Priorités 2025 des ESA : Digitalisation, Cyber, Finance Durable

Focus — Priorités 2025 des ESA : Digitalisation, Cyber-résilience et Finance Durable au cœur du réacteur réglementaire

Le Comité Conjoint des Autorités Européennes de Surveillance (ESA), qui réunit l'EBA, l'ESMA et l'EIOPA, a officiellement dévoilé ses priorités de travail pour l'année 2025. Sans surprise, trois piliers stratégiques se détachent et formeront l'ossature de la supervision financière européenne : la digitalisation, la cyber-résilience et la finance durable. Cette annonce n'est pas une simple déclaration d'intention, mais bien la feuille de route opérationnelle qui guidera les actions des régulateurs nationaux et européens.

Pour les professionnels de la conformité et des risques, le message est clair. L'enjeu principal n'est plus seulement de comprendre chaque réglementation de manière isolée, mais de maîtriser leur interconnexion et d'orchestrer leur mise en œuvre concertée. L'heure est à l'intégration de ces nouvelles frontières du risque au sein des dispositifs de contrôle interne, avec une attention particulière portée à la convergence des pratiques et à la robustesse des processus.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le Comité Conjoint des ESA est l'organe de coopération qui assure la cohérence réglementaire et prudentielle entre les trois secteurs de la finance européenne : bancaire (EBA), marchés financiers (ESMA), et assurances et pensions professionnelles (EIOPA). Son programme de travail annuel constitue un indicateur avancé des thématiques qui feront l'objet d'une surveillance accrue. Les priorités 2025 confirment une tendance de fond : le passage d'une phase de production normative intense à une phase de supervision active de la mise en œuvre.

Les trois piliers définis sont profondément liés. La digitalisation englobe la transformation numérique du secteur, mais surtout son encadrement par des textes majeurs comme le règlement sur les marchés de crypto-actifs (MiCA) et le futur AI Act. La cyber-résilience en est le corollaire direct, matérialisé par le règlement sur la résilience opérationnelle numérique (DORA). Enfin, la finance durable vise à poursuivre la lutte contre le greenwashing et à assurer l'application effective des cadres SFDR, CSRD et de la Taxonomie, en s'appuyant sur des données fiables et comparables.

La base légale et réglementaire

Sur l'axe Digitalisation et Cyber-résilience, le texte de référence est le Règlement (UE) 2022/2554, dit DORA, qui deviendra pleinement applicable en janvier 2025. Il impose un cadre de gestion des risques liés aux technologies de l'information et de la communication (TIC) unifié et exigeant : gouvernance et contrôle interne renforcés, processus de gestion des incidents, tests de résilience avancés (TLPT), et surtout, un cadre de surveillance directe des prestataires tiers critiques de services TIC. À cela s'ajoute le Règlement (UE) 2023/1114 (MiCA), qui établit un régime harmonisé pour les émetteurs de crypto-actifs et les prestataires de services sur crypto-actifs (PSCA).

Concernant la finance durable, l'arsenal réglementaire est déjà dense. Le Règlement (UE) 2019/2088 (SFDR) sur la publication d'informations en matière de durabilité, complété par ses normes techniques (RTS), impose des obligations de transparence précises. La Directive (UE) 2022/2464 (CSRD) étend considérablement le périmètre et la granularité du reporting de durabilité des entreprises, créant un flux de données ESG essentiel pour les acteurs financiers. Enfin, le Règlement (UE) 2020/852 (Taxonomie) fournit un système de classification des activités économiques durables, pierre angulaire de la réorientation des flux de capitaux.

Le rôle des ESA dans ce contexte est de finaliser les derniers standards techniques (RTS/ITS), de publier des orientations (Guidelines) pour assurer une application convergente et de coordonner les actions de supervision des autorités nationales compétentes (comme l'AMF et l'ACPR en France) pour garantir un level playing field au sein de l'Union.

