Sanctions DORA : amendes et astreintes du règlement

Beaucoup de responsables conformité cherchent le « plafond d’amende DORA » à la manière des 20 millions d’euros ou 4 % du chiffre d’affaires du RGPD. Ils ne le trouvent pas — et pour cause : le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025, ne fixe aucun montant maximal harmonisé pour les entités financières. C’est un choix de conception qui change tout dans la manière d’apprécier le risque. Voici comment fonctionne réellement le volet répressif de DORA.

Deux régimes de sanction bien distincts

La première erreur consiste à raisonner comme si DORA disposait d’un régime de sanction unique. Il en existe en réalité deux, qui ne relèvent ni des mêmes autorités, ni de la même logique.

Le premier vise les entités financières assujetties (banques, entreprises d’investissement, assurances, établissements de paiement, sociétés de gestion, prestataires de services sur crypto-actifs, etc.). Il est encadré par les articles 50 à 52 de DORA, mais son contenu concret — et notamment les montants — est renvoyé au droit de chaque État membre.

Le second vise les prestataires tiers de services TIC désignés comme critiques. Il relève directement du règlement, aux mains des Autorités européennes de surveillance, et repose sur un mécanisme d’astreinte dont le montant, lui, est chiffré dans le texte. C’est le seul endroit où DORA pose un pourcentage précis.

Confondre ces deux régimes conduit à des contresens fréquents, comme attribuer aux banques l’astreinte de 1 % qui ne concerne en réalité que les prestataires critiques.

Le régime applicable aux entités financières (art. 50-52)

DORA délègue les montants au droit national

L’article 50(3) de DORA impose aux États membres d’établir des règles prévoyant « des sanctions administratives et des mesures correctives appropriées » et de garantir leur mise en œuvre effective. Ces sanctions doivent être « effectives, proportionnées et dissuasives ». Mais le règlement s’arrête là : contrairement au RGPD, il ne prévoit aucun plafond chiffré, aucun barème, aucune grille de calcul commune à l’Union.

Cette différence est structurante. Le RGPD, en tant que règlement d’harmonisation maximale sur ce point, a imposé ses propres plafonds. DORA, dans un secteur déjà densément régulé au niveau national, s’appuie au contraire sur les régimes de sanction sectoriels préexistants. En pratique, les montants encourus par une banque française ne sont donc pas définis par DORA, mais par le Code monétaire et financier.

Les pouvoirs minimaux imposés aux autorités

L’article 50(4) dresse la liste des pouvoirs que les États doivent, au minimum, conférer à leurs autorités compétentes. On y retrouve l’injonction ordonnant de cesser un comportement contraire au règlement et de s’abstenir de le réitérer, l’obligation de faire cesser toute pratique jugée contraire, l’adoption de « toute mesure, y compris de nature pécuniaire, pour garantir que les entités financières continuent de respecter les obligations légales », la réquisition de données de trafic auprès d’un opérateur télécom lorsque le droit national le permet, et enfin la publication d’avis publics identifiant la personne en cause et la nature du manquement — le classique name and shame.

L’article 50(5) prévoit que ces sanctions et mesures peuvent aussi être appliquées, dans les conditions du droit national, aux membres de l’organe de direction et aux autres personnes responsables du manquement. La responsabilité ne s’arrête donc pas à la personne morale : les dirigeants sont dans le champ.

Comment le montant est déterminé

L’article 51 fixe les circonstances que l’autorité doit prendre en compte pour calibrer la sanction : la matérialité, la gravité et la durée du manquement, le degré de responsabilité de l’auteur, sa solidité financière (appréciée notamment au regard du chiffre d’affaires total ou des revenus annuels), les gains retirés ou les pertes évitées, les préjudices causés aux tiers, le degré de coopération avec l’autorité, et les manquements antérieurs. C’est cette combinaison de facteurs, et non un pourcentage automatique, qui détermine le quantum.

La possibilité de sanctions pénales

L’article 52 laisse aux États membres la faculté de ne pas prévoir de sanctions administratives lorsque les manquements sont déjà passibles de sanctions pénales dans leur droit national. La France a, pour l’essentiel, retenu la voie administrative, cohérente avec le fonctionnement de ses autorités de supervision financière.

