Sanctions DORA : amendes et astreintes du règlement
Sanctions DORA : distinguer amende nationale, astreinte des prestataires critiques et mesures correctives, avec un dossier de réponse expliqué.
- Identifier d’abord le régime applicable
- Les sanctions des entités financières
- L’astreinte des prestataires TIC critiques
- Les conséquences sur la relation fournisseur
- Préparer un dossier de réponse vérifiable
- Cas pratique : un dossier incomplet ne vaut pas réponse conforme
- Ce que le dirigeant doit décider pendant un contrôle
- Ce qu’il faut retenir
- FAQ
DORA ne fixe pas un plafond unique d’amende pour toutes les entités financières européennes. Le risque dépend du statut de l’entité, du manquement et du régime national applicable. En revanche, le règlement prévoit directement une astreinte chiffrée pour certains manquements des prestataires TIC désignés critiques. Ces deux mécanismes doivent rester distincts.
Identifier d’abord le régime applicable
| Personne concernée | Fondement principal | Point à vérifier |
|---|---|---|
| Entité financière | DORA, articles 50 à 54, et droit national applicable | Autorité, pouvoirs, sanction et plafond correspondant au statut et au grief |
| Dirigeant ou autre personne responsable | Article 50(5) et conditions nationales | Responsabilité personnelle et garanties de procédure |
| Prestataire tiers critique | Article 35(6) à (11) | Conditions de l’astreinte et mesures auxquelles il doit se conformer |
| Entité cliente d’un prestataire critique présentant des risques | Article 42 | Mesures de suivi, puis éventuelle suspension ou résiliation en dernier recours |
Ces dispositions figurent dans le règlement DORA. La première étape est donc une qualification de la personne poursuivie, avant toute multiplication du chiffre d’affaires par un pourcentage.
Les sanctions des entités financières
L’article 50(3) impose aux États membres des sanctions administratives et mesures correctives appropriées, effectives, proportionnées et dissuasives. Le règlement ne fixe pas un barème pécuniaire harmonisé pour les entités financières. L’article 50(4) prévoit notamment des injonctions, des mesures de cessation, des mesures pécuniaires et des communications publiques.
L’article 51(2) énumère les circonstances à considérer : caractère intentionnel ou négligent, gravité, durée, responsabilité, assise financière, gains ou pertes évitées, préjudices, coopération et antécédents. Aucun de ces critères ne garantit à lui seul l’absence de sanction.
En France, il faut lire les dispositions sectorielles pertinentes dans leur version applicable. Par exemple, l’article L. 612-39 du Code monétaire et financier, dans sa version en vigueur depuis le 10 avril 2026, prévoit plusieurs sanctions disciplinaires et pécuniaires, sous réserve notamment des articles L. 612-39-1 et L. 612-40. Son champ et les catégories de manquements doivent être vérifiés avant d’appliquer un plafond : les montants inscrits dans cet article ne constituent pas un barème DORA universel.
L’article 46 de DORA identifie les autorités par catégorie d’entité. La répartition française ne peut pas être résumée à « toute entreprise d’investissement relève uniquement de l’AMF ». Le statut, la compétence concernée et le fondement de la procédure doivent être établis.
L’astreinte des prestataires TIC critiques
L’article 35(6) vise le non-respect total ou partiel des mesures prises au titre de l’article 35(1)(a), (b) et (c) : informations, enquêtes ou inspections et rapports demandés. Le texte prévoit un délai d’au moins trente jours civils après notification des mesures avant la décision d’astreinte.
Selon les paragraphes 7 et 8, l’astreinte est journalière, jusqu’à mise en conformité, pendant six mois au maximum. Son montant peut atteindre 1 % du chiffre d’affaires quotidien moyen mondial de l’exercice précédent. C’est un maximum, et non un taux automatiquement fixé à 1 %.
Exemple de calcul hypothétique : si le chiffre d’affaires quotidien moyen retenu est de 10 millions d’euros, ce plafond représente 100 000 euros par jour. Cet exemple explique uniquement l’assiette ; il ne préjuge ni du montant décidé ni de la durée de l’astreinte.
