Sous DORA, les délais de notification des incidents TIC majeurs sont fixés par le règlement délégué (UE) 2025/301 : notification initiale dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance ; rapport intermédiaire dans les 72 heures suivant la notification initiale ; rapport final au plus tard un mois après le dernier rapport intermédiaire.
Un incident majeur lié aux TIC désigne un incident qui a une incidence négative élevée sur les réseaux et systèmes d'information soutenant les fonctions critiques ou importantes de l'entité financière (article 3, point 10, de DORA). DORA, le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, est un règlement européen applicable depuis le 17 janvier 2025 aux banques, assureurs, entreprises d'investissement, établissements de paiement et autres entités financières qu'il énumère.
Ses règles détaillées figurent dans des règlements délégués (normes techniques de réglementation, NTR) et des règlements d'exécution (normes techniques d'exécution, NTE) de la Commission, préparés par les trois autorités européennes de surveillance : ABE, AEAPP et AEMF (les « AES »). Cette page détaille d'abord les délais de déclaration des incidents, puis le calendrier complet et les prochaines échéances. Pour une vue d'ensemble des obligations, voir la page DORA de ResiPlan.
Quels sont les délais de notification d'un incident TIC majeur ?
Selon le règlement délégué (UE) 2024/1772, un incident est majeur lorsqu'il touche des services critiques et qu'il implique soit un accès réussi, malveillant et non autorisé pouvant entraîner des pertes de données, soit le franchissement d'au moins deux autres seuils d'importance significative.
| Déclaration | Délai | Source |
|---|---|---|
| Notification initiale | Le plus tôt possible, dans les 4 heures suivant la classification comme incident majeur et au plus tard 24 heures après en avoir eu connaissance | Art. 5, § 1, a), règlement délégué (UE) 2025/301 |
| Notification initiale après une classification tardive | Dans les 4 heures suivant la classification | Art. 5, § 2 |
| Rapport intermédiaire | Au plus tard 72 heures après la notification initiale, même si rien n'a changé ; mis à jour sans retard injustifié, et en tout cas lorsque les activités régulières ont repris | Art. 5, § 1, b) |
| Rapport final | Au plus tard un mois après le rapport intermédiaire ou sa dernière mise à jour | Art. 5, § 1, c) |
| Échéance un week-end ou un jour férié | Midi le jour ouvrable suivant, sauf pour la notification initiale et le rapport intermédiaire des établissements de crédit, contreparties centrales, opérateurs de plates-formes de négociation et entités essentielles ou importantes au sens de NIS2 | Art. 5, § 4 et 5 |
| Clients | Informés sans retard injustifié si leurs intérêts financiers sont touchés | Art. 19, § 3, DORA |
Les déclarations utilisent les formulaires du règlement d'exécution (UE) 2025/302. L'entité qui ne peut pas respecter un délai doit en informer son autorité avant son expiration et en donner les raisons (article 5, paragraphe 3). En Belgique, la Banque nationale (BNB) reçoit les déclarations par OneGate (domaine DORA_MIR, ouvert depuis le 17 janvier 2025) et la circulaire NBB_2026_04 prévoit la procédure de secours. Pour la séquence NIS2 (24 heures, 72 heures, un mois), voir notification d'incident NIS2.
Depuis quand DORA s'applique-t-il ?
DORA a été publié au Journal officiel le 27 décembre 2022 (JO L 333), est entré en vigueur le 16 janvier 2023 et s'applique depuis le 17 janvier 2025 (article 64). La directive (UE) 2022/2556, qui adapte les directives sectorielles, devait être transposée à la même date (article 9). Il n'y a pas d'entrée en application par étapes : gestion du risque lié aux TIC, déclaration des incidents majeurs (article 19) et registre d'informations (article 28, paragraphe 3) s'appliquent tous depuis le 17 janvier 2025. Les normes publiées après cette date s'appliquent à partir de leur propre entrée en vigueur, soit le vingtième jour suivant leur publication.
