Périmètre et entités financières

Avant d'appliquer la moindre exigence de DORA — cadre de gestion du risque TIC, notification d'incident, tests de résilience opérationnelle numérique, surveillance des prestataires tiers — une question doit recevoir une réponse documentée : l'organisation est-elle une « entité financière » au sens de l'article 2 du règlement (UE) 2022/2554 ? Cette qualification paraît triviale pour une banque de détail ou un assureur vie. Elle l'est beaucoup moins pour une filiale de paiement logée dans un groupe industriel, un gestionnaire de fonds sous seuil, ou un prestataire cloud servant plusieurs clients régulés. Ce chapitre pose la méthode de qualification du périmètre, préalable à toute mise en œuvre.

Le socle : une liste fermée, pas une définition ouverte

Contrairement à NIS2, qui définit son périmètre par secteurs d'activité et seuils de taille, DORA fonctionne par renvoi à des statuts d'agrément déjà connus du droit financier européen. L'article 2 énumère limitativement les catégories concernées : établissements de crédit, établissements de paiement (y compris les établissements de monnaie électronique), entreprises d'investissement, prestataires de services sur crypto-actifs et émetteurs de jetons référencés à des actifs agréés au titre de MiCA, dépositaires centraux de titres, contreparties centrales, plates-formes de négociation, référentiels centraux, gestionnaires de fonds d'investissement alternatifs, sociétés de gestion d'OPCVM, entreprises d'assurance et de réassurance, intermédiaires d'assurance et de réassurance dépassant certains seuils, institutions de retraite professionnelle, agences de notation de crédit, administrateurs d'indices de référence critiques, prestataires de services de financement participatif, et référentiels des titrisations.

Une entité n'est pas soumise à DORA parce qu'elle « fait de la finance » au sens économique du terme. Elle l'est parce qu'elle détient un agrément ou un enregistrement relevant d'un texte sectoriel listé à l'article 2. Un fonds de capital-investissement non agréé, une fintech en phase de test réglementaire (sandbox) sans agrément définitif, ou un courtier en financement d'entreprise non régulé peuvent rester hors périmètre malgré une activité financière réelle.

Panorama des grandes catégories

Le principe de proportionnalité : moduler, pas exempter

L'article 4 de DORA impose aux entités financières et aux autorités de tenir compte de la taille, du profil de risque, de la nature, de l'échelle et de la complexité des services rendus, ainsi que de la criticité des systèmes d'information concernés. Concrètement, cela se traduit par des régimes allégés explicitement prévus pour certaines catégories : les petites entreprises d'investissement non interconnectées, les petits établissements de paiement ou de monnaie électronique bénéficiant d'une exemption au titre de la DSP2, les institutions de retraite professionnelle gérant des régimes de moins de quinze affiliés, ou encore les gestionnaires de fonds de capital-risque qualifiés sous le seuil AIFMD.

La proportionnalité modère la profondeur des exigences (fréquence des tests, granularité de la documentation, formalisme du cadre de gouvernance), elle ne retire jamais une entité du périmètre. Une petite entreprise d'investissement reste une entreprise d'investissement au sens de l'article 2 : elle doit démontrer qu'elle a appliqué un cadre de gestion du risque TIC proportionné, pas justifier une absence totale de cadre. Confondre régime allégé et exonération est l'erreur de qualification la plus coûteuse observée en pratique, car elle se découvre en général lors d'un contrôle et non en amont.

Groupes, filiales UE et niveau de consolidation

DORA raisonne à deux niveaux simultanément, ce qui surprend souvent les directions juridiques habituées à une approche par entité unique. Au niveau du groupe, l'entreprise mère établie dans l'Union doit s'assurer de la cohérence du cadre de gestion du risque TIC à travers l'ensemble du périmètre de consolidation, avec un dispositif de gouvernance intégré et une cartographie consolidée des dépendances TIC. Au niveau de chaque entité, chaque filiale qui répond elle-même à une catégorie de l'article 2 — une société de gestion, une entité de paiement, une compagnie d'assurance captive — demeure individuellement responsable de sa propre conformité, y compris lorsqu'elle s'appuie opérationnellement sur les services d'une fonction TIC centralisée du groupe.

Cette double lecture a une conséquence directe sur le registre des informations relatif aux prestataires tiers : lorsqu'une filiale utilise les services TIC d'une autre entité du même groupe (centre de services partagés, plateforme applicative mutualisée, hébergement interne), cette prestation constitue un accord contractuel avec un prestataire tiers de services TIC au sens de DORA, même si elle reste « en famille ». Elle doit figurer dans le registre, avec une évaluation de criticité, même si les clauses contractuelles peuvent être simplifiées entre entités du même groupe.

Un groupe bancaire européen héberge les applications de sa filiale de crédit à la consommation sur une plateforme technique exploitée par l'entité informatique du groupe, elle-même non régulée en tant qu'entité financière. Du point de vue de la filiale de crédit, ce fournisseur interne est un prestataire tiers de services TIC à part entière : il doit apparaître dans le registre d'informations, faire l'objet d'une évaluation du caractère critique ou important de la fonction hébergée, et être couvert par des clauses contractuelles conformes à l'article 30, y compris si aucune facture externe ne circule entre les deux entités.

Les succursales suivent, en principe, le régime de l'entité dont elles dépendent juridiquement : une succursale ouverte dans un autre État membre par un établissement de crédit agréé en France reste rattachée au cadre TIC de la maison mère, sous la coordination de l'autorité compétente de l'État membre d'origine, avec une coopération renforcée avec l'autorité d'accueil en cas d'incident majeur localisé.

