L’AMF publie son rapport sur les incidents majeurs déclarés en 2025 au titre du règlement DORA
L’Autorité des marchés financiers (AMF) a inscrit l’anticipation des nouveaux risques et la résilience opérationnelle des professionnels régulés parmi ses axes d’action prioritaires. Dans ce contexte, l’AMF publie un rapport consacré à l’ensemble des incidents majeurs déclarés en 2025 au titre du règlement européen DORA (règlement sur la résilience opérationnelle numérique du secteur financier), qui vise à renforcer la capacité des acteurs financiers à prévenir, résister et assurer la continuité de leurs activités face aux incidents liés aux technologies de l’information. Ce rapport couvre les incidents déclarés par les sociétés de gestion de portefeuille, les prestataires de services en financement participatif, les entreprises de marché, et les prestataires de services sur crypto-actifs.
Contexte
Visant à harmoniser à l’échelle de l’Union européenne les dispositions relatives à la cybersécurité dans le secteur financier, le règlement DORA instaure des obligations de classification et de notification des incidents majeurs liés aux technologies de l’information et de la communication (TIC). Les autorités européennes de surveillance ont publié un rapport sur l’ensemble des incidents majeurs recensés par les autorités nationales compétentes. L’AMF publie à son tour ce premier bilan de la mise en œuvre du texte, centré sur les entités financières françaises relevant de sa supervision. Cette publication a vocation à partager, dans une logique pédagogique et de sensibilisation, les typologies d’incidents observées, les principaux enseignements issus des déclarations reçues et les points de vigilance utiles pour l’ensemble des acteurs.
Etat des lieux
Le rapport indique que plus de 80% des 33 incidents majeurs signalés par les entités financières françaises en 2025 sont issus de leurs prestataires, que ce soit l’indisponibilité de leurs services liée à une cyberattaque (55%) ou un incident d’origine accidentelle (27%). Ces incidents impactent toute la chaîne de valeur des entités financières dont chaque fonction est susceptible d’être interrompue. La majorité des incidents ont été déclarés par des sociétés de gestion de portefeuille. La part des incidents déclarés par les prestataires de services sur crypto actifs devrait toutefois croître en 2026, année au cours de laquelle la plupart des agréments MiCA ont été octroyés et au regard des menaces pesant sur l’écosystème des crypto-actifs.
Principaux enseignements
Premièrement, les déclarations d’incidents majeurs ont mis en lumière que la gestion d’actifs constitue un secteur fortement exposé aux risques liés aux TIC. Le secteur est hautement interconnecté et la majorité des entités financières sont des structures entrepreneuriales s’appuyant sur l’externalisation des fonctions supports dont l’informatique.
Deuxièmement, les entités financières sont exposées aux risques liés aux TIC indépendamment de leur taille, de leur activité ou de leur structure actionnariale. Par ailleurs, l’analyse des dépendances de tiers et la cartographie des actifs informationnels et de TIC requises par le règlement DORA doivent permettre d’établir un cadre de gestion du risque lié aux TIC propre à l’activité de chaque entité financière.
Enfin, la dépendance vis-à-vis des prestataires de services TIC est de nature à générer un risque sur la sécurité des systèmes d’information des entités financières. Par conséquent, la définition d’une stratégie de résilience opérationnelle numérique doit impérativement inclure la gestion du risque lié aux prestataires tiers de services TIC.
