Le règlement 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (« Règlement DORA ») vise à étendre et unifier les normes et exigences européennes existantes afin de créer un cadre détaillé et harmonisé pour la résilience opérationnelle numérique des entités financières au sens large au sein de l’Union Européenne.

Il est à noter que les entités financières peuvent être confrontées à diverses sanctions en cas de non-respect du Règlement DORA.

Vous trouverez ci-après une description du cadre répressif du Règlement DORA applicables aux entités assujetties.

Les pouvoirs de surveillance, d’enquête et de sanction

Le Règlement DORA met à la disposition des autorités compétentes des pouvoirs de surveillance, d’enquête et de sanction, qui sont nécessaires pour s’assurer de la bonne application dudit règlement.

Ainsi, pour exercer leurs pouvoirs de surveillance, d’enquête et de sanction, les autorités compétentes doivent pouvoir minima :

• accéder à tout document ou toute donnée, quelle qu’en soit la forme, que les autorités compétentes jugent pertinent pour l’accomplissement de leur mission de surveillance, et en recevoir ou en réaliser une copie ;
• procéder à des inspections sur place ou à des enquêtes, qui comprennent, sans s’y limiter, les actions telles que :
  •  convoquer les représentants des entités financières et leur demander de fournir oralement ou par écrit des explications sur des faits ou des documents en rapport avec l’objet et le but de l’enquête, et enregistrer leurs réponses ;
  • interroger toute autre personne physique ou morale qui accepte de l’être aux fins de recueillir des informations concernant l’objet d’une enquête ;
• imposer des mesures correctives en cas de manquement aux exigences du règlement DORA.

Les sanctions administratives et les mesures correctives

Les États membres doivent mettre en place des règles prévoyant des sanctions administratives et des mesures correctives appropriées en cas de violation du Règlement DORA. Ils veillent également à ce que leur mise en œuvre soit effective. Les sanctions et ces mesures doivent ainsi être effectives, proportionnées et dissuasives.

Les autorités compétentes doivent avoir le pouvoir d’appliquer au moins les sanctions administratives ou les mesures correctives suivantes en cas de violation du Règlement DORA :

• émettre une injonction ordonnant à la personne physique ou morale de mettre un terme au comportement et lui interdisant de le réitérer ;
• exiger la cessation temporaire ou définitive de toute pratique ou conduite que l’autorité compétente juge contraire aux dispositions du Règlement DORA et en prévenir la répétition ;
• adopter tout type de mesure, y compris de nature pécuniaire, propre à garantir que les entités financières continueront à respecter leurs obligations légales.
• exiger, dans la mesure où le droit national le permet, les enregistrements d’échanges de données existants détenus par un opérateur de télécommunications ;
• émettre des communications au public, y compris des déclarations publiques, indiquant l’identité de la personne physique ou morale et la nature de la violation.

Les États membres doivent également veiller à ce que toute décision d’imposer des sanctions administratives ou des mesures correctives soit dûment motivée et puisse faire l’objet d’un recours.

Afin de déterminer le type et le niveau des sanctions administratives ou des mesures correctives à imposer, les autorités compétentes doivent tenir compte de la mesure dans laquelle la violation est intentionnelle ou résulte d’une négligence ainsi que de toutes les autres circonstances pertinentes, et notamment, le cas échéant, des éléments suivants :

• la matérialité, la gravité et la durée de la violation ;
• le degré de responsabilité de la personne physique ou morale responsable de la violation ;
• l’assise financière de la personne physique ou morale responsable ;
• l’importance des gains obtenus ou des pertes évitées par la personne physique ou morale en cause, dans la mesure où ils peuvent être déterminés ;
• les préjudices subis par des tiers du fait de la violation, dans la mesure où ils peuvent être déterminés ;
• le degré de coopération de la personne physique ou morale en cause avec l’autorité compétente, sans préjudice de la nécessité de veiller à la restitution des gains obtenus ou des pertes évitées par cette personne physique ou morale ;
• les violations antérieures commises par la personne physique ou morale en cause.

Les sanctions pénales

Il est possible pour les États membres de ne pas prévoir de régime de sanctions administratives ou de mesures correctives pour les manquements qui font déjà l’objet de sanctions pénales.

Ainsi, les États membres doivent toujours veiller à ce que les autorités compétentes puissent disposer de tous les pouvoirs nécessaires pour se mettre en rapport avec les autorités judiciaires, les autorités chargées des poursuites ou les autorités judiciaires pénales.

A lire également :

DORA #1 : la genèse

DORA #2 : le champ d’application