Mise à jour 7 de l'AFM sur DORA : des progrès, mais des lacunes persistent

L'Autorité néerlandaise des marchés financiers (AFM) a publié la mise à jour 7 de DORA le 6 août 2026, et le tableau qu'elle dresse est mitigé. Les taux d'approbation des registres ont considérablement augmenté, ce qui indique que le secteur a maîtrisé les exigences techniques de format. Dans le même temps, l'AFM est explicite sur le fait que plusieurs fondamentaux de conformité restent insuffisants, notamment la documentation politique obligatoire, la classification des incidents et le signalement en temps voulu des incidents. Pour les cabinets comptables, les auditeurs et les directeurs financiers servant des entités supervisées aux Pays-Bas qui détiennent ou négocient des actifs numériques, cette mise à jour est un appel direct à examiner l'état de préparation actuel à DORA et à combler les lacunes restantes avant que l'attention des autorités de contrôle ne s'intensifie.

Ce que DORA exige et pourquoi c'est important pour les entreprises d'actifs numériques

Le règlement sur la résilience opérationnelle numérique (DORA), qui s'applique dans toute l'UE, établit des exigences contraignantes en matière de gestion des risques liés aux TIC, de signalement des incidents, de surveillance des risques liés aux tiers et de tests de résilience opérationnelle numérique. Il est entré en vigueur en janvier 2025 et s'applique à un large éventail d'entités financières réglementées, y compris les prestataires de services sur actifs cryptographiques (PSAC) autorisés en vertu de MiCA.

Pour les entreprises opérant dans le domaine des actifs numériques, DORA n'est pas une préoccupation périphérique. Les systèmes TIC sous-tendent toutes les fonctions : conservation, négociation, règlement, intégration des clients et surveillance des transactions. Une défaillance de l'un de ces systèmes peut simultanément déclencher un rapport d'incident DORA, une violation potentielle de la LBC si la surveillance est interrompue, et un problème de reporting financier si les évaluations d'actifs ou les registres sont affectés. L'intersection est directe, et les dernières observations de contrôle de l'AFM indiquent clairement que les régulateurs vérifient activement si les entreprises ont établi ces liens.

Le chevauchement MiCA-DORA pour les PSAC

Les PSAC autorisés en vertu de MiCA aux Pays-Bas sont soumis aux deux régimes réglementaires. MiCA définit les exigences en matière de licence et de conduite ; DORA fixe le plancher de résilience opérationnelle. Un PSAC qui détient une licence MiCA mais n'a pas intégré une gestion des risques liés aux TIC conforme à DORA dans ses procédures opérationnelles est simultanément non conforme aux deux cadres, car MiCA exige que les entreprises aient des contrôles internes adéquats et DORA spécifie ce que signifie « adéquat » dans le contexte des TIC. Les directeurs financiers et les responsables de la conformité des PSAC doivent traiter ces éléments comme un flux de travail de conformité unifié plutôt que comme deux projets distincts.

Le bond en avant de l'approbation des registres : ce qui a changé et ce que cela signifie

Le point de données le plus frappant de l'AFM dans la mise à jour 7 est l'augmentation des registres de prestataires de services TIC tiers approuvés par l'ABE. En 2025, seulement 40 % des registres soumis avaient été approuvés. En 2026, ce chiffre est passé à 94 %. L'AFM attribue cette amélioration au fait que les entreprises comprennent mieux comment remplir le registre et le format requis, une observation pratique qui suggère que les premiers échecs étaient en grande partie procéduraux plutôt que substantiels.

Pourquoi la qualité nécessite encore de l'attention

Un taux d'approbation de 94 % n'est pas un blanc-seing. L'AFM rappelle explicitement aux entreprises que l'obtention du bon format ne signifie pas que les données sous-jacentes sont exactes, complètes et à jour. Le registre consigne les dépendances matérielles de l'entreprise vis-à-vis des prestataires TIC externes, et sa valeur pour les autorités de contrôle n'est aussi bonne que les données qu'il contient. Pour les entreprises d'actifs numériques, cela est particulièrement pertinent : la chaîne d'approvisionnement TIC comprend souvent des opérateurs de nœuds blockchain, des fournisseurs d'infrastructure de conservation, des auditeurs de contrats intelligents et des services cloud, dont l'un ou l'ensemble peut être considéré comme un tiers matériel selon les critères de DORA.

Les entreprises doivent traiter le registre non pas comme une soumission unique, mais comme un document vivant, révisé au moins annuellement ou chaque fois qu'une relation TIC matérielle change. Pour les équipes d'audit, cela crée un nouveau point de vérification : confirmer que le registre reflète les dépendances opérationnelles réelles de l'entreprise, et non seulement celles qui étaient en place au moment de la soumission initiale.

Lacunes en matière de politiques et de procédures : la préoccupation centrale de l'AFM

Au-delà du registre, les examens de contrôle de l'AFM ont révélé que certaines entreprises ne détiennent pas tous les documents politiques obligatoires requis par DORA, et que certaines politiques existantes ne sont pas entièrement alignées sur les exigences du règlement. L'AFM le signale directement, demandant aux entreprises de vérifier si leur cadre de gestion des risques TIC, leurs politiques et leurs procédures sont à jour et reflètent la pratique réelle.

