DORA, première année
de supervision active

Ce que le registre d'information, les incidents liés aux prestataires et la désignation des prestataires critiques changent pour les petits assureurs, intermédiaires, établissements de paiement, fintechs et leurs fournisseurs.

Où en est la supervision DORA fin 2026 ?

La première année d'application de DORA a surtout servi à installer la mécanique : collecte des registres d'information, premières notifications d'incidents majeurs, questionnaires transverses. 2026 marque un changement de régime. Lors de son webinaire du 23 janvier 2026, l'ACPR a annoncé trois priorités de supervision pour l'année : l'amélioration du processus de gestion des incidents, l'évaluation du cadre de gestion des risques TIC et la revue de conformité des contrats TIC.

Au niveau européen, la surveillance directe des grands fournisseurs a commencé. Le 18 novembre 2025, l'EBA, l'EIOPA et l'ESMA ont publié la liste des 19 prestataires TIC tiers critiques (CTPP), parmi lesquels Amazon Web Services, Google Cloud, Microsoft, Oracle, SAP, IBM, Deutsche Telekom, Orange, Capgemini, Accenture, Equinix et Bloomberg. Les ESA précisent que la désignation s'appuie sur les données des registres d'information remis par les entités financières. Autrement dit, la qualité de votre registre alimente directement la cartographie européenne de la dépendance aux fournisseurs.

Pour une petite entité, la désignation d'un CTPP ne transfère aucune responsabilité : l'entité reste seule responsable de la gestion du risque lié à ses prestataires, y compris lorsque ce prestataire est désormais surveillé par les autorités européennes.

Que révèle le premier rapport européen sur les incidents majeurs ?

Publié le 3 juin 2026, le premier rapport annuel conjoint des ESA sur les incidents majeurs liés aux TIC recense 3 383 incidents majeurs déclarés en 2025, soit environ 282 par mois. Le chiffre le plus commenté concerne la chaîne d'approvisionnement : selon le rapport, « 29% of all major incidents are caused by a failure attributable to a TPP ».

Source : ESAs, 2025 Report on major ICT-related incidents (JC 2026 16), publié le 3 juin 2026.

La lecture pour une petite entité est simple : la majorité des incidents majeurs ne sont pas des cyberattaques sophistiquées, mais des pannes, des changements mal maîtrisés et des défaillances de fournisseurs. Le rapport recommande d'ailleurs de renforcer la gestion du risque tiers et la coordination avec les prestataires pendant la réponse à incident. En France, l'ACPR relevait dès octobre 2025 que les délais de notification (4 heures après classification comme majeur, 24 heures après détection) étaient rarement respectés.

Pourquoi le registre d'information est-il devenu un sujet de contrôle ?

L'article 28(3) de DORA impose de tenir à jour un registre de tous les accords contractuels portant sur des services TIC fournis par des tiers, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Le registre est remis au moins une fois par an à l'autorité compétente et doit pouvoir être fourni en totalité sur demande. L'article 29 ajoute une analyse du risque de concentration : dépendance à un prestataire difficilement substituable, ou multiplication des contrats avec un même groupe.

La première collecte a montré l'ampleur de la marche. Dans son état des lieux d'octobre 2025, l'ACPR indiquait que 84 % des entités avaient effectué une remise, mais que seulement 39 % de ces remises avaient été traitées au niveau européen. Les causes de rejet relevées sont souvent techniques : mauvaise date d'arrêté, champs obligatoires manquants, encodage des fichiers. Pour 2026, la remise portait sur des données arrêtées au 31 décembre 2025, avec une échéance au 31 mars 2026.

Le registre n'est pas qu'une formalité de reporting. C'est le document à partir duquel un contrôleur vérifie la cohérence entre vos contrats, votre cartographie des fonctions critiques et votre analyse de concentration. Le questionnaire DORA de fin 2025 confirme que le pilier externalisation reste le plus fragile, chez les banques comme chez les assureurs.

Quelles petites entités sont concernées, et à quel niveau ?

DORA couvre vingt catégories d'entités financières, mais toutes ne sont pas traitées de la même façon. Le tableau ci-dessous résume les situations les plus fréquentes chez les acteurs de petite taille.

Lecture éditoriale du règlement (UE) 2022/2554, articles 2 et 16. Ne constitue pas un avis juridique : le statut exact dépend de l'agrément et de la taille de chaque entité.

Les chiffres de l'ACPR montrent que les assureurs ne sont pas épargnés. Selon le questionnaire DORA présenté en janvier 2026, 49 % des assureurs déclaraient avoir subi une cyberattaque réussie en 2025, y compris via leurs prestataires, contre 14 % des banques. Et 41 % des assureurs n'avaient pas encore développé, ou seulement planifié, leur programme de tests de résilience.

Que change le report de la loi Résilience en France ?

Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025, devait être examiné en séance à l'Assemblée nationale les 7 et 9 octobre 2026. Le 6 octobre 2026, la conférence des présidents l'a retiré de l'ordre du jour, sans nouvelle date. Au moment où nous publions, nous n'avons pas identifié de nouvelle date d'examen annoncée publiquement.

Ce report concerne surtout NIS 2 et la directive REC. Pour le secteur financier, la confusion est fréquente : le règlement DORA est d'application directe depuis le 17 janvier 2025 et ne dépend pas de la loi Résilience. Seule la directive qui accompagne DORA, et qui modifie des textes sectoriels, nécessite une transposition. Une entité financière ne peut donc pas invoquer le calendrier parlementaire pour différer son registre, sa gestion des incidents ou ses contrats.

Que demander à ses prestataires, et que préparer quand on est fournisseur ?

Le risque tiers se traite des deux côtés du contrat. Une entité financière doit pouvoir démontrer qu'elle a évalué ses prestataires avant de contracter (article 28(4)) et qu'elle suit leur niveau de sécurité dans la durée. Un fournisseur, de son côté, gagne du temps commercial s'il peut répondre aux questionnaires avec des preuves datées plutôt qu'avec des déclarations.

Pour produire ces preuves sans équipe sécurité interne, plusieurs voies existent : les outils natifs des fournisseurs cloud et de messagerie, des scanners de vulnérabilités spécialisés, un prestataire de services managés (MSP ou MSSP) qui opère une plateforme intégrée, ou un cabinet de conseil pour la partie documentaire. Le bon choix dépend moins de l'outil que de la capacité à sortir, chaque trimestre, un rapport daté et compréhensible par un contrôleur ou un client.

Par où commencer dans les 90 prochains jours ?

• → Relire le dernier registre d'information remis : contrats manquants, fonctions critiques mal identifiées, prestataires en chaîne non déclarés.
• → Identifier les contrats qui reposent sur l'un des 19 prestataires critiques et documenter l'analyse de concentration de l'article 29.
• → Tester le circuit de notification d'incident sur un scénario de panne fournisseur, montre en main, face aux délais de 4 et 24 heures.
• → Demander aux prestataires des preuves récentes et datées : scans de vulnérabilités, configuration email, plan de réponse à incident.
• → Pour les fournisseurs de l'écosystème financier : préparer un dossier de preuves réutilisable pour tous les questionnaires clients.