Depuis le 17 janvier 2025, DORA s’applique aux banques, assureurs, entreprises d’investissement, entreprises de paiement et à de nombreuses autres entités financières. Le règlement exige une gestion documentée des risques liés aux TIC, la notification des incidents majeurs, des tests de résilience et le pilotage de vos prestataires de services TIC. Complass vous guide à travers toutes les parties et tient les preuves à disposition de l’autorité de surveillance.
Chaque service TIC doit figurer dans le registre d’informations, avec le contrat, la fonction et les sous-traitants. L’autorité de surveillance demande ce registre chaque année.
Classer rapidement les incidents
Des critères fixes déterminent si un incident lié aux TIC est majeur et à notifier. La notification initiale doit intervenir dans un délai de quelques heures.
Responsabilité de l’organe de direction
L’organe de direction est responsable du cadre de gestion des risques liés aux TIC et doit l’approuver, le superviser et le réexaminer régulièrement.
Ce qui s’applique à votre entreprise
DORA s’applique directement dans toute l’UE. Pour les petites entreprises et celles qui ne sont pas interconnectées, un cadre simplifié existe ; pour la plupart des autres, ces obligations s’appliquent :
Cadre de gestion des risques TIC avec stratégie, politiques, protection, détection, réaction et restauration, approuvé et supervisé par l’organe de direction Art. 5 DORAArticle 5 DORAGovernance and organisation1. Financial entities shall have in place an internal governance and control framework that ensures an effective and prudent management of ICT risk, in accordance with Article 6(4), in order to achieve a high level of digital operational resilience. 2. The management body of the financial entity shall define, approve, oversee and be responsible for the implementation of all arrangements related to the ICT risk …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Art. 6 DORAArticle 6 DORAICT risk management framework1. Financial entities shall have a sound, comprehensive and well-documented ICT risk management framework as part of their overall risk management system, which enables them to address ICT risk quickly, efficiently and comprehensively and to ensure a high level of digital operational resilience. 2. The ICT risk management framework shall include at least strategies, policies, procedures, ICT protocols and tools that …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
Enregistrer les incidents liés aux TIC, les classer selon des critères fixes et notifier les incidents majeurs en trois étapes : notification initiale, rapport intermédiaire et rapport final Art. 17 DORAArticle 17 DORAICT-related incident management process1. Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents. 2. Financial entities shall record all ICT-related incidents and significant cyber threats. Financial entities shall establish appropriate procedures and processes to ensure a consistent and integrated monitoring, handling and follow-up of ICT-related incidents, …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Art. 18 DORAArticle 18 DORAClassification of ICT-related incidents and cyber threats1. Financial entities shall classify ICT-related incidents and shall determine their impact based on the following criteria: - (a) the number and/or relevance of clients or financial counterparts affected and, where applicable, the amount or number of transactions affected by the ICT-related incident, and whether the ICT-related incident has caused reputational impact; - (b) the duration of the ICT-related incident, …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Art. 19 DORAArticle 19 DORAReporting of major ICT-related incidents and voluntary notification of significant cyber threats1. Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
Tester régulièrement la résilience opérationnelle numérique ; pour certaines entités, en plus par des tests d’intrusion fondés sur la menace Art. 24 DORAArticle 24 DORAGeneral requirements for the performance of digital operational resilience testing1. For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗Art. 26 DORAArticle 26 DORAAdvanced testing of ICT tools, systems and processes based on TLPT1. Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
Piloter le risque lié aux prestataires tiers de services TIC : stratégie, registre d’informations de tous les services TIC et stratégies de sortie Art. 28 DORAArticle 28 DORAGeneral principles1. Financial entities shall manage ICT third-party risk as an integral component of ICT risk within their ICT risk management framework as referred to in Article 6(1), and in accordance with the following principles: - (a) financial entities that have in place contractual arrangements for the use of ICT services to run their business operations shall, at all times, remain fully responsible for compliance with, and …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
Les contrats avec les prestataires de services TIC doivent comporter certains contenus, par exemple la description des services, les lieux de traitement des données, la coopération en cas d’incident, les droits d’audit et les droits de résiliation Art. 30 DORAArticle 30 DORAKey contractual provisions1. The rights and obligations of the financial entity and of the ICT third-party service provider shall be clearly allocated and set out in writing. The full contract shall include the service level agreements and be documented in one written document which shall be available to the parties on paper, or in a document with another downloadable, durable and accessible format. 2. The contractual arrangements on the use …État : 05.10.2026 · Source : EUR-LexOuvrir l’original (EUR-Lex) ↗
Les obligations de gestion des risques, de notification et de la direction prévues par la loi BSI ne s’appliquent pas aux entités financières relevant de DORA ; DORA prévaut dans cette mesure § 28, al. 6, BSIG§ 28 BSIGBesonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …État : 26.09.2026 · Source : gesetze-im-internet.deOuvrir l’original (gesetze-im-internet.de) ↗
Information générale, pas de conseil juridique. Cette page résume la situation juridique de manière simplifiée et ne remplace pas l’examen de votre cas particulier. Seul le texte des lois et des normes fait foi.