En France : l’ACPR, l’AMF et le Code monétaire et financier

DORA étant un règlement, il est directement applicable sans transposition. Mais la directive d’accompagnement (UE) 2022/2556 a nécessité, elle, une adaptation du droit français, opérée par voie d’ordonnance modifiant le Code monétaire et financier.

Concrètement, les autorités compétentes en France sont l’ACPR (Autorité de contrôle prudentiel et de résolution) pour les établissements de crédit, les assurances et les établissements de paiement, et l’AMF (Autorité des marchés financiers) pour les sociétés de gestion, les entreprises d’investissement et les acteurs des marchés. Ce sont leurs commissions des sanctions respectives qui prononcent les sanctions pécuniaires en cas de manquement à DORA.

Le point à retenir : les montants ne sont pas ceux d’un « barème DORA » mais ceux du régime de sanction de droit commun applicable par ces autorités. À titre d’illustration, la Commission des sanctions de l’ACPR peut, sur le fondement de l’article L. 612-39 du Code monétaire et financier, prononcer des sanctions pécuniaires dont le plafond de droit commun atteint 100 millions d’euros. On est loin de l’absence de risque financier que suggère parfois, à tort, la lecture rapide du seul règlement.

Dans mon expérience de conseil auprès d’acteurs régulés, c’est précisément cette architecture — un règlement européen exigeant, adossé à un arsenal répressif national déjà lourd — qui est sous-estimée par les directions qui n’ont pas l’habitude du contentieux de la supervision financière.

Le régime des prestataires tiers critiques (art. 31-35)

Une supervision européenne directe

DORA innove en instaurant une surveillance directe, au niveau européen, des prestataires TIC jugés systémiques pour le secteur financier. Ces prestataires — typiquement de grands fournisseurs de cloud ou d’infrastructures — sont désignés comme « critiques » selon les critères de l’article 31, puis placés sous l’autorité d’un superviseur principal (l’une des trois Autorités européennes de surveillance : ABE, AEMF ou AEAPP, selon le prestataire).

Cette logique diffère radicalement de celle applicable aux entités financières. Ici, ce n’est plus une autorité nationale qui agit, mais un superviseur européen doté de pouvoirs propres : demandes d’information, inspections, recommandations contraignantes. Le sujet mérite un développement dédié, que j’ai détaillé dans l’analyse consacrée aux prestataires TIC critiques sous DORA.

L’astreinte de 1 % du chiffre d’affaires journalier mondial

C’est le seul montant chiffré du dispositif répressif de DORA. L’article 35(6) autorise le superviseur principal à imposer au prestataire critique des astreintes journalières pour le contraindre à se conformer à ses obligations (fournir les informations demandées, se soumettre à une inspection, suivre les recommandations).

Le montant de l’astreinte est fixé à 1 % du chiffre d’affaires journalier mondial moyen du prestataire réalisé lors de l’exercice précédent. Elle est infligée pour chaque jour de manquement, jusqu’à obtention de la conformité, dans la limite d’une durée maximale de six mois.

Il faut bien comprendre la nature de cette mesure : il s’agit d’une astreinte coercitive, destinée à forcer la mise en conformité, et non d’une amende punitive sanctionnant a posteriori un manquement. Son objectif n’est pas de punir mais de faire plier. Rapportée au chiffre d’affaires mondial d’un hyperscaler, la pression financière est néanmoins considérable.

Le levier indirect : couper l’accès au prestataire

Au-delà de l’astreinte, DORA prévoit un levier redoutable et souvent négligé : lorsqu’un prestataire critique ne remédie pas aux risques identifiés, le superviseur principal peut recommander aux autorités compétentes d’exiger des entités financières qu’elles suspendent temporairement, voire résilient, le recours à ce prestataire. Pour un fournisseur de services TIC, perdre l’accès au marché financier européen est une menace bien plus dissuasive qu’une astreinte. Cette articulation renforce l’importance des clauses de réversibilité et de sortie que doit contenir tout contrat, comme évoqué dans le guide sur la sous-traitance TIC sous DORA.

Ce que le risque de sanction implique concrètement

Le fait que DORA n’affiche pas de plafond ne doit pas être lu comme une clémence. Trois conséquences pratiques en découlent.