Analyse : Une feuille de route pour l'intégration des nouvelles frontières du risque

L'année 2025 marque un point d'inflexion. Le focus des ESA se déplace clairement de la conception des règles vers leur application effective et leur supervision. Pour les entités financières, cela signifie que la période de grâce pour l'interprétation des textes est révolue. Les régulateurs attendent désormais des dispositifs robustes, documentés et pleinement opérationnels. L'interconnexion des thèmes est le principal défi : un incident cyber (DORA) peut impacter la continuité de service, mais aussi la protection des données (RGPD) et la réputation d'un produit financier présenté comme durable (SFDR).

Cette approche conjointe des ESA reflète la nature systémique et trans-sectorielle de ces nouveaux risques. La dépendance du secteur financier envers un nombre restreint de fournisseurs de cloud ou de données de marché est un risque de concentration qui sera au cœur de la surveillance DORA. De même, le risque de 'greenwashing' n'est plus seulement un risque de réputation, mais un risque de non-conformité majeur, susceptible d'entraîner des sanctions financières et des contentieux.

La qualité des données est le dénominateur commun de ces trois piliers. Qu'il s'agisse des flux de threat intelligence pour la cybersécurité, des registres d'activités de traitement pour le RGPD, ou des indicateurs ESG pour la finance durable, la capacité à collecter, contrôler et reporter des données fiables et auditables est devenue une condition sine qua non de la conformité. Les ESA porteront une attention particulière à la gouvernance des données au sein des établissements.

Ce que ça change opérationnellement (Plan d'action)

Pour les Compliance et Risk Officers, cette feuille de route se traduit par des actions concrètes à initier ou à renforcer dès maintenant :

• 1. Dé-siloter les projets réglementaires : Mettre en place une gouvernance transverse (IT, Risques, Conformité, Juridique, ESG) pour piloter la mise en œuvre de DORA, MiCA et de la finance durable. Cartographier les impacts croisés : par exemple, comment la sélection d'un fournisseur de données ESG est-elle évaluée au regard des exigences de DORA sur les tiers ?
• 
  
• 2. Formaliser le cadre de résilience opérationnelle : Le dispositif DORA ne doit pas être un simple projet informatique. Il nécessite une implication forte du Conseil d'administration, la mise à jour de la cartographie des risques TIC, la définition et le test des plans de réponse à incidents, et la préparation des schémas de reporting réglementaire en cas d'incident majeur.
• 
  
• 3. Industrialiser la chaîne de valeur des données ESG : Passer des processus manuels à des systèmes robustes et auditables pour la collecte, le traitement et la publication des informations de durabilité. La due diligence sur les fournisseurs de données ESG doit être aussi rigoureuse que celle sur les fournisseurs de données financières.
• 
  
• 4. Mettre à jour la cartographie des risques de non-conformité : Intégrer et quantifier de nouveaux scénarios de risque : 'sanction pour greenwashing', 'interruption d'activité suite à la défaillance d'un prestataire cloud critique', 'non-respect des délais de notification d'un incident cyber à l'ACPR'. Définir les KRI associés.
• 
  
• 5. Renforcer la diligence sur les tiers critiques (TPRM) : Auditer les contrats avec les prestataires TIC critiques pour s'assurer de leur conformité avec les exigences de DORA (droits d'audit, stratégies de sortie, etc.). Le périmètre va bien au-delà des seuls hébergeurs cloud et inclut les fournisseurs de logiciels ou de données essentiels à la continuité d'activité.
• 
  
• 6. Préparer les équipes aux contrôles sur pièces et sur place : Les superviseurs vont commencer à auditer l'effectivité des dispositifs. Il est crucial de documenter toutes les décisions, analyses et contrôles effectués pour être en mesure de démontrer la conformité à tout moment.

Sources :

• 📎 EBA — The ESA’s Joint Committee highlights digitalisation, cyber resilience and sustainable finance as key priorities of 2025