Il faut distinguer ce mécanisme du suivi des recommandations de l’article 42. L’astreinte de l’article 35(6) ne s’applique pas indistinctement à tout désaccord avec une recommandation. Le régime de supervision des prestataires critiques précise cette articulation.
Les conséquences sur la relation fournisseur
L’article 42 prévoit le suivi des risques identifiés et des réponses du prestataire. Les autorités compétentes peuvent, en dernier recours et sous les conditions prévues, exiger des entités financières une suspension de l’utilisation ou du déploiement d’un service, puis, le cas échéant, la résiliation des accords concernés.
L’entité cliente doit donc être capable d’évaluer une alerte de supervision et ses effets sur la continuité. Le coût d’une transition dépend de son architecture et de sa préparation ; il ne se confond pas avec une sanction pécuniaire. La revue des contrats TIC doit traiter les droits, les scénarios de sortie et l’assistance nécessaire.
Préparer un dossier de réponse vérifiable
En cas de contrôle, rassemblez les décisions de gouvernance, la qualification des fonctions, les incidents, les tests et le suivi des corrections. Pour chaque écart, indiquez les faits, le risque, les mesures déjà prises, le responsable et l’échéance. Un document rédigé après coup ne prouve pas qu’un contrôle fonctionnait avant l’incident.
La cohérence entre le registre des accords TIC et la réalité des services facilite l’explication des dépendances. La traçabilité des notifications d’incidents permet de justifier les qualifications et les heures retenues.
L’article 50(6) exige des décisions motivées pouvant faire l’objet d’un recours. L’article 35(11) prévoit des droits de défense avant l’astreinte du prestataire critique. Ces garanties ne dispensent pas de répondre correctement aux demandes du superviseur et de conserver les preuves.
Cas pratique : un dossier incomplet ne vaut pas réponse conforme
Le scénario suivant est fictif. Un prestataire TIC désigné critique reçoit de son superviseur principal une décision demandant des informations sur les dépendances de douze services fournis à des entités financières. La mesure est notifiée le 1er septembre et fixe le 20 septembre comme date de remise. Le responsable conformité prépare la réponse avec les équipes techniques et juridiques.
Un premier export comporte dix services. Pour les deux autres, l’équipe commerciale propose d’ajouter la mention « sans dépendance particulière », parce qu’elle ne retrouve pas les fiches. Cette conclusion est refusée : une information indisponible ne démontre pas l’absence de dépendance. Le responsable identifie les lacunes, les personnes qui doivent les résoudre et les documents attendus.
Le délai de réponse fixé dans la demande et celui précédant une éventuelle décision d’astreinte sont deux choses différentes. Les trente jours de l’Art. 35(6) ne donnent pas un délai supplémentaire automatique pour ignorer l’échéance du 20 septembre. La décision de demande d’informations précise notamment sa base, son but, les informations requises, le délai et le mécanisme d’astreinte applicable. DORA, Art. 37(3).
La fiche de réponse remplie
| Point du dossier | État établi dans le scénario | Action retenue |
|---|---|---|
| Personne concernée | Prestataire TIC désigné critique | Examiner Art. 35 et 37, pas appliquer le régime d’amende d’une banque |
| Acte reçu | Décision de demande d’informations notifiée le 1er septembre | Conserver le texte, la preuve de réception et l’échéance |
| Périmètre | Douze services nommément visés | Rapprocher la liste demandée de chaque annexe transmise |
| Première réponse | Dix services documentés ; deux sans preuve | Signaler précisément les lacunes, sans attestation globale inexacte |
| Mesure corrective | Reconstruction des dépendances avec les responsables techniques | Référencer les pièces et faire contrôler leur concordance |
| Suivi du délai | Échéance du 20 septembre non satisfaite entièrement | Informer le superviseur et demander les modalités de complément, sans supposer une prorogation |
| Défense | Observations sur les faits et les éléments retenus | Exercer les droits prévus, sans remplacer la réponse technique par une contestation abstraite |
| Clôture interne | Ensemble des douze services documenté et transmis | Garder le dossier ouvert tant que la réponse demeure incomplète |
Le responsable remet les dix fiches disponibles dans les conditions de la demande et explique les deux manquantes. Cette transparence peut être pertinente pour apprécier la coopération ; elle n’équivaut ni à une réponse complète ni à une immunité. Le directeur ne signe pas une déclaration de conformité générale dont le contenu dépasse les éléments établis.