D’abord, la conformité documentaire devient centrale. Les autorités disposent de pouvoirs d’inspection étendus et l’article 51 valorise la coopération : une entité capable de démontrer, pièces à l’appui, la robustesse de son dispositif de gestion des risques TIC réduit mécaniquement son exposition. Le registre des accords TIC et la traçabilité des notifications d’incidents en sont les pièces maîtresses.

Ensuite, la responsabilité des dirigeants change la donne. Parce que l’organe de direction est explicitement dans le champ des sanctions (art. 50(5)), la gouvernance de la résilience opérationnelle ne peut plus être déléguée « à l’informatique » : elle relève d’une responsabilité de direction, engageant personnellement ses membres.

Enfin, l’articulation avec les autres régimes multiplie les points d’exposition. Un même incident peut déclencher, en parallèle, une sanction DORA, une notification RGPD à la CNIL et, pour les entités concernées, des obligations au titre de NIS2. Les régimes de sanction se cumulent plus qu’ils ne s’excluent.

Ce qu’il faut retenir

• DORA ne fixe aucun plafond d’amende harmonisé pour les entités financières (art. 50) : les montants relèvent du droit national, en France du Code monétaire et financier appliqué par l’ACPR et l’AMF.
• Le seul montant chiffré du règlement est l’astreinte de 1 % du chiffre d’affaires journalier mondial moyen, réservée aux prestataires tiers critiques (art. 35(6)), plafonnée à six mois.
• Cette astreinte est coercitive, pas punitive : elle vise à contraindre à la conformité, non à sanctionner après coup.
• Les membres de l’organe de direction peuvent être personnellement sanctionnés (art. 50(5)) ; la résilience TIC est une responsabilité de gouvernance.
• Le levier le plus dissuasif contre un prestataire critique n’est pas l’astreinte, mais la suspension ou la résiliation imposée aux entités financières qui l’utilisent.
• Face à des autorités dotées de larges pouvoirs d’inspection, la coopération et la qualité documentaire (registre des accords TIC, traçabilité des incidents) sont les meilleurs facteurs d’atténuation.

Vous suivez la mise en œuvre de DORA, NIS2 ou du RGPD dans votre organisation ? Recevez nos analyses de conformité chaque semaine : décryptages réglementaires, décisions des autorités et points pratiques, directement dans votre boîte mail.

FAQ

Quel est le montant maximal d’une amende DORA ?

Il n’existe pas de plafond harmonisé au niveau européen pour les entités financières. DORA impose seulement aux États membres de prévoir des sanctions « effectives, proportionnées et dissuasives » (art. 50). En France, les montants sont ceux du Code monétaire et financier : la Commission des sanctions de l’ACPR peut, sur le fondement de l’article L. 612-39, prononcer des sanctions pécuniaires dont le plafond de droit commun atteint 100 millions d’euros. Le seul pourcentage inscrit dans DORA (1 %) concerne uniquement les prestataires tiers critiques.

Qui prononce les sanctions DORA en France ?

Deux autorités se partagent la compétence selon le type d’entité. L’ACPR est compétente pour les banques, les assurances et les établissements de paiement ; l’AMF pour les sociétés de gestion, les entreprises d’investissement et les acteurs des marchés. Ce sont leurs commissions des sanctions respectives qui décident des sanctions pécuniaires. Les prestataires tiers critiques relèvent, eux, d’un superviseur principal européen (ABE, AEMF ou AEAPP).

Un dirigeant peut-il être sanctionné personnellement au titre de DORA ?

Oui. L’article 50(5) permet aux autorités d’appliquer les sanctions administratives et mesures correctives, dans les conditions du droit national, aux membres de l’organe de direction et aux autres personnes responsables du manquement. La gouvernance de la résilience opérationnelle numérique engage donc directement la direction, ce qui interdit de la traiter comme un sujet purement technique.

L’astreinte de 1 % s’applique-t-elle aux banques ?

Non. L’astreinte de 1 % du chiffre d’affaires journalier mondial moyen (art. 35(6)) ne vise que les prestataires tiers de services TIC désignés comme critiques, supervisés directement au niveau européen. Les entités financières, y compris les banques, relèvent d’un régime distinct fondé sur le droit national, sans pourcentage prédéfini.