Conformité DORA des acteurs crypto

Depuis le 17 janvier 2025, le règlement DORA s’applique aux prestataires de services sur crypto-actifs (PSCA) agréés sous MiCA. L’AMF l’examine dès l’instruction de la demande d’agrément, dans un volet informatique distinct, puis tout au long de la vie du prestataire. Une partie des obligations est technique et relève d’un prestataire cyber. L’autre relève du droit : gouvernance, qualification des fonctions et des prestataires, contrats, registre d’information, notification des incidents et réponses à l’autorité.

ORWL Avocats prend en charge cette part juridique de la résilience opérationnelle numérique, au stade de l’agrément comme après : refonte du dispositif, évolution de l’activité, acquisition ou audit d’acquisition. Le cabinet travaille avec le prestataire cyber de ses clients, qui garde l’analyse technique, les tests et la supervision des systèmes.

À qui s’applique DORA parmi les acteurs crypto ?

Le règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier impose un cadre commun de maîtrise du risque informatique. Son article 2 vise notamment :

• les prestataires de services sur crypto-actifs agréés en vertu de MiCA ;
• les émetteurs de jetons se référant à un ou des actifs ;
• les établissements de paiement et les établissements de monnaie électronique, y compris ceux qui bénéficient d’une exemption ;
• les prestataires de services d’information sur les comptes.

L’autorité compétente suit l’agrément (art. 46) : l’AMF pour les PSCA, l’ACPR pour les établissements de paiement et de monnaie électronique. Un acteur qui cumule les deux statuts répond aux deux autorités.

Les cinq piliers du règlement

• Un cadre de gestion du risque informatique, placé sous la responsabilité de l’organe de direction (art. 5 à 16).
• La classification des incidents et la notification des incidents majeurs à l’autorité (art. 17 à 23).
• Des tests de résilience, du test de base au test de pénétration fondé sur la menace, ce dernier réservé aux entités désignées par l’autorité (art. 24 à 27).
• La gestion du risque lié aux prestataires informatiques : contrats, registre d’information, stratégie de sortie (art. 28 à 30).
• Le partage d’informations sur les menaces (art. 45).

Microentreprise : des allègements, pas une dispense

Le principe de proportionnalité (art. 4) module la mise en œuvre ; il ne supprime aucun pilier. Un PSCA microentreprise, soit moins de dix personnes et un chiffre d’affaires ou un total de bilan annuel d’au plus 2 millions d’euros (art. 3), applique le cadre complet. Il échappe à quelques obligations : la fonction de contrôle indépendante chargée du risque informatique (art. 6, § 4), l’audit interne régulier du cadre (art. 6, § 6) et la stratégie formalisée à l’égard des prestataires (art. 28, § 2). Il revoit son cadre périodiquement plutôt qu’une fois par an.

L’AMF vérifie ce statut sur pièces, au regard des effectifs et des volumes d’activité. Elle attend d’une microentreprise un cadre de déclenchement des audits informatiques, même sans fréquence imposée. Le cadre simplifié de l’article 16 ne concerne pas les PSCA : il vise notamment les établissements de paiement et de monnaie électronique exemptés.

Que vérifie l’AMF dans le volet informatique de l’agrément PSCA ?

Le dossier d’agrément décrit les systèmes informatiques et les dispositifs de sécurité du candidat (MiCA, art. 62, § 2), et MiCA renvoie à DORA pour la résilience opérationnelle (art. 68). DORA ne s’impose qu’aux PSCA agréés, mais l’AMF instruit ce volet à l’aune du règlement et de ses textes d’application. En pratique, le dispositif doit exister au dépôt, avec ses preuves, et fonctionner le jour de l’agrément.

Les demandes de l’AMF suivent une grille constante. Elle refuse qu’une politique de sécurité des systèmes d’information tienne lieu de corpus : chaque politique doit être complétée de procédures, conformément au règlement délégué (UE) 2024/1774, ou à défaut d’une feuille de route de déploiement datée. Elle exige un responsable de la sécurité indépendant des fonctions opérationnelles : ni un dirigeant ni le directeur technique ne peuvent tenir ce rôle, qui peut en revanche être externalisé (art. 6, § 4). Elle lit de près l’analyse de risques, qui doit identifier les fonctions critiques ou importantes au sens de l’article 8 et les relier aux actifs qui les supportent.

Un candidat qui arrive avec un corpus cohérent, des preuves datées et des comités qui ont réellement siégé raccourcit les échanges avec l’AMF. Un registre des prestataires qui contredit la politique d’externalisation, ou des évaluations toutes datées de la semaine du dépôt, produisent l’effet inverse.

DORA après l’agrément : ce qui change dans la vie du PSCA

L’agrément ouvre une conformité permanente. Les engagements pris dans le dossier lient le PSCA, et l’AMF vérifie leur mise en œuvre par ses demandes d’information et ses contrôles. Quatre moments appellent une revue juridique du dispositif :

• la revue du cadre, au moins une fois par an, ou périodiquement pour une microentreprise, et après tout incident majeur (art. 6, § 5) ;
• la remise annuelle du registre d’information à l’autorité, sur le modèle du règlement d’exécution (UE) 2024/2956 (art. 28, § 3) ;
• l’évolution de l’activité : nouveau service, nouveau prestataire critique, refonte de l’architecture, ce qui modifie la liste des fonctions critiques ou importantes et peut appeler une notification à l’AMF ;
• l’acquisition ou la levée de fonds : l’acquéreur d’une participation dans un PSCA doit mesurer la conformité DORA de la cible, et le cabinet conduit ce volet de l’audit d’acquisition.

