Page à jour au 14 novembre 2026.

Qu’est-ce que le règlement DORA ?

DORA (Digital Operational Resilience Act) est le règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier. Publié au Journal officiel de l’Union européenne du 27 décembre 2022, il est entré en vigueur le 16 janvier 2023 et s’applique depuis le 17 janvier 2025.

S’agissant d’un règlement, il s’applique directement, sans loi de transposition.

Qui est concerné ?

Le règlement vise les entités financières énumérées à son article 2, soit une vingtaine de catégories : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, entreprises d’assurance et de réassurance, sociétés de gestion, institutions de retraite professionnelle, notamment.

Il concerne aussi les prestataires tiers de services informatiques (TIC) de ces entités, par exemple les fournisseurs de services d’informatique en nuage.

Quelles sont les principales obligations ?

Le règlement s’organise autour de cinq volets : la gestion du risque lié aux TIC, placée sous la responsabilité de l’organe de direction ; la gestion, la classification et la notification des incidents majeurs ; les tests de résilience opérationnelle numérique ; la gestion du risque lié aux prestataires tiers, avec des clauses contractuelles obligatoires et un registre des contrats ; et le partage d’informations sur les cybermenaces.

Qu’est-ce qui change pour les prestataires informatiques ?

Les prestataires sont d’abord touchés par leurs contrats : les entités financières doivent y insérer les clauses exigées par le règlement. Les prestataires désignés comme critiques par les autorités européennes de surveillance sont en outre soumis à un cadre de supervision directe au niveau de l’Union.

Quelle articulation avec la directive NIS 2 ?

DORA est le texte sectoriel du secteur financier. Pour les entités financières qui en relèvent, les dispositions de la directive NIS 2 relatives à la gestion des risques, à la notification des incidents et à la supervision ne s’appliquent pas (considérant 28 de la directive (UE) 2022/2555).

Et en France ?

Le règlement est directement applicable. Il est accompagné de la directive (UE) 2022/2556 du 14 décembre 2022, qui adapte plusieurs directives du secteur financier et doit, elle, être transposée.

Cette transposition figure dans le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 et examiné par l’Assemblée nationale les 9 et 10 novembre 2026, dont le vote solennel est prévu le 17 novembre 2026. À la date de cette page, la loi n’est pas promulguée.