Les politiques au niveau du groupe ne remplacent pas la conformité individuelle

Un scénario spécifique que l'AFM met en évidence est celui des entreprises qui s'appuient sur des politiques rédigées au niveau du groupe, généralement par une société mère ou une structure de holding. L'AFM précise que cette pratique est autorisée, mais elle ne transfère ni ne dilue la responsabilité de conformité de l'entité agréée. L'entité autorisée néerlandaise reste pleinement responsable de veiller à ce que chaque exigence DORA soit couverte par les documents politiques sur lesquels elle s'appuie. Si une politique de groupe a été rédigée pour une autre juridiction ou un type d'entité plus large, elle peut contenir des lacunes qui ne sont pas évidentes sans une comparaison ligne par ligne délibérée avec le texte DORA.

Pour les cabinets comptables conseillant des structures de groupe avec des filiales réglementées néerlandaises, c'est un point de conseil important. L'audit ou l'examen de conformité ne peut pas simplement confirmer qu'une politique de groupe existe ; il doit confirmer que la politique de groupe est suffisante pour les obligations spécifiques de l'entité néerlandaise. Conserver des enregistrements structurés de cet examen, avec contrôle de version et pistes d'approbation, est précisément le type de documentation que les autorités de contrôle s'attendent à voir lors d'un examen. Un logiciel robuste de comptabilité crypto et des systèmes de gestion documentaire font partie de l'infrastructure qui soutient cette piste pour les entités d'actifs numériques en particulier.

Signalement des incidents : toujours en deçà des attentes

L'AFM note que le volume de rapports d'incidents DORA reçus reste inférieur aux attentes compte tenu du nombre d'entreprises concernées. C'est une observation importante. En vertu de DORA, les entreprises doivent détecter, classer et signaler les incidents majeurs liés aux TIC dans des délais légaux définis. Un faible taux de signalement n'est pas nécessairement la preuve d'un secteur résilient ; cela peut refléter une sous-détection, une mauvaise classification ou un manque de processus internes pour faire remonter les incidents au point où un dépôt réglementaire est déclenché.

Ce qui constitue un incident à signaler

Les critères de classification des incidents de DORA couvrent une série de facteurs, notamment le nombre de clients affectés, la durée de la perturbation, la portée géographique et l'impact économique. Pour les entreprises d'actifs numériques, les incidents qui peuvent sembler être des pannes techniques de routine peuvent rapidement atteindre ces seuils, en particulier s'ils affectent l'exécution des transactions, l'accès à la conservation ou les systèmes de reporting client. Une plateforme de négociation hors ligne pendant plusieurs heures pendant une période de forte volatilité du marché, par exemple, pourrait simultanément affecter un grand nombre de clients, avoir un impact économique matériel et perturber des services qui ne sont pas facilement substituables, tous des facteurs de classification DORA.

L'implication pratique est que les entreprises ont besoin de procédures documentées et testées de classification des incidents qui sont réellement utilisées par le personnel opérationnel de première ligne, et non seulement rédigées et archivées. L'observation de l'AFM sur les faibles volumes de signalement suggère que, dans certains cas, l'étape de classification ne se produit pas correctement ou pas du tout. Pour les directeurs financiers, c'est aussi une considération de reporting financier : un incident DORA non signalé qui est découvert plus tard lors d'un examen de contrôle peut donner lieu à des sanctions réglementaires, qui doivent être divulguées et peuvent affecter les états financiers de l'entreprise. Un logiciel fiable de comptabilité d'actifs numériques qui capture les journaux d'événements opérationnels peut aider les entreprises à établir la piste de preuves nécessaire pour une classification précise et en temps opportun.

Pour plus de contexte sur la façon dont les incidents non détectés de criminalité opérationnelle ou financière peuvent avoir des conséquences de conformité en cascade, notre analyse précédente des implications LBC et sanctions du vol de Ronin Bridge par le groupe Lazarus illustre ce qui se produit lorsque les vulnérabilités TIC et les lacunes de surveillance de la conformité coïncident.

Calculs de seuils : nouvelles clarifications pour les intermédiaires d'assurance

La mise à jour de l'AFM aborde également une question technique spécifique qui s'est posée pour les intermédiaires d'assurance pour lesquels l'intermédiation en assurance est une partie mineure de l'activité totale. Des orientations actualisées clarifient désormais comment les calculs de seuils de DORA doivent être appliqués dans ces cas, ainsi que la manière dont les seuils doivent être calculés au sein des structures de groupe. L'AFM demande à toutes les entreprises concernées de vérifier si les questions-réponses récemment publiées affectent leurs propres déterminations de seuils.

