La loi européenne pour les jours où l’informatique de ta banque flanche

3 383. C’est le nombre d’incidents informatiques majeurs que les banques, les assureurs, les entreprises de paiement et le reste du secteur financier de l’UE ont signalés à leurs autorités de surveillance en 2025. D’après mes calculs, cela fait environ neuf par jour, ce qui est bien plus élevé que ce que j’aurais imaginé, probablement parce que je n’entends parler que de ceux qui atteignent les médias.

Ce chiffre est tiré d’un rapport publié en juin de cette année par les trois gendarmes financiers de l’UE, les Autorités européennes de surveillance (AES). C’est le premier du genre au titre d’une loi baptisée DORA, pour Digital Operational Resilience Act, qui fournit depuis le 17 janvier 2025 à l’ensemble du secteur un ensemble unique de règles pour signaler les défaillances de ses technologies.

J’ai épluché le règlement et les publications des AES à son sujet, et voici mes notes. Ce premier volet aborde ce qu’est DORA et les raisons pour lesquelles on a estimé indispensable de l’adopter.

Deux mauvaises journées en 2025

Le rapport met en évidence deux événements survenus l’an passé, et ils expliquent le sujet bien mieux que toutes les définitions que j’ai pu trouver.

Le 27 février, T2 s’est arrêté pendant une dizaine d’heures. T2 est le système par lequel les banques centrales de la zone euro règlent les paiements, y compris les opérations interbancaires : une tuyauterie à laquelle la plupart des gens ne pensent jamais. La cause, d’après le rapport, résidait dans une défaillance d’un composant central d’un système de stockage, « un dysfonctionnement matériel extrêmement rare, encore jamais observé dans le monde sur des systèmes similaires ». Certains versements de salaires et de pensions de retraite ont fini par être retardés.

Deux mois plus tard, le 28 avril, le réseau électrique espagnol a subi un black-out total qui a aussi frappé le Portugal, pendant une dizaine d’heures. Les grandes banques et les grands assureurs ont maintenu leurs centres de données en activité grâce à des groupes électrogènes de secours, comme on pouvait l’espérer. Pour quiconque cherchait à régler un achat, cela n’a pas servi à grand-chose. Les coupures d’Internet ont isolé les utilisateurs d’applications bancaires qui tournaient pourtant encore, de nombreuses agences étaient privées d’électricité ou de connexion, et les terminaux de paiement par carte se sont retrouvés à plat de batterie ou déconnectés.

Ce second cas a changé ma façon de lire le mot « résilience ». Les centres de données des grandes banques tournaient sans problème, et quantité de clients ne pouvaient tout de même pas les joindre.

Moins de hackers que je ne l’imaginais

Je m’attendais au départ à ce que ces 3 383 signalements correspondent principalement à des cyberattaques, et j’avais tort. Les incidents de cybersécurité ne représentaient que 10 % du total. Les pannes de système ont été mentionnées dans 51 % des cas et les événements externes dans 27 %, même si le rapport avertit qu’il convient de lire ces pourcentages avec précaution en raison de la façon dont les entreprises remplissent les formulaires. Près d’un tiers des incidents ont démarré par une panne survenue chez un tiers, qu’il s’agisse d’un prestataire informatique, d’une autre entreprise financière ou d’un gestionnaire d’infrastructure.

Mon chiffre de neuf par jour requiert lui aussi une mise en garde, et les auteurs la fournissent d’ailleurs eux-mêmes : « le nombre d’incidents en soi ne constitue pas un indicateur de risque ». Lorsqu’un événement unique frappe plusieurs entreprises, chacune d’entre elles doit le notifier, si bien que neuf signalements ne correspondent pas à neuf catastrophes distinctes. Plus de 60 % provenaient du secteur du crédit, c’est-à-dire des banques, et l’une des explications avancées tient au fait que les banques et les entreprises de paiement sont tenues de déclarer leurs incidents majeurs depuis 2018. Dans près de 60 % des cas, les clients n’ont pas été touchés ou moins de 1 000 d’entre eux en ont ressenti les effets, même si quelques incidents ont concerné plus d’un million de clients. L’analyse a également dû laisser de côté environ 15 % des incidents notifiés, leurs rapports finaux n’étant pas parvenus à temps.

D’après les AES, la faible part des attaques « pourrait suggérer que les mesures de sécurité et les mécanismes de détection existants ont été efficaces ». Note bien le « pourrait ». J’aimerais voir au moins une deuxième année de données avant d’y souscrire.

Des règles de sécurité incendie pour les ordinateurs

Le règlement (UE) 2022/2554 est long et particulièrement aride, et l’image qui m’a aidé est celle des consignes de sécurité incendie, appliquées à l’informatique d’une entreprise financière. Ton bâtiment ne prendra peut-être jamais feu, et pourtant, tu dois disposer de certains dispositifs au cas où cela arriverait. (Le texte juridique parle de TIC, pour technologies de l’information et de la communication. Je m’en tiendrai le plus souvent au terme informatique.)

