Périmètre, proportionnalité, responsabilité

Qui est concerné

DORA s'applique à une vingtaine de catégories d'entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, dépositaires centraux, contreparties centrales, plateformes de négociation, référentiels centraux, gestionnaires de fonds, entreprises d'assurance et de réassurance, intermédiaires d'assurance, institutions de retraite professionnelle, agences de notation, administrateurs d'indices de référence, prestataires de services de financement participatif, et référentiels de titrisation.

S'y ajoutent, par désignation, les prestataires tiers de services TIC critiques, soumis à un cadre de supervision européen direct.

Quelques entités bénéficient d'un cadre simplifié au titre de l'article 16 — notamment les petites entreprises d'investissement et certaines institutions de retraite. Simplifié ne signifie pas exempté : les exigences fondamentales demeurent.

La proportionnalité

L'article 4 permet d'appliquer les exigences en tenant compte de la taille, du profil de risque et de la nature des activités. C'est une modulation de l'effort, pas une dispense.

La règle pratique : toute décision d'allègement doit être écrite, motivée et approuvée. Une note de proportionnalité de trois pages, approuvée par l'organe de direction, qui explique article par article ce qui est allégé et pourquoi, vaut infiniment mieux qu'une affirmation générale en réunion.

L'article 5, le premier examiné

DORA innove en rendant l'organe de direction personnellement responsable du cadre de gestion du risque TIC. Il doit :

• définir, approuver et superviser sa mise en œuvre ;
• y allouer un budget identifié ;
• maintenir ses propres connaissances à jour par une formation régulière ;
• recevoir un reporting périodique sur le risque TIC.

L'obligation de formation des administrateurs est nouvelle et souvent négligée. Elle se démontre par des attestations datées, pas par une mention au procès-verbal.

Les cinq piliers et leurs livrables

Le registre d'information du pilier 4 est, de loin, le livrable le plus coûteux à produire et le plus sous-estimé au démarrage.

L'architecture réglementaire

DORA est complété par des normes techniques de réglementation et des normes techniques d'exécution élaborées par les autorités européennes de surveillance. Elles précisent le contenu du cadre de risque, les critères de classification des incidents, le modèle du registre d'information et les modalités de la supervision des prestataires critiques.

Conséquence pratique : lire le règlement ne suffit pas. Les modèles et seuils opérationnels se trouvent dans les normes techniques, et ce sont elles qui déterminent le format exact des livrables attendus.