16/06/2026
Les AES publient leur premier rapport DORA sur les incidents TIC majeurs
Les autorités européennes de surveillance EBA, EIOPA et ESMA ont publié leur premier rapport conjoint sur les major ICT-related incidents dans le cadre de DORA. Le rapport présente, de manière anonymisée et agrégée, un aperçu des principaux incidents TIC survenus en 2025 dans le secteur financier européen. Un major ICT-related incident est un incident TIC ayant une incidence négative significative sur les systèmes de réseau et d’information qui soutiennent des fonctions critiques ou importantes d’une entité financière.
Principaux constats
En 2025, 3.383 major ICT-related incidents ont été signalés dans l’UE. Cela correspond à une moyenne de 0,18 incident majeur par entité financière soumise à DORA. La majorité des incidents se sont produits dans les secteurs du crédit et des paiements. Plus de 60 % des incidents ont été rapportés dans le secteur du crédit et 16 % supplémentaires dans le secteur des paiements.
Par rapport à d’autres secteurs financiers, le secteur des pensions a été relativement peu touché. Selon les données disponibles, seul un nombre très limité de major incidents y a été recensé. Il s’agit d’un signal rassurant, mais cela n’enlève rien au fait que les IRP doivent, dans le cadre de DORA, continuer à accorder une attention particulière à la résilience opérationnelle, à la gouvernance TIC et à la gestion des incidents.
Un deuxième constat important est que les risques TIC sont de moins en moins circonscrits aux frontières nationales. Environ un tiers des major incidents signalés ont eu un impact transfrontalier. Cela confirme l’interconnexion croissante des entités financières par le biais d’infrastructures partagées, de services TIC communs, de modèles d’externalisation et de prestations de services transfrontalières.
Les défaillances de systèmes et les événements externes ont été les principales causes des major incidents. Près d’un tiers des incidents trouvent leur origine auprès de tiers, notamment des prestataires de services TIC, d’autres entités financières et des fournisseurs d’infrastructures. Pour les IRP, cela souligne l’importance d’un cadre robuste de gestion des risques liés aux prestataires tiers TIC, d’accords contractuels clairs, du suivi des prestataires de services et d’une bonne coordination en cas d’incident.
La plupart des incidents ont été qualifiés de major en raison de leur durée, de l’indisponibilité des services ou de leur impact sur les clients, les contreparties financières et les transactions. Dans le même temps, l’impact effectif sur les clients, les transactions et les contreparties financières est resté limité dans la majorité des cas. Deux tiers des major incidents n’ont entraîné aucune perturbation, ou seulement une perturbation limitée. Cela indique que la détection rapide, la réponse aux incidents et les mesures de maîtrise ont souvent été efficaces pour limiter l’impact opérationnel.
Les incidents liés à la cybersécurité ont représenté environ 10 % des major incidents signalés. Cette proportion relativement limitée peut indiquer que les mécanismes existants de sécurité et de détection ont été efficaces dans de nombreux cas. Les AES soulignent toutefois que les entités financières doivent continuer à renforcer leur cyberrésilience, en particulier au regard du développement rapide d’outils puissants fondés sur l’intelligence artificielle.
Pertinence pour les IRP
Pour les IRP, le message principal est double. D’une part, le rapport montre que le secteur des pensions a rapporté relativement peu de major ICT-related incidents en 2025. D’autre part, le rapport confirme que les risques TIC acquièrent une dimension systémique en raison de la dépendance à l’égard de prestataires externes, de technologies partagées et d’infrastructures transfrontalières.
Les IRP ont donc intérêt à ne pas considérer leur approche DORA uniquement comme une obligation de reporting, mais comme un élément d’un cadre plus large de résilience opérationnelle. Les points d’attention particuliers sont le suivi des prestataires de services TIC, la continuité des activités, la détection des incidents, les procédures d’escalade, les accords contractuels et la qualité de la gouvernance interne en matière de risques TIC.
Perspectives
Les AES continueront à suivre et à analyser les major ICT-related incidents. Elles annoncent également un soutien supplémentaire aux autorités compétentes, en vue d’une plus grande convergence en matière de supervision et d’une amélioration des pratiques de reporting. Le développement ultérieur du reporting DORA et du Register of Information devrait en outre contribuer à une meilleure compréhension des risques de concentration auprès des prestataires de services TIC.
Pour les IRP, il reste indiqué de confronter régulièrement leur mise en œuvre de DORA à ces évolutions et de continuer à assurer un suivi structurel des risques TIC dans le cadre de la gestion des risques et de la gouvernance du fonds de pension.
Pour toute question ou demande d’information complémentaire, n’hésitez pas à nous contacter.
L’équipe PensioPlus