Calendrier DORA : dates, sources et entités concernées
| Date | Ce qui se passe | Source juridique | Qui est concerné |
|---|---|---|---|
| 27 décembre 2022 | Publication de DORA et de la directive (UE) 2022/2556 | JO L 333 du 27.12.2022 | Toutes les entités financières visées |
| 16 janvier 2023 | Entrée en vigueur de DORA | Art. 64 DORA | Toutes les entités financières visées |
| 19 juin 2024 | Entrée en vigueur des critères de désignation des prestataires tiers critiques de services TIC et des redevances de supervision | Règlements délégués (UE) 2024/1502 et 2024/1505 | Prestataires TIC, AES |
| 15 juillet 2024 | Entrée en vigueur des NTR sur le cadre de gestion du risque lié aux TIC (et le cadre simplifié), la classification des incidents et la politique relative aux services TIC soutenant des fonctions critiques ou importantes | Règlements délégués (UE) 2024/1774, 2024/1772 et 2024/1773 | Toutes les entités financières (applicables avec DORA) |
| 30 août 2024 | Fin de l'exercice à blanc volontaire des AES sur les registres d'informations (1 039 entités participantes) | Rapport des AES du 17 décembre 2024 | Entités volontaires |
| 22 décembre 2024 | Entrée en vigueur des NTE sur les modèles du registre d'informations | Règlement d'exécution (UE) 2024/2956 | Toutes les entités financières |
| 17 janvier 2025 | Application de DORA ; date limite de transposition de la directive (UE) 2022/2556 | Art. 64 DORA ; art. 9 dir. 2022/2556 | Entités financières, États membres |
| 5 mars 2025 | NTR sur les conditions des activités de supervision | Règlement délégué (UE) 2025/295 | Prestataires critiques, superviseurs principaux |
| 12 mars 2025 | Entrée en vigueur des NTR sur le contenu et les délais des déclarations d'incidents majeurs et des NTE sur les formulaires | Règlement délégué (UE) 2025/301 ; règlement d'exécution (UE) 2025/302 | Toutes les entités financières |
| 31 mars 2025 | Date d'arrêté des premiers registres d'informations | Décision des AES du 8 novembre 2024 (ESA 2024 22) | Toutes les entités financières |
| 13 avril 2025 | NTR sur la composition des équipes d'examen conjointes | Règlement délégué (UE) 2025/420 | AES, autorités compétentes |
| 30 avril 2025 | Transmission des premiers registres aux AES par les autorités (échéance BNB pour les entités belges : également le 30 avril) | Décision des AES ; BNB | Autorités compétentes, entités financières |
| 8 juillet 2025 | Entrée en vigueur des NTR sur les tests de pénétration fondés sur la menace (TLPT) | Règlement délégué (UE) 2025/1190 | Entités désignées pour les TLPT |
| 22 juillet 2025 | NTR sur la sous-traitance de services TIC soutenant des fonctions critiques ou importantes | Règlement délégué (UE) 2025/532 | Toutes les entités financières |
| 18 novembre 2025 | Publication par les AES de la première liste des prestataires tiers critiques de services TIC (19 prestataires) | Art. 31, § 9, DORA | Prestataires désignés et leurs clients |
| 19 novembre 2025 | Proposition « Digital Omnibus » de la Commission : déclaration des incidents DORA via un point d'entrée unique | COM(2025) 837, procédure 2025/0360(COD) | Toutes les entités financières |
| 17 décembre 2025 | Rapport conjoint des AES à la Commission sur les contrôleurs légaux des comptes (réexamen dû au 17 janvier 2026) | Art. 58, § 3, DORA ; JC 2025 85 | Contrôleurs légaux et cabinets d'audit |
| 31 décembre 2025 | Date d'arrêté des registres déclarés en 2026 | Décision des AES | Toutes les entités financières |
| 13 au 31 mars 2026 | Échéances nationales du registre : BNB le 13 mars (OneGate), ACPR et CSSF le 31 mars ; transmission aux AES le 31 mars | BNB, ACPR, CSSF ; décision des AES | Entités financières, autorités |
| 21 octobre 2026 | Mandat de négociation du Conseil sur le Digital Omnibus ; les commissions du Parlement n'ont pas encore voté | Conseil ; Observatoire législatif | Toutes les entités financières |
| 31 décembre 2026 | Date d'arrêté des registres déclarés en 2027 | Décision des AES | Toutes les entités financières |
| 31 mars 2027 | Transmission des registres 2027 aux AES par les autorités | Décision des AES | Autorités (échéances plus tôt pour les entités) |
| 17 janvier 2028 | Rapport de réexamen de la Commission | Art. 58, § 1, DORA | Tous |
Quelles sont les prochaines échéances ?
À partir du 4 novembre 2026, dans l'ordre :
- 31 décembre 2026 : date d'arrêté du registre d'informations. Le registre déposé en 2027 reflète vos accords contractuels à cette date.
- Début 2027 : fenêtre de remise nationale. Chaque autorité fixe sa date avant le 31 mars. En 2026, la remise se faisait du 16 février au 13 mars à la BNB (OneGate), du 1er janvier au 31 mars à l'ACPR (OneGate) et du 11 février au 31 mars à la CSSF (eDesk). Les dates 2027 sont à vérifier auprès de votre autorité.
