Le 3 juin 2026, les trois autorités européennes de surveillance — EBA, EIOPA et ESMA — ont publié leur premier rapport conjoint sur les incidents ICT majeurs déclarés sous DORA pour l'exercice 2025 (JC 2026 16). C'est la première fois que les superviseurs européens disposent d'une vision consolidée des incidents significatifs de l'ensemble du secteur financier de l'Union. Ce rapport dessine un tableau factuel : 3 383 incidents majeurs, un tiers d'origine tierce, un tiers à impact transfrontalier. Voici ce que les entités financières françaises doivent en retenir.
Ce que couvre ce premier bilan
Le règlement DORA (UE) 2022/2554 est applicable depuis le 17 janvier 2025. Il impose aux entités financières de notifier les incidents ICT majeurs à leur autorité compétente nationale en trois temps : notification initiale dans les quatre heures, rapport intermédiaire dans les 72 heures, rapport final dans le mois suivant. La France a désigné l'ACPR pour les entités sous supervision prudentielle et l'AMF pour les prestataires de services sur actifs numériques.
Le rapport des ESAs couvre les incidents dont le rapport final a été déposé avant le 5 février 2026. Environ 15 % des incidents notifiés en 2025 ne disposaient pas encore d'un rapport final à cette date : ils sont exclus de l'analyse. Les chiffres publiés sont donc légèrement sous-estimés par rapport au stock réel de 2025, mais ils constituent la base officielle disponible.
3 383 incidents : les secteurs qui concentrent la charge
Les ESAs ont recensé 3 383 incidents ICT majeurs pour 2025, soit une moyenne de 0,18 incident majeur par entité soumise à DORA (source : JC 2026 16, ESAs, 3 juin 2026). Ce chiffre est une base de référence pour les superviseurs, pas un plafond : il reflète uniquement ce qui a été correctement qualifié et notifié selon les seuils définis par les normes techniques de réglementation (RTS).
Les secteurs du crédit et des paiements concentrent la majorité des incidents. Ce n'est pas une surprise : ces entités opèrent les infrastructures les plus exposées, traitent les volumes de transactions les plus élevés et sont directement visées par les fraudes et les attaques d'opportunité. L'ACPR a intensifié ses inspections formelles DORA depuis le second semestre 2025.
Un tiers des incidents imputables à des tiers
Près d'un tiers des incidents majeurs trouve son origine dans la défaillance d'un tiers : prestataires ICT, autres entités financières, opérateurs d'infrastructure. Ce chiffre est cohérent avec la logique même du règlement, dont l'article 28 impose une gestion formalisée du risque lié aux prestataires tiers de services ICT. Il confirme que la cartographie des dépendances et les clauses contractuelles restent un angle d'exposition concret, comme nous l'avons détaillé dans notre analyse DORA à 18 mois : les lacunes persistantes dans la gouvernance ICT.
Prenons un exemple concret. Un établissement de paiement délègue son infrastructure d'authentification forte à un prestataire tiers. Ce prestataire subit une défaillance de disponibilité de deux heures sur ses API. L'entité ne peut plus authentifier ses clients : l'incident répond aux critères de qualification DORA (impact sur la continuité de service, durée supérieure aux seuils RTS). Il doit être notifié même si l'entité n'a commis aucune erreur opérationnelle. L'analyse post-incident devra documenter les mesures d'atténuation contractuelles et techniques : l'incident était-il couvert par le plan de continuité ? le prestataire a-t-il notifié dans les délais convenus ? la clause de sortie est-elle activable ?
Un tiers à impact transfrontalier
Environ un tiers des incidents déclarés ont eu un impact sur des opérations ou des clients dans plusieurs États membres. Ce résultat illustre l'interdépendance réelle du secteur financier européen et justifie le choix d'un règlement uniforme plutôt qu'un empilement de dispositifs nationaux.
Pour les entités françaises ayant des activités transfrontalières — succursales, clientèle européenne, exposition à des contreparties établies dans d'autres pays membres — ce chiffre soulève une question pratique : votre procédure de notification est-elle calibrée pour un incident dont l'impact s'étend au-delà des frontières françaises ? Les ESAs signalent des pratiques de notification encore divergentes entre secteurs et juridictions. Ce n'est pas un écart de forme bénin : une notification insuffisante ou tardive dans ce contexte expose à une sanction de l'autorité compétente, indépendamment de la qualité de la réponse technique.
Ce que la résilience ressemble en chiffres
Les deux tiers des incidents ont causé peu ou pas de perturbation pour les clients et les transactions, selon l'appréciation des ESAs. Cette lecture positive doit être nuancée : elle indique que les capacités de détection et de confinement fonctionnent dans la majorité des cas, pas que le risque est maîtrisé. Les incidents qui n'ont pas dépassé le seuil de perturbation visible sont précisément ceux qui ont été détectés et contenus rapidement. Les autres ont été notifiés.
Les ESAs identifient par ailleurs les outils d'attaque pilotés par l'intelligence artificielle comme facteur aggravant émergent. Les attaquants disposent désormais d'outils qui accélèrent la découverte de vulnérabilités et la personnalisation des vecteurs d'intrusion. Ce signal anticipe une probable dégradation du ratio entre incidents détectés et incidents évités si les capacités défensives ne suivent pas le même rythme.
Ce que les entités financières françaises doivent faire maintenant
Ce premier rapport établit des bases de comparaison auxquelles votre programme DORA peut se mesurer. Trois points méritent une vérification immédiate.
Revoyez vos critères de qualification des incidents ICT majeurs. Les RTS définissent des seuils précis : nombre de clients affectés, montant des transactions perturbées, durée d'indisponibilité. Si vous avez géré des incidents en 2025 sans déclencher la procédure de notification, vérifiez rétrospectivement si ces incidents répondaient aux critères. Une sous-notification peut être sanctionnée par l'ACPR au même titre qu'un incident mal géré.
Auditez vos dépendances tierces critiques. Un tiers des incidents du secteur provient de défaillances de tiers, et votre cartographie DORA doit couvrir l'ensemble de vos prestataires ICT avec accès à des fonctions critiques. L'article 28 du règlement exige une politique formalisée de gestion du risque tiers et des registres contractuels conformes : c'est un point que l'ACPR inspecte en priorité.
Testez votre procédure de notification sur un scénario réaliste. La notification initiale est due dans les quatre heures suivant la qualification de l'incident. Dans un incident impliquant un tiers, la chaîne de communication entre votre équipe de détection, votre responsable ICT, votre direction générale et votre autorité compétente peut facilement dépasser ce délai si elle n'a pas été exercée. Un exercice de simulation sur table d'une heure suffit à identifier les points de friction.
Pour mettre à niveau vos procédures de réponse à incident et vos circuits de notification réglementaire DORA, notre prestation de réponse à incident couvre la préparation des plans, les exercices de crise et la traçabilité des décisions pour l'audit trail.