L’erreur après la première correction
L’équipe reconstitue les deux fiches, mais la personne chargée de l’envoi joint encore l’ancienne archive contenant dix services. Un accusé de dépôt est disponible. Il prouve qu’un fichier a été transmis, pas que les douze réponses demandées se trouvent dedans.
Une seconde personne compare alors la décision reçue, le bordereau, l’archive réellement envoyée et les pièces sources. Elle relève l’écart. Le prestataire transmet un complément clairement identifié, explique quelle version il remplace et conserve la preuve de ce nouvel envoi. Il ne supprime pas l’ancienne version pour donner l’apparence d’une réponse correcte dès l’origine.
Si une dépendance reste inconnue, la fiche la présente comme telle avec les recherches engagées et leur échéance. Le prestataire ne déclare pas unilatéralement la mise en conformité acquise. Il répond aux demandes complémentaires et distingue le traitement de cette demande d’informations de celui des éventuelles recommandations de sécurité. La satisfaction de l’une ne démontre pas automatiquement celle des autres.
Comprendre le calcul sans inventer une sanction réelle
Supposons, uniquement pour illustrer l’arithmétique, qu’après la procédure prévue une décision d’astreinte retienne un taux de 0,4 % sur un chiffre d’affaires quotidien moyen mondial de 2 millions d’euros. Le montant journalier serait de 8 000 euros. Pour une période retenue de sept jours, le total serait de 56 000 euros. Au plafond de 1 %, l’assiette donnerait 20 000 euros par jour.
Ces chiffres ne sont pas une décision publiée, une prévision ni une recommandation de provision comptable. Le taux, le début du calcul, la période due et la conformité sont appréciés dans le cadre applicable. L’entreprise doit lire la décision effectivement reçue ; multiplier automatiquement 1 % par six mois surestime ou déforme ce qui est juridiquement établi.
Ce que le dirigeant doit décider pendant un contrôle
Faites distinguer, dans le compte rendu, le grief allégué, les faits confirmés, les points contestés et les mesures déjà exécutées. Une procédure écrite après le contrôle peut améliorer l’organisation future ; sa date ne doit pas être présentée comme la preuve d’un fonctionnement antérieur.
Pour une entité financière cliente, la priorité opérationnelle peut être d’organiser la continuité d’un service affecté par les mesures visant son prestataire. Cela exige de préparer les accès, les données et l’assistance nécessaires à une transition, sans résilier dans la précipitation un service indispensable sur la seule lecture d’un article de presse. La décision applicable, son périmètre et son calendrier commandent l’action.
Enfin, séparez le suivi juridique de la réparation effective. Un recours, une réserve dans une réponse ou l’annonce d’un budget ne démontrent pas qu’un accès a été révoqué, qu’un contrat a été corrigé ou qu’une reprise fonctionne. Attribuez chaque action à un responsable et exigez une preuve correspondant au résultat attendu.
Ce qu’il faut retenir
- Il n’existe pas de plafond d’amende DORA unique pour toutes les entités financières.
- L’astreinte des prestataires critiques peut atteindre 1 % du chiffre d’affaires quotidien moyen mondial, pendant six mois au maximum.
- Son déclenchement vise les mesures expressément prévues par l’article 35(6).
- Qualification juridique, corrections effectives et preuves doivent être examinées ensemble.
FAQ
L’astreinte de 1 % s’applique-t-elle aux banques ?
Ce mécanisme vise les prestataires tiers désignés critiques dans le cadre de leur supervision. Les entités financières relèvent du dispositif des articles 50 et suivants et du droit national applicable.
Un dirigeant est-il automatiquement sanctionné après un incident ?
Non. L’article 50(5) prévoit des pouvoirs concernant les personnes responsables, dans les conditions nationales. Un incident ne démontre pas à lui seul une responsabilité personnelle ni un manquement.
Une bonne coopération exclut-elle une sanction ?
Non. C’est une circonstance prise en compte parmi d’autres. Elle doit accompagner une réponse exacte, des mesures correctives et une documentation fidèle aux faits.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.