Le règlement 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (« Règlement DORA ») vise à étendre et unifier les normes et exigences européennes existantes afin de créer un cadre détaillé et harmonisé pour la résilience opérationnelle numérique des entités financières au sens large au sein de l’Union Européenne.

Ainsi, le Règlement DORA a un champ d’application très étendu tel que décrit ci-après.

L’application de DORA aux entités des secteurs de la banque, du paiement, de la finance et de l’assurance

1- Le champ d’application pour les entités des secteurs de la banque et du paiement

 Les premières entités soumises au Règlement DORA sont les entités qui relèvent des secteurs de la banque et du paiement, à savoir :

• Les établissements de crédit
• Les établissements de paiement^[1]
• Les prestataires de services d’information sur les comptes
• Les prestataires de services de communication de données
• Les établissements de monnaie électronique^[2]
• Les prestataires tiers de services liés aux technologies de l’information et de la communication (« TIC»)

2- Le champ d’application pour les entités du secteur de la finance

 Les entités du secteur de la finance sont également concernées par le Règlement DORA : 

• Les entreprises d’investissement
• Les prestataires de services sur crypto-actifs agréés en vertu du Règlement (UE) 2023/1114 du Parlement européen et du Conseil du 31 mai 2023 sur les marchés de crypto-actifs et les émetteurs de jetons se référant à un ou des actifs
• Les sociétés de gestion
• Les gestionnaires de fonds d’investissement alternatifs
• Les prestataires de services de financement participatif
• Les dépositaires centraux de titres
• Les contreparties centrales
• Les plates-formes de négociation
• Les référentiels centraux
• Les référentiels des titrisations
• Les agences de notation de crédit
• Les administrateurs d’indices de référence d’importance critique

 3- Le champ d’application pour les entités du secteur de l’assurance

 Enfin, sont également soumises aux obligations issues du Règlement DORA les entités relevant du secteur de l’assurance : 

• Les entreprises d’assurance et de réassurance
• Les intermédiaires d’assurance, les intermédiaires de réassurance et les intermédiaires d’assurance à titre accessoire
• Les institutions de retraite professionnelle

Les exclusions du champ d’application

Toutefois, l’article 2, point 3), du Règlement DORA énonce que le Règlement DORA ne s’applique pas :

• à certains gestionnaires de fonds d’investissement alternatifs, qui sont visés à l’article 3, paragraphe 2, de la directive 2011/61/UE sur les gestionnaires de fonds d’investissement alternatifs^[3]
• à certaines entreprises d’assurance et de réassurance visées à l’article 4 de la directive 2009/138/CE sur l’accès aux activités de l’assurance et de la réassurance et leur exercice^[4]
• à certaines institutions de retraite professionnelle qui gèrent des régimes de retraite qui, ensemble, ne comptent pas plus de quinze affiliés au total
• à certaines personnes physiques ou morales exemptées en vertu des articles 2 et 3 de la directive 2014/65/UE sur les marchés d’instruments financiers
• à certains intermédiaires d’assurance, intermédiaires de réassurance et intermédiaires d’assurance à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises
• à certains offices des chèques postaux visés à l’article 2, paragraphe 5, point 3), de la directive 2013/36/UE sur l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit

En conclusion, le Règlement DORA vise à harmoniser les règles encadrant la résilience opérationnelle du secteur financier et assurantiel en s’appliquant à 21 catégories d’entités distinctes.

[1] Sont inclus les établissements de paiement exemptés en vertu de la directive (UE) 2015/2366 (la « DSP 2 »). Cela permet ainsi d’inclure dans le champ d’application du règlement DORA les établissements exemptés avec (a) une moyenne mensuelle de valeur totale des opérations de paiement exécutées de maximum 3 000 000 euros et dont (b) aucun responsable de la gestion et de l’exercice de l’activité n’a été condamné à des infractions liées LCB-FT ou à d’autres délits financiers.

[2] Sont inclus les établissements de paiement exemptés en vertu de la directive (UE) 2009/110/CE (la « DME 2 »). Cela permet ainsi d’inclure dans le champ d’application du règlement DORA les établissements exemptés avec (a) une activité commerciale générant une moyenne de monnaie électronique en circulation qui ne dépasse pas 5 000 000 euros et dont (b) aucun responsable de la gestion et de l’exercice de l’activité n’a été condamné à des infractions liées LCB-FT ou à d’autres délits financiers.

[3] Les gestionnaires de fonds d’investissement alternatifs visés sont ceux qui gèrent, directement ou indirectement, par l’intermédiaire d’une société avec laquelle ils sont liés dans le cadre d’une communauté de gestion ou de contrôle, ou par une importante participation directe ou indirecte, des portefeuilles de FIA (a) dont les actifs gérés, y compris les actifs acquis grâce à l’effet de levier, ne dépassent pas un seuil de 100 000 000 EUR au total ou (b) dont les actifs gérés ne dépassent pas un seuil de 500 000 000 EUR au total si les portefeuilles des FIA sont composés des FIA qui ne recourent pas à l’effet de levier et pour lesquels aucun droit au remboursement ne peut être exercé pendant une période de cinq ans à compter de la date de l’investissement initial dans chaque FIA.

[4] Les entreprises d’assurance et de réassurance qui remplissent toutes les conditions qui sont (a) un encaissement annuel de primes brutes émises par l’entreprise n’excédant pas 5 000 000 euros, (b) un total des provisions techniques de l’entreprise, déduction non faite des créances découlant des contrats de réassurance et des véhicules de titrisation n’excédant pas 25 000 000 euros, (c) lorsque l’entreprise appartient à un groupe, un total des provisions techniques du groupe, déduction non faite des créances découlant des contrats de réassurance et des véhicules de titrisation, n’excédant pas 25 000 000 euros, (d) une activité de l’entreprise ne comportant pas d’activités d’assurance ou de réassurance couvrant les risques de responsabilité civile, de crédit et de caution, sauf si ceux-ci constituent des risques accessoires et (e) une activité de l’entreprise ne comportant pas d’opérations de réassurance qui soit excèdent 500 000 euros d’encaissement de primes brutes émises ou 2 500 000 euros de provisions techniques, déduction non faite des créances découlant des contrats de réassurance et des véhicules de titrisation, soit représentent plus de 10 % de son encaissement de primes brutes émises ou de ses provisions techniques, déduction non faite des créances découlant des contrats de réassurance et des véhicules de titrisation.

A lire également :

Episode 1 : DORA : la genèse – Racine