Formation DORA non faite : qui est concerné, quels risques ?

Le règlement européen DORA sur la résilience opérationnelle numérique du secteur financier s'applique depuis le 17 janvier 2025. On en retient surtout le registre des prestataires informatiques et la notification des incidents. Il contient pourtant deux obligations de formation explicites, l'une pour les dirigeants, l'autre pour tout le personnel. Avant de se demander ce que l'on risque à ne pas les avoir mises en œuvre, une question passe devant : êtes-vous vraiment dans le champ ? Beaucoup de petits acteurs de l'assurance et du crédit ne le sont pas. Voici ce que dit le texte, publié au Journal officiel de l'Union le 27 décembre 2022 ; la base de l'Office des publications de l'UE ne recense aucun acte modificatif au 23 septembre 2026.

Êtes-vous dans le champ de DORA ?

Les entités visées

L'article 2, paragraphe 1, dresse une liste fermée : vingt catégories d'« entités financières », plus les prestataires tiers de services informatiques. Pour les lecteurs de ce site, les plus fréquentes sont :

• les établissements de crédit, les établissements de paiement et de monnaie électronique ;
• les entreprises d'investissement et les sociétés de gestion ;
• les entreprises d'assurance et de réassurance ;
• les intermédiaires d'assurance, de réassurance et à titre accessoire ;
• les prestataires de services de financement participatif.

Les exclusions qui comptent

L'article 2, paragraphe 3, exclut expressément, point e), les intermédiaires d'assurance, de réassurance et à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises. Les définitions sont celles de DORA lui-même (article 3) :

• microentreprise : moins de 10 personnes et un chiffre d'affaires annuel et/ou un total de bilan qui n'excède pas 2 millions d'euros ;
• petite entreprise : de 10 à moins de 50 personnes, chiffre d'affaires et/ou bilan compris entre 2 et 10 millions d'euros ;
• moyenne entreprise : moins de 250 personnes, chiffre d'affaires n'excédant pas 50 millions d'euros et/ou bilan n'excédant pas 43 millions d'euros.

Conséquence : la très grande majorité des cabinets de courtage, agences générales et mandataires d'assurance sont hors du champ de DORA. Seuls les grands intermédiaires y entrent.

Deux autres professions très présentes sur ce site ne figurent pas dans la liste de l'article 2 : les intermédiaires en opérations de banque et en services de paiement (IOBSP) et les conseillers en investissements financiers (CIF). DORA ne leur est pas applicable en tant que tels. S'ils travaillent pour une banque, un assureur ou une société de gestion qui y est soumise, ils peuvent en revanche être concernés indirectement, par le contrat qui les lie à cette entité.

Le cadre simplifié

L'article 16 prévoit un cadre simplifié pour certaines petites entités (notamment les petites entreprises d'investissement non interconnectées, établissements de paiement et de monnaie électronique exemptés, petites institutions de retraite professionnelle). Pour elles, les articles 5 à 15, dont les deux obligations de formation détaillées ci-dessous, ne s'appliquent pas. Elles doivent néanmoins élaborer, « en fonction des besoins et du profil de risque », des programmes de sensibilisation à la sécurité et de formation à la résilience pour le personnel et la direction (article 16, paragraphe 1, point h).

Le premier module de notre formation sert justement à faire ce diagnostic. Si vous êtes hors champ, ce guide vous est utile pour vos clients et partenaires soumis à DORA, pas pour vous.

Les deux obligations de formation

Les dirigeants : article 5, paragraphe 4

L'organe de direction « assume la responsabilité ultime de la gestion du risque lié aux TIC » (article 5, paragraphe 2). Pour exercer cette responsabilité, ses membres « maintiennent activement à jour des connaissances et des compétences suffisantes pour comprendre et évaluer le risque lié aux TIC », « notamment en suivant régulièrement une formation spécifique proportionnée au risque lié aux TIC géré ». Le même article leur demande d'allouer un budget approprié, y compris aux programmes de sensibilisation et de formation (article 5, paragraphe 2, point g).

