DORA est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, et il s’applique aux prestataires de services sur crypto-actifs agréés au titre de MiCA. Il impose un cadre de gestion du risque lié aux TIC, la notification des incidents majeurs au superviseur, des tests de résilience réguliers et un contrôle strict des prestataires tiers de services TIC. Il s’applique depuis le 17 janvier 2025 et n’offre pas à ces prestataires le régime simplifié dont bénéficient d’autres petites entités. En Espagne, la CNMV le supervise. L’Autorité européenne des marchés financiers a lancé le 8 juillet 2026 une action de surveillance commune sur leur résilience opérationnelle dans la conservation, que les autorités nationales mènent jusqu’au premier semestre 2027.
Si vous avez besoin d’un conseil juridique MiCA pour votre agrément de prestataire de services sur crypto-actifs, demandez une évaluation initiale gratuite.
DORA vise les prestataires de services sur crypto-actifs agréés au titre de MiCA, selon son article 2.1.f, ainsi que les émetteurs de jetons se référant à un ou des actifs. Il s’applique depuis le 17 janvier 2025. L’obligation naît avec l’agrément, de sorte que pendant la période transitoire, achevée en Espagne le 1er juillet 2026, les prestataires qui opéraient sans agrément MiCA n’étaient pas soumis à DORA.
Depuis le 1er juillet, quiconque fournit des services sur crypto-actifs en Espagne est agréé ou est une entité financière qui le fait par notification, et ces dernières étaient déjà soumises à DORA en raison de leur propre statut. En pratique, tout le secteur est désormais concerné.
L’article 16 prévoit un cadre simplifié de gestion du risque lié aux TIC pour certaines petites entités, comme les entreprises d’investissement petites et non interconnectées ou certains établissements de paiement exemptés. Les prestataires de services sur crypto-actifs ne figurent pas sur cette liste. Ils appliquent le cadre complet des articles 5 à 15, de manière proportionnée à leur taille, à leur profil de risque et à la nature de leurs services, comme l’exige l’article 4.
DORA organise ses obligations en cinq blocs. Pour un prestataire de services sur crypto-actifs, chacun se traduit par des documents et des processus précis que la CNMV peut demander.
| Bloc | Articles | Ce que cela implique pour un prestataire crypto |
|---|---|---|
| Gestion du risque lié aux TIC | 5 à 15 | L’organe de direction approuve le cadre et en répond. Inventaire des actifs TIC, protection, détection, réponse, sauvegardes et continuité du service |
| Incidents | 17 à 23 | Processus de détection, de classification et d’enregistrement des incidents, et notification des incidents majeurs à la CNMV |
| Tests de résilience | 24 à 27 | Programme de tests des systèmes. Tests de pénétration fondés sur la menace uniquement pour les entités désignées par l’autorité |
| Risque lié aux prestataires tiers de TIC | 28 à 30 | Stratégie de risque lié aux tiers, registre d’informations sur tous les contrats TIC et clauses minimales dans chaque contrat |
| Partage d’informations | 45 | Accords volontaires entre entités pour partager des informations sur les cybermenaces |
Un incident majeur lié aux TIC est notifié à la CNMV en trois étapes. La notification initiale est envoyée dans les quatre heures suivant sa classification comme majeur et au plus tard vingt-quatre heures après en avoir eu connaissance. Le rapport intermédiaire suit dans les soixante-douze heures suivant la notification initiale. Le rapport final, dans le mois suivant le dernier rapport intermédiaire. Les délais figurent à l’article 5 du règlement délégué (UE) 2025/301.
Si un délai expire un week-end ou un jour férié, le prestataire peut présenter la notification avant 12 h 00 le jour ouvrable suivant. Cette règle ne s’applique pas à certaines entités, notamment celles que la directive NIS2 considère comme essentielles ou importantes.
L’action de surveillance commune annoncée par l’Autorité européenne des marchés financiers le 8 juillet 2026 évalue la maturité des cadres de résilience opérationnelle numérique des prestataires de services sur crypto-actifs en matière de conservation. Les autorités nationales l’appliquent à un échantillon de prestataires agréés choisi selon le risque, du second semestre 2026 au premier semestre 2027. Ses conclusions seront réunies dans un rapport final au second semestre 2027.
L’autorité européenne met en avant les risques propres à la technologie des registres distribués qu’elle va examiner :
Pour un prestataire qui conserve des crypto-actifs de clients, ce sont les points sur lesquels la documentation doit être à jour avant qu’une demande n’arrive.