Le registre d’information recense tous les accords contractuels portant sur des services informatiques, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Pour l’ACPR, la campagne portant sur l’exercice 2025 se clôturait le 31 mars 2026, par le portail OneGate. Les erreurs les plus courantes tiennent moins au format qu’au fond : prestataires mal qualifiés, fonctions critiques oubliées, incohérences avec les contrats signés.

ORWL Avocats accompagne aussi le PSCA agréé sur ses obligations de conformité continue au titre de MiCA, qui ne relèvent pas de DORA : politiques publiques, meilleure exécution, conflits d’intérêts.

Incident majeur : qui notifie, et dans quels délais ?

Le PSCA classe chaque incident selon les critères du règlement délégué (UE) 2024/1772 : clients touchés, durée, répartition géographique, pertes de données, criticité des services, impact économique. S’il est majeur, il le notifie à l’AMF (art. 19). Le règlement délégué (UE) 2025/301 fixe le contenu et les délais :

• notification initiale dans les quatre heures suivant la classification, et au plus tard vingt-quatre heures après la détection de l’incident ;
• rapport intermédiaire dans les soixante-douze heures suivant la notification initiale ;
• rapport final dans le mois suivant le dernier rapport intermédiaire.

Le PSCA reste responsable même quand l’incident vient d’un prestataire (art. 28, § 1). C’est le cas le plus fréquent : dans son rapport du 24 septembre 2026 sur les incidents majeurs déclarés en 2025, l’AMF relève que plus de 80 % des 33 incidents signalés par les entités qu’elle supervise venaient de leurs prestataires. Le PSCA doit alors notifier sur la base d’informations incomplètes, parfois contradictoires, et corriger dans le rapport intermédiaire. La qualification de l’incident, le choix de notifier et la rédaction de la notification engagent l’entité devant son autorité : le cabinet les arbitre avec le client, dans les délais.

Prestataires informatiques : qualifier, négocier, démontrer

La plupart des PSCA s’appuient sur des prestataires pour l’hébergement, la conservation, l’exécution, le KYC ou le paiement. MiCA encadre l’externalisation des fonctions opérationnelles (art. 73) ; DORA encadre tout recours à un service informatique. Le cabinet traite les deux régimes ensemble, car un même contrat relève souvent des deux. La mission suit quatre temps.

• Analyse : qualifier chaque relation (prestation informatique au sens de DORA, externalisation au sens de MiCA, fonction critique ou importante) et identifier les clauses manquantes.
• Conseil : arrêter la position du PSCA sur chaque écart, la stratégie de sortie et les solutions de repli lorsque le prestataire refuse de négocier.
• Négociation : obtenir les clauses de l’article 30 (description des services, lieux de traitement des données, niveaux de service, assistance en cas d’incident, coopération avec l’autorité, droits de résiliation et, pour les fonctions critiques ou importantes, droit d’audit et stratégie de sortie). Le cabinet intervient aussi du côté du prestataire, face à ses clients institutions financières.
• Démonstration : documenter la conformité dans le registre, la politique de gestion du risque lié aux tiers et les réponses à l’AMF, pour que l’autorité retrouve la même analyse dans chaque pièce.

Les prestataires peu substituables imposent souvent leurs conditions générales. Le rapport de l’AMF relève aussi que certains contestent leur qualification de prestataire informatique pour échapper aux exigences du règlement. Un avenant DORA bien construit, assorti d’une trace écrite des refus et des mesures compensatoires, protège le PSCA lors du contrôle.

Notre méthode

Une mission DORA suit quatre étapes. Le cabinet tient la part juridique et coordonne les intervenants ; le prestataire cyber du client garde la part technique.

Les étapes d’une mission DORA

Le cabinet s’appuie sur un réseau de prestataires cyber (audit, tests d’intrusion, supervision) lorsque le client n’en dispose pas, pour couvrir le dossier de bout en bout avec le bon interlocuteur à chaque étape.

Pourquoi travailler avec ORWL Avocats ?

ORWL Avocats accompagne les projets crypto-financiers devant l’AMF et l’ACPR depuis les premiers enregistrements PSAN. Sur DORA, le cabinet conseille des candidats à l’agrément PSCA, des établissements de paiement qui étendent leur activité aux crypto-actifs, des PSCA agréés et des prestataires technologiques face à leurs clients du secteur financier. Le pôle est classé dans Chambers FinTech et distingué par Leaders League en droit de la blockchain.

Un consultant installe le dispositif ; l’avocat le qualifie, le négocie et le défend. Décider qu’une fonction est critique, qu’un fournisseur est un prestataire informatique ou qu’un incident doit être notifié relève de l’analyse juridique, et l’autorité fonde ses constats sur cette analyse. Les échanges avec le cabinet sont couverts par le secret professionnel de l’avocat et ne peuvent pas être retournés contre le PSCA. L’avocat engage sa responsabilité professionnelle sur ce qu’il écrit, et son expérience des échanges avec l’AMF et l’ACPR guide chaque réponse.

Un associé conduit chaque dossier : il fixe la stratégie, mène les échanges et les réunions de décision, et signe les livrables qui engagent. L’équipe s’adapte à chaque mission pour y affecter la compétence utile.