DORA : 1er rapport des ESA sur les incidents ICT majeurs

Focus — DORA : Premier rapport des ESA sur les incidents ICT majeurs, les leçons à tirer avant 2025

Les Autorités Européennes de Surveillance (EBA, EIOPA et ESMA) ont franchi une étape clé en publiant, ce 3 juin 2026, leur tout premier rapport conjoint sur les incidents majeurs liés aux technologies de l'information et de la communication (TIC). Ce document synthétise les données collectées dans le cadre de l'exercice de reporting volontaire initié le 17 janvier 2024, offrant une vue panoramique inédite sur le paysage des menaces numériques qui pèsent sur le secteur financier européen.

Ce rapport n'est pas une simple compilation statistique ; il constitue un véritable baromètre pour l'ensemble des entités financières soumises au règlement DORA (Digital Operational Resilience Act). L'enjeu principal est de permettre aux acteurs du marché de se préparer et d'ajuster leurs dispositifs avant l'entrée en vigueur du régime de reporting obligatoire, fixée au 17 janvier 2025.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le rapport se concentre sur les 'incidents majeurs liés aux TIC', une notion centrale de DORA. Un incident est qualifié de 'majeur' sur la base de critères précis, définis dans les Normes Techniques de Réglementation (RTS). Ces critères incluent le nombre de clients ou de transactions financières affectés, la durée de l'incident, son étendue géographique, la perte de données critiques, l'impact sur la réputation de l'entité ou encore ses conséquences économiques directes.

Le périmètre d'application est extrêmement large et couvre la quasi-totalité du secteur financier de l'Union Européenne : banques, compagnies d'assurance, entreprises d'investissement, prestataires de services sur crypto-actifs (PSCA), infrastructures de marché, etc. L'objectif de DORA est de remplacer le patchwork de réglementations nationales par un cadre harmonisé et exigeant, garantissant que le système financier européen puisse résister, répondre et se remettre de tout type de perturbation ou de menace liée aux TIC.

La base légale et réglementaire

Le cadre juridique de référence est le Règlement (UE) 2022/2554, dit DORA. Les dispositions relatives à la gestion et à la déclaration des incidents sont principalement détaillées dans les articles 17 à 23. L'article 17 impose aux entités financières de mettre en place un processus de gestion des incidents TIC complet pour détecter, gérer et notifier ces derniers de manière efficace.

L'article 18 exige la classification des incidents sur la base des critères mentionnés précédemment, et l'article 19 établit les obligations de reporting. Les entités doivent soumettre une notification initiale, un rapport intermédiaire et un rapport final aux autorités compétentes pour chaque incident majeur. Ce processus vise à permettre aux régulateurs d'évaluer l'impact systémique potentiel et de coordonner la réponse si nécessaire.

Les sanctions en cas de non-conformité sont dissuasives. DORA habilite les autorités nationales à imposer des amendes administratives pouvant atteindre, pour certaines entités comme les établissements de crédit, jusqu'à 10 % du chiffre d'affaires annuel total. L'esprit du texte est clair : la résilience opérationnelle numérique n'est plus une simple bonne pratique informatique, mais une obligation de conformité de premier plan.

Analyse du premier rapport des ESA : un 'stress test' avant l'heure

Ce premier rapport, bien que basé sur des données volontaires, est une mine d'enseignements. Il révèle les tendances émergentes et les vulnérabilités communes à travers le secteur. Les ESA indiquent que plusieurs centaines d'incidents ont été remontés, démontrant une participation significative de l'industrie à cet exercice préparatoire.

L'analyse des causes profondes est particulièrement éclairante. Le rapport souligne que les défaillances des systèmes et des logiciels internes représentent la cause première des incidents, suivies de près par les cyberattaques externes (ransomware, phishing, attaques par déni de service). Un point d'alerte majeur est la part significative des incidents dont l'origine se trouve chez un prestataire de services TIC tiers, confirmant la pertinence de l'encadrement renforcé des tiers critiques (CTPPs) par DORA.

En termes d'impact, le rapport met en évidence que les services de paiement et les systèmes de trading sont les plus fréquemment perturbés, entraînant des temps d'indisponibilité moyens de plusieurs heures et des pertes financières directes non négligeables. Les ESA insistent sur la nécessité pour les entités de mieux corréler les incidents techniques avec leurs impacts métiers réels.

Les recommandations formulées par les ESA sont claires : les entités financières doivent intensifier leurs efforts pour améliorer leurs capacités de détection, réduire les délais entre la découverte d'un incident et sa notification, et surtout, revoir en profondeur la gestion des risques liés à leurs dépendances externes. Le message est sans équivoque : le régulateur attend une maîtrise totale de la chaîne de valeur numérique.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer, ce rapport doit être le déclencheur d'un plan d'action immédiat :

1. Benchmarker et affiner la classification des incidents : Utilisez les typologies et les seuils implicites du rapport des ESA pour challenger votre propre matrice de classification. Vos critères internes sont-ils alignés avec la vision du régulateur ? C'est le moment idéal pour ajuster vos seuils (impact client, perte financière, durée) avant qu'ils ne deviennent contraignants.

2. Simuler la chaîne de reporting de bout en bout : Organisez un exercice de crise simulant un incident majeur. Testez l'ensemble du processus, de l'alerte technique initiale à la préparation des rapports (initial, intermédiaire, final) destinés à l'autorité compétente. Identifiez les goulots d'étranglement, les imprécisions dans les rôles et responsabilités (IT, Conformité, Légal, Communication, Direction) et corrigez-les.

3. Auditer les prestataires de services TIC critiques (CTPPs) : Le rapport confirme que le risque tiers est majeur. Ne vous contentez plus des clauses contractuelles. Planifiez et exécutez des audits techniques approfondis chez vos fournisseurs clés. Assurez-vous que vos contrats vous donnent le droit d'accès et d'audit requis par l'article 30 de DORA.

4. Mettre à jour la cartographie des risques opérationnels : Intégrez les causes profondes identifiées par les ESA (types de cyberattaques, vulnérabilités logicielles spécifiques) dans votre cartographie des risques. Réévaluez la probabilité et l'impact de ces scénarios pour votre entité et vérifiez que les plans de contrôle et de remédiation sont adéquats.

5. Former le Comité de Direction et les équipes opérationnelles : Utilisez ce rapport comme un support pédagogique concret pour sensibiliser le top management aux enjeux stratégiques de DORA. Pour les équipes IT et métiers, traduisez les conclusions du rapport en sessions de formation ciblées sur les nouvelles procédures de gestion et de déclaration d'incidents.

• 📎 European Supervisory Authorities (EBA, EIOPA, ESMA) — First joint report on major ICT-related incidents under DORA