DORA : résilience opérationnelle numérique

Le règlement DORA s’applique depuis le 17 janvier 2025 aux établissements de paiement, aux établissements de monnaie électronique, aux entreprises d’investissement, aux gestionnaires de fonds, aux prestataires de services sur crypto-actifs, aux assureurs et à d’autres entités financières. La surveillance est exercée par la ČNB, qui contrôle depuis 2025 le respect de DORA. Nous préparons la documentation complète, adaptons les contrats avec les prestataires TIC, établissons le registre d’informations et mettons en place la notification des incidents.

Mis à jour le 11 novembre 2026

À qui DORA s’applique-t-il ?

Le règlement (UE) 2022/2554 (DORA) s’applique aux entités financières visées à l’article 2, notamment :

• les banques, les établissements de paiement et de monnaie électronique, y compris les petits prestataires de services de paiement et les petits émetteurs de monnaie électronique,
• les prestataires de services sur crypto-actifs (PSCA),
• les entreprises d’investissement, les gestionnaires de fonds d’investissement alternatifs et les sociétés de gestion,
• les entreprises d’assurance et de réassurance et les intermédiaires d’assurance de plus grande taille,
• les prestataires de services de financement participatif (crowdfunding).

DORA ne s’applique pas, en revanche, par exemple aux gestionnaires de fonds sous les seuils visés à l’article 3, paragraphe 2, de la directive AIFM, en République tchèque typiquement aux personnes relevant du § 15 ZISIF, ni aux intermédiaires d’assurance qui sont des petites ou moyennes entreprises (article 2, paragraphe 3, de DORA).

Qu’exige DORA ?

1. Gestion des risques liés aux TIC (articles 5 à 16) : stratégie de résilience opérationnelle numérique, inventaire des actifs, politiques de sécurité, continuité d’activité, sauvegarde et restauration. Les petits prestataires de services de paiement, les petits émetteurs de monnaie électronique et les petites entreprises d’investissement peuvent appliquer le cadre simplifié de l’article 16.
2. Gestion et notification des incidents (articles 17 à 23) : classification des incidents et notification des incidents majeurs à la ČNB.
3. Tests (articles 24 à 27) : programme de tests, systèmes critiques testés au moins une fois par an. Les tests de pénétration fondés sur la menace (TLPT) au moins tous les trois ans ne concernent que les entités désignées par la ČNB.
4. Gestion du risque lié aux tiers (articles 28 à 30) : registre d’informations sur les contrats avec les prestataires TIC, clauses contractuelles obligatoires et stratégies de sortie.

Que contrôle la ČNB en pratique ?

La ČNB a lancé en 2025 sa première surveillance au titre de DORA. Elle a inclus 16 entités des services d’investissement et de paiement dans un examen pilote et utilisé un questionnaire de plus de 400 questions de contrôle. C’est la gestion des relations avec les prestataires TIC qui a demandé le plus de travail aux entreprises : elles ont dû modifier les contrats, compléter les obligations des prestataires et commencer à tenir des registres qu’elles ne tenaient pas systématiquement auparavant (Právní prostor, rapport annuel de la ČNB pour 2025, en tchèque).

Qu’est-ce que le registre d’informations et quand le remet-on ?

Le registre d’informations recense tous les contrats avec des prestataires de services TIC, y compris le cloud, les logiciels et l’externalisation informatique (article 28, paragraphe 3, de DORA). La ČNB le collecte via le système SDAT. En 2026, la date limite était le 2 mars 2026. La ČNB informe les entités déclarantes de l’obligation et de l’échéance par une notification (ČNB, DORA – entités déclarantes, en tchèque).

Dans quel délai notifier un incident majeur ?

• notification initiale : dans les 4 heures suivant la classification de l’incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance,
• rapport intermédiaire : dans les 72 heures suivant la notification initiale,
• rapport final : dans le mois suivant le dernier rapport intermédiaire.

Les délais sont fixés par le règlement délégué (UE) 2025/301 de la Commission. La procédure de classification et de notification doit donc être prête à l’avance, et non pendant l’incident.

Comment DORA s’articule-t-il avec la loi tchèque sur la cybersécurité ?

Pour les entités financières, DORA est un acte sectoriel. Lorsqu’il régit de manière équivalente la gestion des cyber-risques et la notification des incidents, il prime sur la loi n° 264/2025 Rec. sur la cybersécurité, qui transpose la directive NIS2. La loi sur la cybersécurité s’applique toutefois là où DORA ne règle pas la matière, par exemple pour l’enregistrement auprès du NÚKIB. La surveillance principale est exercée par la ČNB, le NÚKIB intervenant à titre complémentaire (déclaration commune de la ČNB et du NÚKIB, 24 juin 2026, en tchèque).

Comment pouvons-nous vous aider ?

• Documentation DORA sur mesure : stratégie, politiques, procédures internes, inventaire des actifs TIC et plans de continuité.
• Contrats avec les prestataires TIC : revue et compléments selon l’article 30 de DORA.
• Registre d’informations : établissement du registre et transmission à la ČNB.
• Incidents : procédure de classification et de notification, modèles de notification pour la ČNB.
• Tests : programme de tests de résilience opérationnelle numérique.
• Contrôle de la ČNB : préparation au questionnaire et à l’examen.

Nous livrons la documentation sous forme de forfait de services pour la mise en œuvre de DORA. Pour les nouveaux demandeurs d’une licence de la ČNB, nous la préparons directement dans le cadre de la demande.

Questions fréquentes

DORA s’applique-t-il aussi aux petits établissements de paiement ?

Oui. DORA s’applique aussi aux petits prestataires de services de paiement et aux petits émetteurs de monnaie électronique. Ils peuvent toutefois appliquer le cadre simplifié de gestion des risques liés aux TIC de l’article 16.

DORA s’applique-t-il aux personnes relevant du § 15 ZISIF ?

Non. Les gestionnaires de fonds sous les seuils visés à l’article 3, paragraphe 2, de la directive AIFM sont exclus du champ d’application de DORA.

Devons-nous réaliser des tests de pénétration TLPT ?

Seulement si la ČNB vous désigne. Les autres entités testent selon leur propre programme de tests, les systèmes critiques au moins une fois par an.

Devons-nous modifier les contrats avec les fournisseurs de cloud et de logiciels ?

Dans la plupart des cas, oui. Les contrats doivent contenir les clauses exigées par l’article 30 de DORA et des exigences plus strictes s’appliquent aux services qui soutiennent des fonctions critiques ou importantes, comme le droit d’audit et les stratégies de sortie.

Combien coûte la mise en œuvre de DORA ?

Le prix dépend de la taille de l’entreprise, de l’étendue de ses activités et de la documentation dont vous disposez déjà. Après une première consultation, nous vous préparerons une offre écrite sur mesure.

Écrivez-nous à info@stuchlikova.com pour convenir d’une première consultation.

Sources

• Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA)
• ČNB, DORA – entités déclarantes, en tchèque
• déclaration commune de la ČNB et du NÚKIB, 24 juin 2026, en tchèque
• Právní prostor, rapport annuel de la ČNB pour 2025, en tchèque

Références

Interlocuteurs clés

Zuzana Stuchlíková

Maxim Obuchov

Bára Vančurová