- Au plus tard le 31 mars 2027 : transmission aux AES par les autorités compétentes.
- Chaque année : mise à jour de la liste des prestataires tiers critiques par les AES (article 31, paragraphe 9), à partir des registres.
- Au moins tous les trois ans : TLPT pour les entités désignées par leur autorité (article 26, paragraphe 1).
- Au plus tard le 17 janvier 2028 : réexamen par la Commission des critères de désignation des prestataires critiques, du caractère volontaire de la notification des cybermenaces, du régime des prestataires de pays tiers et du réseau de supervision conjoint (article 58, paragraphe 1).
Les obligations permanentes n'attendent pas ces dates : les incidents majeurs se déclarent dans les délais ci-dessus, et l'autorité doit être informée en temps utile de tout projet de contrat portant sur des services TIC qui soutiennent une fonction critique ou importante (article 28, paragraphe 3). Le contenu du registre est détaillé dans le guide du registre d'informations DORA.
Le Digital Omnibus change-t-il les délais de notification ?
Non. La proposition de la Commission du 19 novembre 2025 (COM(2025) 837) modifie l'article 19, paragraphes 1 et 2, de DORA pour faire passer les déclarations d'incidents majeurs et les notifications volontaires de cybermenaces par un point d'entrée unique créé dans la directive NIS2. Elle change le canal, pas les délais du règlement délégué (UE) 2025/301. Le point d'entrée s'appliquerait 18 mois après l'entrée en vigueur du règlement, ou 24 mois si la Commission le juge pas encore fiable.
Au 4 novembre 2026, le texte n'est pas adopté. Au Parlement, les commissions ITRE et LIBE ont déposé un projet de rapport le 22 juin 2026 sans l'avoir encore voté. Le Conseil a arrêté son mandat le 21 octobre 2026 en préférant des points d'entrée nationaux à un point d'entrée unique européen. Tant qu'aucun texte n'est publié au Journal officiel, les entités financières continuent de déclarer à leur autorité compétente par les canaux actuels.
Questions fréquentes
DORA prévoyait-il une période de transition ?
Non, pas de période générale : il s'applique entièrement depuis le 17 janvier 2025. Les normes publiées ensuite s'appliquent depuis leur propre entrée en vigueur, par exemple le 12 mars 2025 pour les délais de déclaration des incidents.
Les week-ends suspendent-ils les délais ?
Seulement en partie : une échéance qui tombe un week-end ou un jour férié peut être reportée à midi le jour ouvrable suivant, sauf pour la notification initiale et le rapport intermédiaire des établissements de crédit, contreparties centrales, plates-formes de négociation et entités NIS2.
Quand le prochain registre d'informations est-il dû ?
Sa date d'arrêté est le 31 décembre 2026. Les autorités le transmettent aux AES au plus tard le 31 mars 2027 et fixent une échéance antérieure pour les entités : en 2026, le 13 mars en Belgique et le 31 mars en France et au Luxembourg.
Les délais DORA et NIS2 sont-ils identiques ?
Non. DORA exige une notification initiale dans les 4 heures suivant la classification (24 heures au plus après la détection), puis 72 heures et un mois. NIS2 commence par une alerte précoce dans les 24 heures suivant la prise de connaissance d'un incident important.
Le Digital Omnibus est-il adopté ?
Non. Au 4 novembre 2026, il est toujours en négociation et les règles actuelles de DORA s'appliquent.
Sources
- Règlement (UE) 2022/2554 (DORA) et directive (UE) 2022/2556
- Règlements délégués (UE) 2024/1502, 2024/1505, 2024/1772, 2024/1773, 2024/1774, 2025/295, 2025/301, 2025/420, 2025/532, 2025/1190
- Règlements d'exécution (UE) 2024/2956 et 2025/302
- AES – FAQ sur la déclaration du registre (échéances et dates d'arrêté), 28 mars 2025, en anglais
- AES – Résultats de l'exercice à blanc, 17 décembre 2024
- AES – Désignation des prestataires tiers critiques, 18 novembre 2025 et la liste
- AES – Rapport conjoint JC 2025 85 (article 58, paragraphe 3)
- Proposition COM(2025) 837 (Digital Omnibus) et fiche de procédure 2025/0360(COD)
- Conseil – Position sur les règles numériques, 21 octobre 2026 (en anglais)
- BNB – Domaine OneGate DOR (DORA_ROI, DORA_MIR)
- ACPR – Webinaire DORA du 23 janvier 2026
- CSSF – Délai de soumission du registre d'information 2026