RÉGLEMENTATION
DORA : obligations, échéances et ce qui change pour l'assurance cyber dans le secteur financier
Fiche à jour au 1er novembre 2026 sur le règlement (UE) 2022/2554 (DORA) et le décret législatif italien 23/2025 : qui est concerné, gestion du risque TIC, notification des incidents majeurs, prestataires TIC critiques, sanctions et conséquences pour la police cyber des banques, assureurs et intermédiaires.
Fiche réglementaire · à jour au 1er novembre 2026 · par cybercoverinsurance
Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), s'applique depuis le 17 janvier 2025 à la quasi-totalité du secteur financier européen (EUR-Lex). Contrairement à NIS2, c'est un règlement : il s'applique directement dans tous les États membres, sans transposition. En Italie, le décret législatif n° 23 du 10 mars 2025 désigne les autorités de supervision et fixe les sanctions (Diritto Bancario).
Pour ceux qui assument le risque cyber, DORA compte doublement. Il concerne les assurés du secteur financier, qui doivent démontrer une résilience numérique mesurable. Et il concerne les assureurs eux-mêmes, qui sont des entités supervisées et doivent appliquer DORA à leurs propres systèmes.
Dans le texte, « article » désigne une règle contraignante ; « considérant » désigne les paragraphes introductifs qui expliquent comment la lire.
Qui est concerné
L'article 2 énumère plus de vingt catégories d'entités financières : banques, établissements de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, sociétés de gestion, entreprises d'assurance et de réassurance, intermédiaires d'assurance et fonds de pension. Les petits et moyens intermédiaires d'assurance sont exclus. DORA s'étend en outre, par un régime de surveillance propre, aux prestataires TIC désignés comme critiques.
En Italie, la supervision revient à la Banca d'Italia, à la Consob, à l'IVASS et à la COVIP, chacune pour les entités relevant de sa compétence ; elles reçoivent aussi les notifications d'incidents majeurs (article 3 du décret législatif 23/2025).
Les principales obligations
Gestion du risque TIC
Les articles 5 à 16 exigent un cadre de gestion du risque TIC approuvé par l'organe de direction, qui en porte la responsabilité finale (article 5). Il couvre l'identification des actifs, la protection, la détection, la réponse et le rétablissement, les sauvegardes et les plans de continuité d'activité.
Notification des incidents majeurs
Un incident TIC classé comme majeur doit être notifié à l'autorité compétente en trois temps (article 19 et normes techniques associées) (FMA) :
- notification initiale dans les 4 heures suivant sa classification comme majeur et au plus tard dans les 24 heures suivant sa prise de connaissance ;
- rapport intermédiaire dans les 72 heures suivant la notification initiale ;
- rapport final dans un délai d'un mois après le dernier rapport intermédiaire.
Les critères de classification figurent dans le règlement délégué (UE) 2024/1772. Un accès malveillant réussi susceptible d'entraîner une perte de données suffit, avec un impact sur des services critiques, à rendre l'incident majeur.
Tests de résilience
Chaque entité doit tester régulièrement ses systèmes (article 24). Les entités les plus significatives, désignées par les autorités, doivent réaliser au moins tous les trois ans des tests de pénétration fondés sur la menace, qui simulent une attaque réelle sur les systèmes en production (article 26).
Prestataires TIC
Chaque entité tient un registre de tous ses contrats avec des prestataires TIC et le transmet aux autorités (article 28). Les contrats doivent comporter des clauses minimales : niveaux de service, droits d'audit, stratégies de sortie et notification des incidents (article 30).
Le 18 novembre 2025, les trois autorités européennes de surveillance (ABE, AEAPP et AEMF) ont désigné 19 prestataires TIC critiques, placés sous surveillance européenne directe (EIOPA). Parmi eux figurent Amazon Web Services, Google Cloud et Microsoft ; les autres sont des opérateurs de centres de données, des opérateurs de télécommunications et des entreprises technologiques spécialisées dans la finance (TLT).
Les sanctions
DORA laisse les sanctions aux États membres. En Italie, pour les banques et intermédiaires supervisés par la Banca d'Italia, le décret législatif 23/2025 prévoit pour les manquements les plus graves des amendes de 30 000 euros jusqu'à 10 % du chiffre d'affaires, et pour les dirigeants de 5 000 euros à 5 millions d'euros, avec une possible interdiction d'exercer des fonctions de direction et de contrôle de six mois à trois ans (Diritto Bancario).
DORA et NIS2
Pour les entités financières, DORA prévaut sur NIS2 : c'est la loi spéciale du secteur. Les banques et les infrastructures des marchés financiers restent formellement dans le champ de NIS2, mais appliquent DORA pour la gestion du risque et la notification des incidents. Une entreprise hors du secteur financier qui fournit des services TIC à des banques ou des assureurs peut relever des deux : NIS2 en propre, DORA par ses contrats avec des clients financiers.
Ce qui change pour la police cyber
Notification. Quatre heures après la classification, c'est plus court que les 24 heures de NIS2. L'assuré financier a besoin d'un service de réponse à incident actif immédiatement, avec des experts capables de classer l'incident selon les critères DORA. Un retard de classification devient un problème réglementaire, pas seulement opérationnel.
Sanctions. Les montants peuvent atteindre 10 % du chiffre d'affaires. Comme pour NIS2, la garantie des sanctions administratives « dans la mesure où la loi le permet » ne va pas de soi, et les sanctions visant les dirigeants déplacent une partie du risque vers la police D&O.
Cumul. La liste des 19 prestataires critiques est de fait une carte publique des points de concentration du secteur financier européen. Pour un portefeuille d'assurés financiers, la défaillance ou la compromission de l'un de ces prestataires est le premier scénario de sinistre à modéliser.
Informations pour la souscription. DORA produit des documents que l'assuré détient déjà : registre des prestataires TIC, résultats des tests de résilience, plans de continuité et de sortie des prestataires. Ils sont plus structurés que n'importe quel questionnaire de souscription.
L'assureur comme entité supervisée. Les assureurs doivent aussi appliquer DORA à leurs propres systèmes de gestion des sinistres et à leurs prestataires. Un prestataire critique commun à l'assureur et aux assurés crée une corrélation à prendre en compte.
Impact pour les assureursÉlevé
DORA rend mesurable la résilience numérique des banques, assureurs et intermédiaires, et la liste des prestataires TIC critiques rend visibles les points de cumul de tout le secteur financier.