À qui s’applique DORA ?

L’article 2, paragraphe 1, de DORA cite vingt catégories d’entités financières, points a) à t) :

• les établissements de crédit ;
• les établissements de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique, y compris les établissements de paiement et de monnaie électronique exemptés ;
• les entreprises d’investissement ;
• les prestataires de services sur crypto-actifs agréés en vertu du règlement sur les marchés de crypto-actifs, et les émetteurs de jetons se référant à des actifs ;
• les dépositaires centraux de titres, les contreparties centrales, les plates-formes de négociation et les référentiels centraux ;
• les gestionnaires de fonds d’investissement alternatifs et les sociétés de gestion ;
• les prestataires de services de communication de données ;
• les entreprises d’assurance et de réassurance, et les intermédiaires d’assurance, de réassurance et d’assurance à titre accessoire ;
• les institutions de retraite professionnelle ;
• les agences de notation de crédit et les administrateurs d’indices de référence d’importance critique ;
• les prestataires de services de financement participatif et les référentiels des titrisations.

Le point u) ajoute les prestataires tiers de services TIC. Ils relèvent du règlement sans être des entités financières : l’article 2, paragraphe 2, réserve ce terme aux points a) à t).

L’article 2, paragraphe 3, exclut :

• les gestionnaires de fonds d’investissement alternatifs visés à l’article 3, paragraphe 2, de la directive 2011/61/UE ;
• les entreprises d’assurance et de réassurance visées à l’article 4 de la directive 2009/138/CE (Solvabilité II) ;
• les institutions de retraite professionnelle dont les régimes ne comptent pas plus de quinze affiliés au total ;
• les personnes physiques ou morales exemptées en vertu des articles 2 et 3 de la directive 2014/65/UE (MiFID II) ;
• les intermédiaires d’assurance, de réassurance et d’assurance à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises ;
• les offices des chèques postaux visés par la directive 2013/36/UE.

Selon l’article 2, paragraphe 4, un État membre peut aussi exclure les entités visées à l’article 2, paragraphe 5, points 4) à 23), de la directive 2013/36/UE situées sur son territoire ; il en informe la Commission, qui publie l’information. Vérifiez cette liste pour votre État membre d’origine avant de vous y fier.

La proportionnalité traverse tout le règlement. L’article 4 impose aux entités financières d’appliquer les règles de gestion du risque lié aux TIC du chapitre II en fonction de leur taille, de leur profil de risque global et de la nature, de l’ampleur et de la complexité de leurs services, activités et opérations, et les chapitres sur les incidents, les tests et les tiers reprennent ce principe.

L’article 16 va plus loin pour un groupe précis : les petites entreprises d’investissement non interconnectées, les établissements de paiement exemptés, les établissements de monnaie électronique exemptés, les petites institutions de retraite professionnelle et les établissements exemptés en vertu de la directive 2013/36/UE lorsque l’État membre n’a pas utilisé l’option de l’article 2, paragraphe 4. Les articles 5 à 15 ne s’appliquent pas à eux. Ils tiennent à la place un cadre de gestion du risque lié aux TIC solide et documenté, surveillent leurs systèmes de TIC, identifient leurs dépendances clés envers des prestataires tiers de services TIC, disposent de plans de continuité avec des mesures de sauvegarde et de restauration, et les testent régulièrement.

Les microentreprises, définies à l’article 3, point 60, comme des entités financières autres que les plates-formes de négociation, contreparties centrales, référentiels centraux et dépositaires centraux de titres, employant moins de dix personnes et dont le chiffre d’affaires annuel ou le total du bilan annuel n’excède pas 2 millions d’euros, sont aussi dispensées de plusieurs obligations, comme le programme de tests de résilience opérationnelle numérique de l’article 24 et les tests de pénétration fondés sur la menace. Ces derniers ne visent que les entités que les autorités compétentes désignent selon l’article 26, paragraphe 8.

Le périmètre s’apprécie entité par entité, mais certaines obligations jouent au niveau du groupe. Le registre d’informations de l’article 28, paragraphe 3, est tenu au niveau de l’entité et aux niveaux sous-consolidé et consolidé. DORA vise les entités financières agréées dans l’UE : un groupe établi hors de l’UE l’applique par ses filiales agréées dans l’UE. Pour les groupes et prestataires suisses, voir DORA s’applique-t-il à la finance suisse ?.