Tout contrat avec un prestataire de TIC doit comporter un contenu minimal, fixé à l’article 30.2 de DORA :
Si le service soutient une fonction critique ou importante, l’article 30.3 ajoute des niveaux de service assortis d’objectifs quantitatifs, des plans d’urgence, la participation aux tests de pénétration, des droits illimités d’accès, d’inspection et d’audit, et des stratégies de sortie avec une période de transition. La conservation des clés par un tiers, ou le cloud qui fait tourner une plateforme de négociation, entrent généralement dans cette catégorie.
L’article 28.3 impose en outre de tenir un registre d’informations sur tous les contrats TIC et d’informer l’autorité, au moins une fois par an, des nouveaux contrats et de leurs prestataires. La revue de ces contrats relève des contrats informatiques de tout prestataire de services sur crypto-actifs.
Le cas est fictif. Cumbre Digital, S.L. dispose d’un agrément MiCA de la CNMV pour l’échange et la conservation, avec 30 000 clients. Un mardi à 9 h 10, son fournisseur de cloud subit une panne qui rend la plateforme indisponible. À 10 h 30, l’équipe des risques classe l’incident comme majeur en raison de sa durée et du nombre de clients touchés.
Cumbre Digital envoie la notification initiale à la CNMV à 13 h 45, dans les quatre heures suivant la classification. Le service est rétabli dans l’après-midi. Le vendredi matin, avant l’expiration des soixante-douze heures, elle envoie le rapport intermédiaire avec la cause et les mesures prises. Un mois plus tard, elle remet le rapport final.
L’analyse a posteriori révèle un problème contractuel. Le contrat avec le fournisseur de cloud ne prévoyait ni plan d’urgence ni stratégie de sortie, alors qu’il soutient une fonction critique. Cumbre Digital négocie un avenant comportant ces deux clauses et met à jour son registre d’informations.
La CNMV supervise le respect de DORA par les prestataires de services sur crypto-actifs. DORA confie ce rôle à l’autorité désignée au titre de MiCA, selon son article 46.d, qui est en Espagne la CNMV en vertu de l’article 251 de la loi espagnole 6/2023 sur les marchés de valeurs. DORA ne fixe pas de montants d’amende et laisse le régime de sanctions aux États membres. La loi 6/2023 le fait à son article 308, qui qualifie d’infraction très grave, par exemple, l’absence de cadre de gouvernance du risque lié aux TIC ou le défaut de notification d’un incident majeur, et d’infraction grave l’inadéquation de ces mêmes cadres et processus.
Non. DORA s’applique aux prestataires agréés au titre de MiCA. Mais depuis le 1er juillet 2026, personne ne peut fournir de services sur crypto-actifs en Espagne sans agrément ou notification, et la demande doit décrire les systèmes TIC et les mesures de sécurité. En pratique, le cadre DORA doit être conçu avant de demander l’agrément.
Non. L’article 16 de DORA réserve le cadre simplifié à des entités comme les entreprises d’investissement petites et non interconnectées, certains établissements de paiement et de monnaie électronique exemptés et les petites institutions de retraite professionnelle. Les prestataires de services sur crypto-actifs appliquent le cadre complet des articles 5 à 15, de manière proportionnée à leur taille et à leur profil de risque.
En trois étapes. La notification initiale est envoyée dans les quatre heures suivant la classification de l’incident comme majeur et au plus tard vingt-quatre heures après en avoir eu connaissance. Le rapport intermédiaire, dans les soixante-douze heures suivant la notification initiale. Le rapport final, dans le mois suivant le dernier rapport intermédiaire. En Espagne, la notification va à la CNMV.
Au minimum, la description des services et de la sous-traitance, la localisation des données, leur protection et leur restitution, les niveaux de service, l’assistance en cas d’incident, la coopération avec les autorités et les droits de résiliation. Si le cloud soutient une fonction critique ou importante, comme la plateforme de négociation ou la conservation, il faut aussi des plans d’urgence, des droits d’audit et une stratégie de sortie.
Seulement pour les entités désignées par l’autorité compétente. L’article 26 de DORA impose ces tests avancés, au moins tous les trois ans, aux entités financières que l’autorité identifie en raison de leur importance et de leur profil de risque. Les autres appliquent le programme général de tests des articles 24 et 25.
DORA n’est pas une exigence technologique isolée. Pour un prestataire de services sur crypto-actifs, il fait partie de l’agrément MiCA et de la supervision de la CNMV, et l’action européenne sur la conservation montre où les superviseurs regarderont en premier. Chez Innovatech, nous préparons le dossier des prestataires de services sur crypto-actifs, y compris le volet DORA et les contrats avec les prestataires de TIC, dans le cadre de notre conseil juridique MiCA en Espagne. Écrivez-nous et nous vous proposerons une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.