ira chercher.

Au-dessus se situent les tests de pénétration fondés sur la menace, encadrés par le règlement délégué (UE) 2025/1190, publié au Journal officiel le 18 juin 2025 et applicable depuis le 8 juillet. Les entités désignées par leur autorité en conduisent au moins un tous les trois ans, sur des systèmes de production, couvrant plusieurs fonctions critiques, à partir d'un renseignement sur les menaces produit pour l'occasion. Le recours à des testeurs internes reste possible sous conditions, le fournisseur de renseignement devant alors être externe. Le dispositif reprend la mécanique TIBER-EU, alignée sur DORA en février 2025.

La difficulté n'est pas technique. Elle consiste à obtenir de l'organe de direction l'autorisation d'un exercice adverse sur la production, puis à tenir la discipline de la white team des mois durant sans fuite vers les équipes défensives. Les entités qui échouent ici échouent en gouvernance, pas en sécurité.

La surveillance directe des prestataires critiques

Le 18 novembre 2025, les autorités européennes de surveillance ont publié la première liste de prestataires tiers de services TIC critiques : dix-neuf entreprises, hyperscalers, exploitants de centres de données, fournisseurs d'infrastructure et éditeurs spécialisés. Chacune relève d'un superviseur principal — ABE, AEAPP ou AEMF — selon le secteur qu'elle sert majoritairement, la désignation reposant sur l'impact systémique d'une défaillance, l'importance des entités qui en dépendent, le degré de concentration et la substituabilité. Ce superviseur peut exiger des informations, inspecter sur site, formuler des recommandations et imposer des astreintes journalières atteignant 1 % du chiffre d'affaires mondial journalier moyen, six mois durant.

Cette surveillance ne vous décharge de rien. Si votre prestataire figure sur la liste, vos obligations au titre des articles 28 à 30 sont inchangées, et c'est toujours à vous que votre autorité posera la question du risque de concentration. Question sans valeur tant qu'elle n'a pas été testée : « que faisons-nous si ce service devient indisponible six semaines ? » appelle un plan éprouvé, pas un paragraphe.

Ce qu'un contrôle demande à voir

En France, l'ACPR et l'AMF supervisent selon la nature de l'entité, le volet national ayant été traité par la loi n° 2025-391 du 30 avril 2025. Les pièces demandées varient peu :

• le procès-verbal approuvant la stratégie de résilience opérationnelle numérique et la trace des formations de l'organe de direction (article 5) ;
• le rapport d'audit du cadre de gestion des risques TIC (article 6, paragraphe 5) ;
• la cartographie des fonctions critiques, sa méthode de qualification et sa date de validation ;
• le registre d'information tel que remis, et la piste qui relie chaque ligne à un contrat signé ;
• le journal des incidents, horodatage de la prise de connaissance et décision de classification inclus ;
• le plan de tests, les rapports associés et le suivi des remédiations avec leurs dates de clôture.

Aucune n'est difficile à produire quand elle a été constituée au fil de l'eau. Toutes sont pénibles à reconstituer six semaines avant une inspection.

Une séquence réaliste quand on démarre en retard

1. Qualifier les fonctions critiques ou importantes et figer la liste. Trois à six semaines : tout le reste en dépend.
2. En parallèle, geler l'inventaire des accords contractuels TIC et lancer la collecte des LEI, chemin critique du registre.
3. Rendre opérationnelle la chaîne de notification sous deux mois : c'est le seul manquement immédiatement visible et daté.
4. Mener l'analyse d'écart contractuelle sur les seuls contrats critiques, puis engager les addenda. Trois à cinq mois.
5. Documenter le programme de tests annuel et le suivi des remédiations ; préparer le TLPT si l'autorité vous a désigné.
6. Installer la gouvernance : comité, indicateurs, revue annuelle du cadre, passage en audit interne.

Cette séquence n'est pas la plus élégante. C'est celle qui réduit l'exposition le plus tôt.

Le vrai contrôle sera le premier incident majeur

DORA ne récompense pas l'organisation qui produit le plus de politiques. Il récompense celle qui sait, à trois heures du matin, qui décide, quoi déclarer et à qui — et qui peut, six mois plus tard, montrer la trace de cette décision. Une conformité de papier se repère à l'œil nu dans un registre d'information : les colonnes vides ne mentent pas.

Nous conduisons ces programmes du cadrage des fonctions critiques jusqu'à la remise du registre, et nous en outillons la durée dans Elyys360, la plateforme GRC que Wavatec édite. L'outil ne remplace aucune décision. La qualification d'une fonction, l'arbitrage sur un contrat impossible à renégocier, la classification d'un incident à trois heures du matin restent des choix d'entreprise — et ce sont eux que le superviseur regarde.