Tout le personnel : article 13, paragraphe 6

Les entités financières « élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu'elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires ». Ces programmes sont destinés à tous les employés et aux membres de la direction, avec un niveau de complexité proportionné à leurs fonctions. Le cas échéant, les prestataires informatiques tiers y sont associés.

Deux lectures erronées à éviter : DORA ne fixe aucune durée de formation, et il n'impose pas un organisme ou un format. Il impose un programme intégré, obligatoire, proportionné et renouvelé.

Ce que vous risquez

Le cadre européen

DORA ne fixe pas lui-même de montants d'amende pour les entités financières. L'article 50 oblige les États membres à prévoir des sanctions administratives et des mesures correctives « effectives, proportionnées et dissuasives » et à donner aux autorités au minimum le pouvoir :

• d'accéder à tout document ou donnée ;
• de mener des inspections sur place et des enquêtes ;
• d'ordonner de mettre fin à un comportement et d'en interdire la réitération ;
• d'exiger la cessation d'une pratique ;
• de prendre toute mesure, y compris pécuniaire, pour garantir le respect des obligations ;
• de publier l'identité de la personne et la nature de la violation.

Surtout, l'article 50, paragraphe 5, prévoit que ces sanctions puissent s'appliquer aux membres de l'organe de direction et aux autres personnes responsables de la violation. L'article 54 impose de publier les sanctions devenues définitives, sauf cas où la publication serait disproportionnée.

En France : les pouvoirs de droit commun de l'ACPR et de l'AMF

En France, l'ACPR et l'AMF supervisent l'application de DORA, chacune pour les entités qu'elle contrôle. L'ACPR contrôle le respect par les personnes soumises à son contrôle des « dispositions européennes qui leur sont directement applicables » (article L612-1 du code monétaire et financier), ce qui inclut un règlement comme DORA.

• Établissements de crédit, assureurs, établissements de paiement : l'article L612-39 (version en vigueur depuis le 10 avril 2026) permet à la commission des sanctions de l'ACPR de sanctionner la violation de toute « disposition européenne » dont elle assure le respect : avertissement, blâme, interdiction de certaines opérations, suspension ou démission d'office de dirigeants, retrait partiel ou total d'agrément, assortis le cas échéant d'une sanction pécuniaire dans les limites fixées par ce même article.
• Grands intermédiaires d'assurance : l'article L612-41 prévoit l'avertissement, le blâme, l'interdiction de certaines opérations, la suspension ou la démission d'office de dirigeants, la radiation du registre de l'ORIAS et l'interdiction d'exercer l'intermédiation (jusqu'à dix ans), avec une sanction pécuniaire au plus égale à 100 millions d'euros.
• Entités contrôlées par l'AMF (sociétés de gestion notamment) : l'article L621-15 prévoit l'avertissement, le blâme, l'interdiction temporaire ou définitive de tout ou partie des services, et une sanction pécuniaire jusqu'à 100 millions d'euros ou le décuple de l'avantage retiré.

Nous n'avons pas identifié, au 23 septembre 2026, de décision de sanction publiée en France portant sur le seul défaut de formation DORA. Il serait donc faux d'annoncer un « tarif » type. Ce qui est certain, c'est que l'absence de programme de formation est un manquement objectif, facile à établir par pièces, et qu'il vise directement l'organe de direction.

Les risques qui ne sont pas des amendes

• L'incident lui-même. Un incident informatique peut démarrer par une simple erreur humaine : un courriel piégé ouvert, un mot de passe réutilisé, un fichier partagé au mauvais endroit. DORA impose de classer et de notifier les incidents majeurs, puis de mener un examen post-incident (article 13, paragraphe 2) ; si l'examen révèle qu'aucune formation n'avait été organisée, le constat figure dans votre propre dossier.
• La relation avec l'autorité. Les entités autres que les microentreprises communiquent sur demande à l'autorité les changements apportés après un incident majeur (article 13, paragraphe 2). Un programme de formation inexistant se voit immédiatement.
• Les prestataires et les partenaires. Une entité soumise à DORA doit maîtriser le risque lié à ses prestataires informatiques et peut les associer à ses programmes de formation. Elle peut répercuter ces exigences dans ses contrats.