Entreprises types
Banques et caisses d’épargne Domaine prioritaire
Établissements de crédit avec IT propre ou externalisée, avec registre d’informations et tests de résilience.
Assureurs
Entreprises d’assurance et de réassurance, à l’exception des très petits assureurs ; les intermédiaires uniquement s’ils dépassent la taille d’une entreprise moyenne (art. 2, par. 3, DORA).
Établissements de paiement et de monnaie électronique
Services de paiement soumis à des exigences élevées de disponibilité et de notification des incidents.
Entreprises d’investissement et sociétés de gestion de portefeuille
Selon la taille, avec un cadre de gestion des risques TIC complet ou simplifié ; les petits gestionnaires enregistrés de fonds d’investissement alternatifs sont exclus.
Comment Complass vous aide
Mettre en œuvre DORA de manière guidée
Phases allant de l’applicabilité au réexamen du cadre, avec des modèles pour la stratégie, les politiques, le programme de tests ainsi que le plan de notification et de classification.
Modèle de travail pour le registre d’informations, examen des contrats selon l’art. 30 et plan de sortie pour chaque service TIC.
Risques TIC et gestion de la continuité d’activité
Registre des risques avec appétence au risque et plan de traitement, ainsi qu’analyse d’impact sur l’activité (BIA) et plans d’urgence pour les fonctions critiques.
Ce qu’il vous faut au minimum en tant que une entité financière
La première sélection couvre les obligations dans Complass, si elles s’appliquent à vous. Le contrôle d’applicabilité gratuit indique si c’est le cas. Vers le contrôle de concernement
Ce qu’il vous faut au minimum
Si DORA s’applique à votre entité financière : cette sélection couvre les obligations qui en découlent dans Complass. Elle est présélectionnée lorsque vous testez ou commandez.
Gestion de la continuité d’activité (BCM): Continuité d’activité des TIC : analyse d’impact sur l’activité, plans d’urgence et exercices, ISO 22301 incluse. (Art. 11 DORA (s’ouvre dans un nouvel onglet))
Gestion des incidents: inclus
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base): inclus
Prix de la sélection minimale
Poste
Prix net par mois
Start S
179 €
DORA
inclus
Gestion de la continuité d’activité (BCM)
79 €
RGPD, Règlement sur l’IA et Protection des lanceurs d'alerte (HinSchG) (protection de base)
inclus
Total
258 € HT/mois
En paiement annuel, durée minimale de 12 mois. Paiement mensuel avec une majoration de 15 %. Tous les prix hors TVA, état au 16/10/2026.
Bon à savoir : vous pouvez aussi remplir ces obligations sans Complass. Complass vous accompagne dans la mise en œuvre et la preuve, mais ne remplace pas un conseil juridique. Mentions juridiques
Autres offres
Vous pouvez utiliser dès aujourd’hui le référentiel DORA. Pour les prestataires de services TIC du secteur financier, nous préparons le modèle sectoriel « DORA pour prestataires de services TIC ».
disponible
référentiel DORA
Gestion des risques TIC, notification des incidents, tests de résilience et risque lié aux prestataires tiers de services TIC
Registre d’informations comme modèle de travail
Phase dédiée aux prestataires de services TIC avec les exigences de leurs clients du secteur financier
à partir de 179 € par mois HT dans l’offre Start, taille S, paiement annuel
Tous les prix s’adressent aux entreprises, et non aux consommateurs. Ils s’entendent hors TVA, avec paiement annuel ; en cas de paiement mensuel, une majoration de 15 % s’applique. État au 16/10/2026. Enterprise et groupes d’entreprises sur demande.
Les packs portant la mention « bientôt disponible » ou « en préparation » ne peuvent pas encore être réservés. Nous indiquerons le prix et l’étendue des prestations dès qu’un pack sera réservable. Nous vous présentons volontiers dès maintenant, lors de la démo, les référentiels et fonctions inclus, dans la mesure où ils sont disponibles.
Questions fréquentes
En tant que banque, devons-nous aussi mettre en œuvre NIS2 ?+
Pour la gestion des risques, les notifications et les obligations de la direction, DORA prévaut ; les dispositions correspondantes de la loi BSI ne s’appliquent pas aux entités financières relevant du champ d’application de DORA (§ 28, al. 6, BSIG). D’autres dispositions, par exemple sur l’enregistrement, ne sont pas citées dans cette exception. Examinez ces points au cas par cas.
DORA s’applique-t-il aussi aux petits établissements ?+
Oui, mais de manière proportionnée. Les petites entreprises d’investissement non interconnectées et quelques autres entités appliquent un cadre simplifié de gestion des risques TIC (art. 16 DORA). En Allemagne, la loi sur le secteur du crédit (KWG) étend en outre DORA à d’autres établissements.
Complass aide-t-il pour le registre d’informations ?+
Oui. Le référentiel DORA contient un modèle de travail pour le registre d’informations conforme aux normes techniques d’exécution. Le dépôt auprès de l’autorité de surveillance se fait par sa voie de notification.
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.
