Complass – Navigate compliance Complass – Navigate compliance
Langue FR
Deutsch English Français Italiano Español Nederlands Polski Português
Essayer gratuitement

référentiel

DORA – Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique

DORA s’applique depuis le 17 janvier 2025 aux banques, assureurs, prestataires de services de paiement et autres entités financières et, par leurs contrats, concerne aussi leurs prestataires informatiques, cloud et logiciels. Complass accompagne les deux côtés : de la gestion des risques TIC à la matrice d’exigences de vos clients financiers.

Essayer gratuitement Demander une démo
Image fixe de la courte vidéo « La gestion de la conformité en 20 secondes »
La gestion de la conformité en 20 secondes Projet, prochaine étape, liste de contrôle, déclaration d’applicabilité, dossier d’audit. Beispieldaten der Demo-Firma.

Qu’est-ce que DORA?

DORA est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. Il régit de manière uniforme la gestion des risques liés aux TIC, la classification et la notification des incidents majeurs liés aux TIC, les tests de résilience opérationnelle numérique, la gestion du risque lié aux prestataires tiers de services TIC, y compris le registre d’informations et le contenu des contrats, ainsi que la surveillance des prestataires tiers critiques de services TIC. Des règlements délégués et d’exécution de la Commission en fixent les détails.

État des contenus:

Suis-je concerné ?

DORA s’applique directement aux entités financières visées à l’art. 2, par exemple les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d’investissement, les sociétés de gestion, les entreprises d’assurance et de réassurance et les prestataires de services sur crypto-actifs. En Allemagne, le § 1a, al. 2, KWG, le § 1a, al. 2a, KWG (obligations de notification depuis le 17 janvier 2025, pour le reste à partir du 1er janvier 2027) et le § 293, al. 5, VAG étendent le périmètre. Des allègements s’appliquent aux microentreprises et aux entités relevant du cadre simplifié selon l’art. 16. Pour les entités financières, DORA prime sur la réglementation NIS2 en tant qu’acte plus spécifique, dans la mesure où DORA contient des exigences équivalentes (art. 4 de la directive NIS2).

Les prestataires informatiques, cloud, logiciels et de services gérés sont concernés indirectement en tant que prestataires tiers de services TIC : leurs clients financiers restent pleinement responsables et doivent exiger d’eux le contenu contractuel selon l’art. 30, des droits d’audit et d’accès, une assistance en cas d’incident, une participation aux tests et des stratégies de sortie. Une phase dédiée du module guide les prestataires à travers ces exigences.

Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.

Base juridique

  • Art. 2 DORAArticle 2 DORA Scope1. Without prejudice to paragraphs 3 and 4, this Regulation applies to the following entities: - (a) credit institutions; - (b) payment institutions, including payment institutions exempted pursuant to Directive (EU) 2015/2366; - (c) account information service providers; - (d) electronic money institutions, including electronic money institutions exempted pursuant to Directive 2009/110/EC; - (e) investment firms; - …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Champ d’application
  • Art. 3 DORAArticle 3 DORA DefinitionsFor the purposes of this Regulation, the following definitions shall apply: (1) ‘digital operational resilience’ means the ability of a financial entity to build, assure and review its operational integrity and reliability by ensuring, either directly or indirectly through the use of services provided by ICT third-party service providers, the full range of ICT-related capabilities needed to address the security of …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Définitions, notamment services TIC et fonction critique ou importante
  • Art. 5 DORAArticle 5 DORA Governance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Gouvernance et responsabilité de l’organe de direction
  • Art. 16 DORAArticle 16 DORA Simplified ICT risk management framework1. Articles 5 to 15 of this Regulation shall not apply to small and non-interconnected investment firms, payment institutions exempted pursuant to Directive (EU) 2015/2366; institutions exempted pursuant to Directive 2013/36/EU in respect of which Member States have decided not to apply the option referred to in Article 2(4) of this Regulation; electronic money institutions exempted pursuant to Directive …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Cadre simplifié de gestion des risques liés aux TIC
  • Art. 19 DORAArticle 19 DORA Reporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Notification des incidents majeurs liés aux TIC
  • Art. 28 DORAArticle 28 DORA General principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Risque lié aux prestataires tiers de services TIC et registre d’informations
  • Art. 30 DORAArticle 30 DORA Key contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Dispositions contractuelles essentielles
  • Art. 5 DelVO (EU) 2025/301Article 5 Delegated Regulation (EU) 2025/301 Time limits for the initial notification, and for the intermediate and final reports1. Financial entities shall submit the initial notification and the intermediate and final reports as referred to in Article 19(4), points (a), (b) and (c), of Regulation (EU) 2022/2554 within the following time limits: - (a) for the initial report: as early as possible, but in any case, within four hours from the classification of the ICT-related incident as a major ICT-related incident and no later than 24 hours …État : 06.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Délais pour la notification initiale, le rapport intermédiaire et le rapport final

