DORA dans l'assurance : ce que le règlement change pour les assureurs et courtiers

Un règlement encore récent, déjà pleinement applicable

Le règlement DORA (Digital Operational Resilience Act, UE 2022/2554) est entré en vigueur le 16 janvier 2023 et s'applique pleinement depuis le 17 janvier 2025. Porté par la Commission européenne pour répondre à la sophistication croissante des cybermenaces contre le secteur financier, il ne cible pas uniquement les banques : les assureurs, réassureurs, mutuelles et institutions de retraite professionnelle supervisés par l'ACPR et l'EIOPA sont explicitement dans son champ d'application, aux côtés des établissements de crédit, entreprises d'investissement et prestataires de services sur crypto-actifs.

Pourquoi l'assurance est particulièrement concernée

L'activité d'assurance repose de plus en plus sur des chaînes de sous-traitance technologique longues : cloud pour le calcul actuariel, plateformes de gestion des sinistres, outils de scoring et de tarification pilotés par des modèles de data science, courtage digitalisé. Cette dépendance aux prestataires TIC est précisément ce que DORA cherche à encadrer, en imposant aux assureurs de cartographier et de superviser l'ensemble de leur chaîne de sous-traitance numérique, et pas seulement leurs propres systèmes.

Les cinq piliers imposés aux assureurs

• Gestion du risque lié aux TIC : cartographie des systèmes, politiques de gestion des vulnérabilités, correctifs et mises à jour, authentification forte, contrôle des accès.
• Signalement des incidents majeurs : détection, classification et notification des incidents TIC significatifs à l'ACPR, avec une notification initiale suivie d'un rapport intermédiaire puis d'un rapport final d'analyse des causes.
• Tests de résilience opérationnelle numérique : des tests de base annuels obligatoires pour tous les assureurs, et des tests de pénétration fondés sur la menace (TLPT) tous les trois ans pour les entités jugées significatives.
• Gestion des risques liés aux prestataires tiers : évaluation du risque de concentration avant tout nouveau contrat, clauses contractuelles obligatoires (droits d'audit, d'accès, stratégie de sortie) renforcées pour les fonctions dites « critiques ou importantes ».
• Partage d'information : participation, sur base volontaire, à des dispositifs d'échange de renseignements sur les cybermenaces entre entités financières.

DORA et Solvabilité II : deux cadres qui se superposent sans se remplacer

DORA ne remplace pas Solvabilité II : il s'y ajoute. Le pilier 2 de Solvabilité II imposait déjà une gestion des risques opérationnels et une gouvernance ORSA ; DORA vient préciser et durcir spécifiquement le volet numérique et cyber de cette gouvernance, avec des obligations documentaires et des délais que Solvabilité II ne détaillait pas. Pour les directions des risques des compagnies d'assurance, l'enjeu est d'articuler les deux cadres plutôt que de les traiter en silos.

Le calendrier qu'il faut avoir en tête

• 16 janvier 2023 : entrée en vigueur du règlement.
• 17 janvier 2025 : application pleine et entière à toutes les entités concernées, y compris les assureurs.
• 15 avril 2025 : date limite de remise du registre d'informations TIC à l'ACPR, ensuite transmis aux autorités européennes de surveillance (EIOPA, EBA, ESMA).
• 18 novembre 2025 : publication par les autorités européennes de surveillance de la première liste des prestataires de services TIC désignés comme « critiques », déclenchant leur supervision directe par un superviseur principal.

Ce que ça change concrètement pour les équipes data et IT en assurance

Pour les équipes data, risque et conformité des compagnies d'assurance, DORA se traduit très concrètement par un audit complet des prestataires cloud et SaaS utilisés (moteurs de scoring, IA de détection de fraude, plateformes de gestion de sinistres), la mise en place d'un registre d'informations vivant et non plus statique, et l'intégration de scénarios de cyber-résilience dans les tests déjà réalisés au titre de Solvabilité II. Les assureurs qui avaient déjà structuré leur gouvernance data autour d'un référentiel clair abordent cette bascule avec moins de friction que ceux qui découvrent l'ampleur de leur dépendance technologique au moment de constituer leur registre.

En résumé

DORA n'est pas un texte de plus à cocher : il redéfinit la manière dont les assureurs doivent documenter, tester et superviser leur dépendance aux technologies numériques, dans un secteur où le FMI et la Banque d'Angleterre alertent depuis plusieurs années sur l'insuffisance des dispositifs de cyber-résilience. La première liste de prestataires critiques publiée en novembre 2025 marque le passage d'une obligation déclarative à une supervision réellement opérationnelle.