Le 3 juin 2026, les trois autorités européennes de surveillance ont publié leur premier bilan annuel des incidents TIC majeurs déclarés au titre de DORA. Pour l’ensemble du secteur financier de l’Union, 2025 totalise 3 383 incidents majeurs, soit une moyenne de 0,18 par entité assujettie. Trente et un ont été recensés parmi les sociétés de gestion françaises. Un registre d’incidents vide ne prouve pas l’absence d’incident : il prouve l’absence de qualification.

La croyance à démonter tient dans une phrase que nous entendons en comité : « nous n’avons rien déclaré en 2025, donc nous n’avons rien eu de majeur ».

Combien d’incidents majeurs les sociétés de gestion françaises ont-elles déclarés en 2025 ?

Trente et un.

Ce chiffre se lit avec la moyenne européenne. Zéro virgule dix-huit incident par entité assujettie signifie que l’immense majorité des entités soumises à DORA ont déclaré zéro. Le zéro est la norme statistique, il ne distingue personne, et il ne dit rien de la mécanique interne qui a conduit à ce zéro.

La croyance casse sur un mot, qualification

Elle casse sur l’écart entre un événement et sa qualification. Le règlement n’impose pas de déclarer ce que l’exploitation a vécu comme grave, mais ce qui franchit des seuils fixés par le règlement délégué, seuils qui se mesurent et se documentent au moment des faits et non six mois plus tard, quand un contrôleur demande la liste et que plus personne ne retrouve la durée réelle de l’indisponibilité.

Une entité qui n’a jamais écrit sa grille de qualification a déclaré zéro fois, ce qui est un tout autre énoncé que zéro incident majeur.

Qu’est-ce qui rend un incident TIC « majeur » au sens de DORA ?

Le règlement délégué combine plusieurs familles de critères, à apprécier ensemble :

  • le nombre et l’importance des clients, contreparties financières ou transactions affectés ;
  • la durée de l’incident et l’indisponibilité effective du service ;
  • l’étendue géographique, en particulier lorsque d’autres États membres sont touchés ;
  • les pertes de données, qu’elles portent sur la disponibilité, l’authenticité, l’intégrité ou la confidentialité ;
  • la criticité des services touchés ;
  • l’impact économique, direct et indirect.

Aucun de ces critères ne se lit sur un tableau de bord. Chacun se reconstitue à partir de traces : horodatage de la détection, périmètre exact des comptes concernés, durée d’indisponibilité mesurée plutôt qu’estimée, journaux d’accès conservés au-delà du trimestre en cours. La conformité se gagne ou se perd sur ce matériau, avant de se jouer dans la documentation.

Arbre de décision de la qualification d'un incident DORA : un événement détecté et horodaté passe par la grille de qualification (clients affectés, durée, étendue géographique, pertes de données, criticité des services, impact économique) et n'a que deux sorties possibles, majeur avec notification ou non majeur avec trace écrite conservée. Un chemin en pointillé contourne la grille et n'aboutit nulle part : sans grille, aucune sortie.
Deux sorties, pas de troisième : ne pas ouvrir la grille n'est pas une qualification.

Le zéro de procédure

Sur les 3 000 postes que nous supervisons, du 1er janvier au 31 juillet 2026, sept incidents ont franchi le seuil d’escalade prévu à nos procédures et donné lieu à une communication écrite au responsable de compte côté client. Aucun n’a été qualifié de majeur au sens de DORA par l’entité concernée. Deux, à notre lecture, méritaient que la question soit posée et tranchée par écrit.

Nous pensons qu’une partie des zéros déclarés en 2025 sont des zéros de procédure. Rien de tout cela ne relève de la mauvaise foi : la grille manquait, l’horloge tournait, personne n’a eu de raison de l’ouvrir un mardi soir.

Nous ne qualifions pas les incidents à votre place et nous ne réalisons pas d’audit. La décision appartient à l’entité et à son RCCI. Ce qui nous revient, c’est la matière première : détecter, horodater, mesurer, conserver. Notre offre de surveillance et détection est construite pour ça. L’avis de conformité, lui, vient d’ailleurs.

Ce que le texte ne tranche pas

L’appréciation du critère « clients affectés » reste discutable lorsque les porteurs de parts sont atteints par l’intermédiaire d’un dépositaire ou d’un valorisateur. L’AMF a annoncé la publication d’un premier bilan de la mise en œuvre de DORA pour les entités relevant de son périmètre, tirant les enseignements des notifications reçues et des points d’attention observés. Nous attendons ce document pour savoir ce que le superviseur regarde comme sous-déclaré. Nous ne le devinerons pas avant.

Ce qu’il reste à faire avant le prochain contrôle

Ouvrez votre registre d’incidents et regardez la dernière ligne. Si elle date d’avant 2025, commencez par la grille plutôt que par la déclaration : une grille datée, signée, appliquée deux fois, vaut mieux qu’une déclaration rédigée sous pression. Les checklists de qualification et de notification, avec les délais applicables et l’enchaînement des destinataires, sont dans notre guide DORA, en accès libre. Notre analyse de juillet sur l’ordre des notifications après l’accord ANSSI-ACPR complète le volet délais.

Si vous voulez savoir ce que vos journaux permettraient de reconstituer sur un incident survenu il y a six mois, un ingénieur vous le dit en trente minutes : prendre rendez-vous.

Sources