• Avoir un plan. Les entreprises ont besoin d’un cadre pour gérer le risque informatique, et les personnes au sommet ne peuvent pas s’en laver les mains : l’organe de direction « assume la responsabilité ultime de la gestion du risque lié aux TIC de l’entité financière ».
• Donner l’alerte. Une notification initiale est due dans les quatre heures suivant la qualification d’un incident comme majeur, et au plus tard 24 heures après que l’entreprise en a pris connaissance. Un rapport intermédiaire suit au plus tard dans les 72 heures après cette première notification, puis un rapport final au plus tard un mois après le dernier rapport intermédiaire.
• Faire des exercices. Toutes les entreprises, hormis les plus petites, ont besoin d’un programme de tests pour éprouver leurs systèmes.
• Contrôler les sous-traitants. Les prestataires informatiques font partie intégrante du risque de l’entreprise, et la loi impose des exigences strictes pour les contrats passés avec eux.
• Prévenir les voisins. Les entreprises ont le droit d’échanger entre elles des informations sur les cybermenaces. Sur ce point, la législation accorde une autorisation et s’arrête là.

L’article 2 a un champ d’action très vaste. Il énumère vingt sortes d’entreprises financières, des banques et assureurs aux prestataires de services sur crypto-actifs et aux plateformes de financement participatif, puis y adjoint les prestataires informatiques qui les desservent. En tant que règlement, il s’applique directement dans chaque État membre, sans la moindre période transitoire pour temporiser, comme les AES l’ont rappelé à tous en décembre 2024. La taille de l’entité compte malgré tout, car les règles de gestion des risques s’appliquent selon la dimension et le niveau de risque de l’entreprise.

Pourquoi une nouvelle législation, au juste ? Selon les termes mêmes du règlement, les dispositions sur le risque informatique n’étaient « que partiellement abordées au niveau de l’Union », ce qui créait des « lacunes ou des chevauchements » dans des domaines comme la notification des incidents et les tests, tandis que les règles nationales divergeaient. En toute équité, les AES ont également précisé aux entreprises que les exigences « ne sont pas entièrement nouvelles », beaucoup d’entre elles vivant avec des orientations similaires depuis des années. Ce que DORA apporte réellement au-delà d’une remise en ordre est un sujet sur lequel je souhaite revenir.

Amazon répond désormais devant un régulateur financier

Cette partie, je ne l’avais pas vue venir. Une banque a beau louer sa puissance de calcul à une entreprise de cloud, elle ne peut pas sous-traiter la responsabilité : les entités « restent à tout moment pleinement responsables » de l’exécution de leurs obligations. Avec près d’un tiers des incidents trouvant leur source chez un tiers, une question évidente se pose quant à savoir qui garde un œil sur ces fournisseurs.

La réponse de DORA consiste à regarder au-delà des banques. Le 18 novembre 2025, les AES ont publié une liste de 19 prestataires désignés comme critiques. Les branches européennes d’Amazon Web Services, de Google Cloud et de Microsoft en font partie, comme on pouvait s’y attendre, tout comme Deutsche Telekom et Orange, aux côtés de SAP et Bloomberg. Les AES supervisent désormais directement ces sociétés et évaluent si leur gouvernance et leur gestion des risques sont au niveau requis. Un prestataire qui refuserait de transmettre des informations ou de laisser entrer des inspecteurs peut se voir infliger une astreinte allant jusqu’à 1 % de son chiffre d’affaires mondial journalier moyen, chaque jour, pendant six mois au maximum. Cette liste doit être mise à jour chaque année.

Et si tu n’as qu’un compte courant ?

Dans ce cas, tu n’as pas grand-chose de concret à observer. La disposition la plus nette que j’aie trouvée pour les clients se situe à l’article 19 : lorsqu’un incident majeur « a une incidence sur les intérêts financiers des clients », l’entreprise doit les en informer sans retard injustifié et préciser ce qu’elle a entrepris pour y faire face. Tout le reste ne t’atteint qu’indirectement, si tant est qu’il t’atteigne, sous l’aspect d’une carte bancaire qui fonctionne plus souvent.

Fonctionne-t-elle plus souvent ? Une année de recul ne permet pas de le dire. La Commission doit réexaminer la loi d’ici le 17 janvier 2028, et d’ici là, on devrait disposer d’assez de données chiffrées pour vérifier.

Pour la suite

Dans le prochain volet, je suivrai un incident type à travers cette grille de délais, car quatre heures ont l’air très nettes sur le papier, mais je voudrais bien savoir ce que l’on peut véritablement formuler à la quatrième heure. Les entreprises du cloud auront droit à leur propre article plus tard.

Sources

Toutes ces sources ont été vérifiées en novembre 2026 :

• EUR-Lex : Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) (14 décembre 2022)
• EUR-Lex : Règlement délégué (UE) 2025/301 de la Commission concernant le contenu et les délais des rapports d’incidents (JO du 20 février 2025)
• Autorités européennes de surveillance : 2025 Report on major ICT-related incidents, JC 2026 16 (3 juin 2026)
• Autorité bancaire européenne : European Supervisory Authorities designate critical ICT third-party providers (18 novembre 2025)
• Autorités européennes de surveillance : List of designated critical ICT third-party service providers (18 novembre 2025)
• Autorités européennes de surveillance : Public statement on the application of DORA, JC 2024 99 (4 décembre 2024)
• Banque centrale européenne : T2