Dates clés

  1. Entrée en vigueur du règlement · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
  2. DORA applies in all EU Member States · Art. 64Article 64 DORA Entry into force and applicationThis Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. It shall apply from 17 January 2025.État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
  3. First submission of the register of information to BaFin (as of 31.03.2025) · Art. 28, par. 3
  4. End of the 2026 submission period for the register of information to BaFin (09–30.03.2026, reference date 31.12.2025) · Art. 28, par. 3
  5. DORA applies to further KWG institutions under § 1a(2a) KWG (except Chapter III, which has applied since 17.01.2025) · § 65a(3) KWG

Les délais de notification des incidents majeurs sont courts : notification initiale dans les quatre heures suivant la qualification d’incident majeur, au plus tard 24 heures après en avoir pris connaissance (art. 5 du règlement délégué (UE) 2025/301). Le rapport intermédiaire suit au plus tard 72 heures après la notification initiale, le rapport final au plus tard un mois après le rapport intermédiaire ou le dernier rapport intermédiaire actualisé (art. 5, par. 1, points b et c, du règlement délégué (UE) 2025/301). Les entités financières transmettent chaque année le registre d’informations à la BaFin ; vérifiez les échéances actuelles de la BaFin.

Comment Complass vous aide

  • 8phases
  • 36étapes guidées
  • 18modèles de documents
  • 107exigences dans le catalogue

  • Projet DORA guidé

    Huit phases, de l’applicabilité et du rôle à la gestion du risque lié aux tiers et au réexamen régulier, en passant par la gouvernance, la protection, les incidents et les tests ; chaque étape indique si elle s’applique aux entités financières, aux prestataires TIC ou aux deux.

  • Catalogue d’exigences par article

    Les exigences des art. 5 à 30 et 45 au niveau du paragraphe, avec le libellé d’origine, le statut et la preuve, complétées par les exigences des clients du point de vue des prestataires TIC.

  • Modèles

    Document-cadre, stratégie de résilience, politique de sécurité de l’information, plan de notification et de classification, programme de tests, registre d’informations, examen des contrats selon l’art. 30, plan de sortie et, pour les prestataires, matrice d’exigences, données du registre et notification d’incident.

  • Documenter les tiers et les incidents

    Tenir le registre d’informations, l’examen des contrats selon l’art. 30 et le plan de sortie sous forme de modèles dans le projet, et documenter les incidents avec horodatage dans le registre des incidents. Pour les incidents majeurs liés aux TIC, la voie de notification DORA calcule les délais de la notification initiale, du rapport intermédiaire et du rapport final et prépare les informations obligatoires. Vous classez vos prestataires tiers de services TIC dans la gestion des fournisseurs et y gérez contrats, preuves et questionnaires.

Les phases du module

  1. Applicability, role and relationship to NIS2
  2. Governance and ICT risk management framework
  3. Protect, detect, respond, recover
  4. ICT-related incidents: management, classification, reporting
  5. Digital operational resilience testing
  6. ICT third-party risk
  7. Meeting the DORA requirements of your financial customers as an ICT third-party service provider
  8. Information sharing, evidence, effectiveness and improvement

Catalogue: DORA requirements catalogue by chapter and article

Modules associés

Gestion de la conformité

Mettre en œuvre des référentiels de façon guidée : phases, modèles, pyramide documentaire, catalogues, analyse des écarts, objectifs et plan d'actions jusqu'à l'audit dans le portail des auditeurs.

