DORA pour les établissements de paiement et de monnaie électronique

L'article 2(1) énumère les entités financières visées ; pour le marché des paiements, les points utiles sont (b) les établissements de paiement, (c) les prestataires de services d'information sur les comptes, (d) les établissements de monnaie électronique et (f) les prestataires de services sur crypto-actifs. Une exemption au titre de la DSP2 ou de la directive sur la monnaie électronique laisse l'établissement dans le champ de DORA.

Le cadre simplifié des petits établissements

L'article 16 dispense des articles 5 à 15 les EP et EME exemptés et d'autres petites entités. Ils gardent un cadre documenté, une surveillance continue des systèmes, l'identification des dépendances clés envers les prestataires TIC et des plans de continuité avec sauvegarde et restauration, testés régulièrement. Le règlement délégué (UE) 2024/1774 en fixe le détail.

Le cadre s'intègre au système global de gestion des risques (art. 6(1)). Il est réexaminé au moins une fois par an, périodiquement pour les microentreprises, et après un incident majeur ou sur instruction du superviseur ; le rapport de réexamen va à l'autorité sur demande (art. 6(5)). Hors microentreprises, il faut aussi une fonction indépendante de contrôle du risque TIC (art. 6(4)) et un audit interne régulier (art. 6(6)).

La responsabilité de l'organe de direction

Selon l'article 5(2), l'organe de direction assume la responsabilité ultime du risque TIC. Le conseil approuve les politiques, et ses membres doivent comprendre ce qu'ils ont signé.

Sauvegarde et restauration

L'article 12 impose des politiques de sauvegarde documentées, avec périmètre et fréquence minimale selon la criticité des données, et des procédures de restauration. Nous les testons par une restauration réelle.

L'article 19(4) de DORA fixe la séquence, et le règlement délégué (UE) 2025/301 fixe les délais :

• notification initiale dans les 4 heures suivant la classification, au plus tard 24 heures après la prise de connaissance ;
• rapport intermédiaire dans les 72 heures suivant la notification initiale, même si la situation n'a pas évolué ;
• rapport final au plus tard un mois après le dernier rapport intermédiaire.

Si l'incident touche les intérêts financiers des clients, l'entité les informe sans retard injustifié (art. 19(3)). Nous préparons la procédure de classification, les rôles et les modèles, puis un exercice sur table pour que l'équipe tienne ces délais.

Le registre est tenu au niveau de l'entité et du groupe (art. 28(3)). Avant un contrat, l'entité évalue la criticité du service et le risque de concentration, puis mène sa due diligence (art. 28(4)). L'article 30(2) liste les clauses obligatoires : services et sous-traitance, lieux de traitement, protection des données, niveaux de service, assistance en cas d'incident.

Chez un EME type, il contient le cloud, le traitement des paiements, le KYC, la messagerie, le CRM et la comptabilité. Nous le construisons et listons les contrats à modifier. Les questionnaires de vos partenaires relèvent de notre service questionnaire de sécurité.

L'article 5(1)(j) de la DSP2 exige une évaluation détaillée des risques des services de paiement et la description des mesures de contrôle et d'atténuation. L'article 62(2)(j) de MiCA exige une documentation technique des systèmes TIC et de la sécurité, avec une description en langage non technique. Le dossier d'agrément dans son ensemble relève de notre pratique agréments.