Pertinence pour les groupes d'actifs numériques multi-activités

Bien que ces orientations soient formulées autour des intermédiaires d'assurance, le principe sous-jacent est pertinent pour toute structure de groupe où l'entité néerlandaise réglementée ne représente qu'une partie d'une activité plus large. Les groupes d'actifs numériques qui détiennent une licence MiCA néerlandaise ou une autre licence financière aux côtés d'activités non réglementées doivent appliquer les seuils de DORA à l'entité agréée spécifiquement, et les nouvelles clarifications Q&R peuvent affecter la manière dont ce calcul est structuré. Les conseillers juridiques et de conformité doivent examiner les Q&R mises à jour de l'AFM et documenter tout changement dans l'évaluation des seuils de l'entreprise.

Mesures pratiques pour les entreprises et leurs conseillers

La mise à jour 7 de DORA de l'AFM fournit effectivement une liste de contrôle de supervision. Les cabinets comptables, les auditeurs et les équipes de conformité internes conseillant les entités réglementées néerlandaises, y compris celles du secteur des actifs numériques, devraient travailler sur les actions suivantes en fonction des préoccupations déclarées de l'AFM.

Examen du registre

Confirmez que le registre des tiers TIC est à jour, que tous les prestataires matériels sont inclus et que la qualité des données est suffisante pour répondre à une enquête de contrôle. Ce n'est pas une tâche ponctuelle ; attribuez un cycle d'examen périodique et documentez-le.

Analyse des lacunes politiques

Mappez chaque exigence DORA par rapport aux documents politiques existants de l'entreprise. Lorsqu'une politique au niveau du groupe est utilisée, documentez explicitement les articles DORA qu'elle couvre et lesquels, le cas échéant, nécessitent un complément local. Engagez-vous sur la manière dont l'environnement réglementaire plus large de l'UE recoupe ces obligations : notre couverture de la manière dont le 21e paquet de sanctions de l'UE contre la Russie affecte les entreprises crypto montre comment les obligations européennes superposées peuvent se cumuler pour les entreprises qui ne surveillent pas les évolutions sur plusieurs flux de travail réglementaires.

Test du processus de gestion des incidents

Organisez un exercice de simulation ou une revue structurée du processus de détection, de classification et de notification des incidents. Confirmez que le personnel opérationnel sait ce qui déclenche un examen de classification DORA et que la voie d'escalade vers le dépôt réglementaire est documentée, assignée et testée.

Recalcul des seuils

Examinez les Q&R mises à jour de l'AFM sur les calculs de seuils, en particulier si l'entreprise opère au sein d'une structure de groupe ou si l'intermédiation en assurance (ou toute autre activité réglementée) est une partie secondaire de son activité. Mettez à jour la documentation d'évaluation des seuils en conséquence.

Questions fréquemment posées

DORA s'applique-t-elle aux prestataires de services sur actifs cryptographiques aux Pays-Bas ?

Oui. Les PSAC autorisés en vertu de MiCA aux Pays-Bas entrent dans le champ d'application de DORA en tant qu'entités financières réglementées. Ils doivent satisfaire aux exigences de DORA en matière de gestion des risques TIC, de signalement des incidents, de surveillance des tiers et de tests de résilience, en plus de leurs obligations MiCA.

Que signifie réellement le taux d'approbation de 94 % des registres pour mon entreprise ?

Cela signifie que le secteur a amélioré sa capacité à soumettre des registres au format correct, mais l'AFM précise que la conformité au format n'est pas la même chose que la qualité des données. Les entreprises doivent vérifier que les informations sous-jacentes dans leur registre sont exactes et complètes, et non seulement que la soumission a été acceptée.

Notre entreprise utilise des politiques DORA au niveau du groupe. Est-ce acceptable ?

Les politiques au niveau du groupe sont autorisées, mais l'entité agréée néerlandaise reste seule responsable de veiller à ce que chaque exigence DORA soit entièrement satisfaite. Si une politique de groupe présente des lacunes par rapport aux exigences de DORA pour l'entité néerlandaise en particulier, l'entreprise est non conforme, quel que soit le contenu du document de groupe. Une analyse des lacunes par rapport au règlement est essentielle.

Quelles sont les conséquences d'un signalement tardif d'un incident DORA ?

Le fait de ne pas détecter, classer ou signaler un incident TIC majeur dans les délais légaux de DORA constitue une violation réglementaire. L'AFM peut prendre des mesures de contrôle, y compris des mesures d'exécution publiques. Ces sanctions doivent généralement être divulguées et peuvent affecter les états financiers de l'entreprise et le statut de sa licence.

À quelle fréquence une entreprise doit-elle revoir son état de conformité à DORA ?

L'AFM recommande des auto-évaluations périodiques pour vérifier si l'entreprise continue de satisfaire à toutes les exigences DORA. Il n'y a pas de fréquence unique imposée, mais compte tenu du rythme auquel les environnements TIC et les Q&R réglementaires évoluent, un cycle d'examen trimestriel aligné sur le calendrier de gestion des risques de l'entreprise est un minimum raisonnable. Tout changement matériel dans l'infrastructure TIC ou les relations avec les tiers devrait également déclencher un examen immédiat.

Source : AFM (Autoriteit Financiële Markten)