Entités hors UE avec activité sur le marché européen

DORA ne crée pas d'extraterritorialité directe pour les entités financières établies hors de l'Union : un établissement de crédit américain qui ne dispose d'aucune implantation agréée dans l'UE n'est pas lui-même soumis au règlement, même s'il traite avec des contreparties européennes. Le rattachement se fait par deux voies indirectes.

La première voie passe par l'implantation : dès qu'un groupe de pays tiers dispose d'une filiale ou d'une succursale agréée dans l'Union — banque, société de gestion, entreprise d'investissement —, cette implantation est elle-même une entité financière au sens plein de l'article 2 et supporte l'intégralité des obligations, y compris lorsque son infrastructure TIC est en réalité pilotée depuis le siège hors UE.

La seconde voie passe par la chaîne de sous-traitance TIC. Un prestataire établi hors UE — fournisseur cloud américain, éditeur logiciel asiatique, centre d'hébergement suisse — n'est pas directement assujetti à DORA du seul fait qu'il sert des clients européens. Mais l'entité financière européenne qui recourt à ses services reste pleinement responsable : elle doit l'inscrire dans son registre d'informations, apprécier la criticité de la fonction sous-traitée, exiger des clauses contractuelles conformes, et intégrer ce maillon dans ses scénarios de tests de résilience. Lorsqu'un prestataire TIC, quel que soit son lieu d'établissement, est désigné « critique » par les autorités européennes de surveillance sur la base de critères de systémicité (nombre d'entités clientes, degré de substituabilité, importance des fonctions supportées), il devient soumis à une surveillance directe par un superviseur principal (« Lead Overseer ») au titre du titre V de DORA — c'est le cas visé pour les très grands fournisseurs d'infrastructure cloud, quelle que soit leur nationalité.

Pour tout prestataire non établi dans l'Union, posez systématiquement trois questions avant de conclure ou de renouveler un contrat : la fonction sous-traitée est-elle critique ou importante au sens de la méthodologie interne de classification ? Le prestataire figure-t-il, ou est-il susceptible de figurer, sur la future liste des prestataires critiques désignés par les autorités européennes de surveillance ? Le contrat prévoit-il des clauses d'audit, de réversibilité et de localisation des donnéesdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire conformes à l'article 30, indépendamment du droit applicable au contrat ?

Exemptions explicites à vérifier systématiquement

Au-delà de la proportionnalité, DORA prévoit des exclusions nommées qu'il faut vérifier avant de conclure trop vite qu'une entité entre dans le périmètre : certains intermédiaires d'assurance en dessous des seuils de primes annuelles fixés par la directive sur la distribution d'assurances, les institutions de retraite professionnelle gérant des régimes en dessous du seuil de quinze affiliés, les petits établissements de paiement bénéficiant du régime d'exemption prévu par la DSP2, certains gestionnaires de fonds de capital-risque ou de capital social qualifiés sous les seuils AIFMD, ainsi que certaines entités du secteur public gérant la dette publique. Ces exclusions doivent être documentées au même titre qu'une inclusion, car elles sont susceptibles d'évoluer avec la croissance de l'activité de l'entité.

Une entité initialement exemptée en raison de sa taille doit revoir sa qualification à chaque franchissement de seuil significatif — croissance du nombre d'affiliés, dépassement du seuil de primes, sortie du régime dérogatoire DSP2. Il est recommandé d'intégrer ce contrôle dans le cycle de revue annuelle de conformité plutôt que d'attendre un événement déclencheur externe.

Checklist de qualification

1. Vérifier l'existence d'un agrément ou d'un enregistrement relevant d'un texte sectoriel listé à l'article 2 de DORA.
2. Écarter les exemptions explicites de taille ou de statut, en documentant le calcul des seuils applicables.
3. Déterminer le niveau d'application pertinent : entité individuelle, sous-groupe, groupe consolidé.
4. Cartographier les filiales et succursales concernées ainsi que leur statut réglementaire propre.
5. Recenser les prestataires TIC, y compris intra-groupe et établis hors UE, et évaluer leur criticité.
6. Consigner la qualification et son raisonnement dans la documentation de gouvernance TIC, avec une date de revue.

Pièges fréquents

• Assimiler « petite structure » à « hors périmètre » : la proportionnalité allège les modalités, elle ne supprime pas l'obligation.
• Oublier les filiales financières régulées d'un groupe non financier — une filiale de crédit à la consommation logée dans un groupe de distribution reste une entité financière à part entière.
• Sous-estimer les infrastructures de marché (CCP, CSD, référentiels centraux), souvent perçues comme des « infrastructures techniques » plutôt que comme des entités financières au sens courant du terme, alors qu'elles figurent explicitement à l'article 2.
• Considérer qu'un prestataire établi hors UE échappe à tout contrôle : c'est l'entité financière européenne qui porte la responsabilité contractuelle, et le prestataire peut lui-même devenir soumis à une surveillance directe s'il est désigné critique.
• Ne pas revoir la qualification dans le temps alors que l'activité ou la taille de l'entité évolue.

Cette délimitation du périmètre conditionne directement le contenu des chapitres suivants : cadre de gestion du risque TIC, notification des incidents majeurs, tests de résilience opérationnelle numérique et gestion des prestataires tiers ne s'appliquent, avec l'intensité prévue par le règlement, qu'aux entités correctement qualifiées à ce stade.