En savoir plus

Gestion des risques

Registre des risques avec appréciation qualitative ou quantitative, appétence au risque et plan de traitement, relié aux actifs, aux vulnérabilités et aux incidents.

En savoir plus

Gestion des incidents

Enregistrez les incidents, vérifiez les obligations de notification au titre de NIS2, du CRA et du RGPD et suivez les délais de notification avec un compte à rebours.

En savoir plus

DORA dans Complass : ce qu’il vous faut au minimum

La première sélection couvre les obligations dans Complass, si elles s’appliquent à vous. Le contrôle d’applicabilité gratuit indique si c’est le cas. Vers le contrôle de concernement

Ce qu’il vous faut au minimum

Si DORA s’applique à vous : cette sélection couvre les obligations qui en découlent dans Complass. Elle est présélectionnée lorsque vous testez ou commandez.

Taille du portail Start

Prix de la sélection minimale
PostePrix net par mois
Start S179 €
DORAinclus
Gestion de la continuité d’activité (BCM)79 €
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)inclus
Total258 € HT/mois

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Essai gratuit de 14 jours: Sélection minimale DORA Commander: Sélection minimale DORA

Ajuster la sélection dans l’aperçu des prix: Sélection minimale DORA

Recommandé pour plus d’effet Offre, pas une obligation

Business avec Supplier Management

Plus d’effet avec Gestion des risques et Supplier Management, de la place pour 10 utilisateurs et 2 référentiels.

548 € net/mois, 290 € de plus que la sélection minimale.

En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.

Tester avec Business: Sélection minimale DORA

Voir dans l’aperçu des tarifs: Sélection minimale DORA

Bon à savoir : vous pouvez aussi remplir ces obligations sans Complass. Complass vous accompagne dans la mise en œuvre et la preuve, mais ne remplace pas un conseil juridique. Mentions juridiques

Questions fréquentes

Nous sommes un prestataire informatique et non une entité financière. DORA nous concerne-t-il ?

Oui, indirectement, si vous fournissez des services TIC à des entités financières. Vos clients doivent convenir avec vous du contenu contractuel selon l’art. 30 et exigent des informations pour leur registre, une assistance en cas d’incident, des audits et des stratégies de sortie. Seuls les prestataires tiers critiques de services TIC selon l’art. 31 sont soumis à une surveillance directe.

DORA ou NIS2 s’applique-t-il à nous ?

Pour les entités financières, DORA est l’acte plus spécifique ; le § 28, al. 6, BSIG les exempte des obligations centrales de NIS2. Les prestataires TIC peuvent en revanche relever eux-mêmes de NIS2 et devoir en outre satisfaire aux exigences DORA de leurs clients. La vérification de l’assujettissement dans Complass couvre le volet NIS2.

Complass transmet-il des notifications à la BaFin ?

Non. Complass vous aide à documenter les incidents avec horodatage, à justifier la qualification de majeur à l’aide de questions de contrôle, à calculer les délais de notification et à préparer les notifications avec leurs informations obligatoires. La notification elle-même, vous la transmettez par la voie prescrite par l’autorité de surveillance ; l’appréciation juridique au cas par cas vous revient.

Où gérons-nous les licences logicielles et les contrats de maintenance pour le registre d’informations ?

Dans le registre « Contrats et licences » de la gestion des actifs, avec durée, délai de résiliation, responsables, actifs liés et preuves ; avec la gestion des fournisseurs, également auprès du prestataire concerné. Il fournit des informations pour votre registre d’informations selon l’art. 28 DORA ; Complass ne propose pas d’export au format du règlement d’exécution (UE) 2024/2956.

Testez Complass avec vos propres données

Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.

Essayer gratuitement Demander une démo