Les institutions financières européennes ont signalé 3 383 incidents majeurs liés aux TIC en 2025 dans le cadre de la Digital Operational Resilience Act (DORA), selon un rapport conjoint de l’Autorité bancaire européenne (European Banking Authority), de l’Autorité européenne des marchés financiers et des valeurs (European Securities and Markets Authority) et de l’Autorité européenne des assurances et des pensions professionnelles (European Insurance and Occupational Pensions Authority). Les résultats constituent l’un des premiers grands jeux de données mettant en évidence la manière dont les pannes opérationnelles, les défaillances de systèmes et les incidents cyber se propagent au sein du secteur financier européen sous le nouveau cadre de reporting DORA. Les régulateurs ont indiqué que ces données montrent un système financier de plus en plus dépendant d’infrastructures partagées, de fournisseurs de technologies externes et de services numériques interconnectés, la DORA étant entrée en vigueur en janvier 2025 afin d’introduire des obligations harmonisées de reporting du risque lié aux TIC dans l’ensemble du système financier européen.
Les établissements de crédit représentent plus de 60% des incidents TIC déclarés
Les établissements de crédit ont représenté plus de 60% de l’ensemble des incidents déclarés, tandis que les sociétés de paiement ont représenté 16% supplémentaires. Les régulateurs ont indiqué que cette concentration ne signifie pas nécessairement une faiblesse structurelle dans le secteur bancaire ou celui des paiements, mais qu’elle reflète plutôt la forte digitalisation et l’orientation client de ces secteurs, ainsi que les obligations de déclaration préexistantes au titre de la PSD2.
Un tiers des incidents se propage au-delà du pays d’origine
Les données montrent que les perturbations opérationnelles sont devenues de plus en plus transfrontalières. Environ un tiers des incidents s’est propagé au-delà du pays où ils ont pris naissance, tandis qu’environ 8% ont touché plus de 10 pays simultanément. Les régulateurs relient cette tendance à la dépendance croissante à des fournisseurs de technologie partagés, à des infrastructures communes et à des modèles économiques multinationaux. Le rapport arrive alors que les régulateurs européens renforcent leur contrôle de la résilience opérationnelle après plusieurs pannes très médiatisées survenues ces deux dernières années dans les paiements, les infrastructures de trading et les systèmes bancaires.
Les défaillances de systèmes représentent 51% de tous les cas déclarés
Les défaillances de systèmes représentent la plus grande catégorie d’incidents, avec 51% de l’ensemble des cas déclarés. Les événements externes en représentent 27% supplémentaires, tandis que les incidents liés aux paiements atteignent 18%. Les incidents liés à la cybersécurité représentent 10% du total. Les régulateurs indiquent que la part relativement faible des incidents de cybersécurité pourrait signifier que les garde-fous et systèmes de détection existants limitent les attaques réussies. Dans le même temps, le rapport avertit que des outils cyber alimentés par l’IA, de plus en plus sophistiqués, pourraient modifier le paysage des menaces dans les années à venir.
Parmi les incidents cyber, les attaques de type Distributed Denial of Service représentent 33% des événements déclarés, tandis que l’exfiltration et la manipulation de données représentent 31%. Les établissements de crédit ont connu la plus forte concentration de ces attaques en raison de leur rôle dans les paiements, le banking digital et le traitement à grande échelle des données clients.
Les défaillances de fournisseurs tiers sont à l’origine de 29% des incidents majeurs
Près de 29% des incidents majeurs proviennent de défaillances impliquant des fournisseurs tiers, y compris des vendeurs de TIC, des opérateurs d’infrastructures et des prestataires de services sous-traités. Les régulateurs indiquent que ces résultats soulignent à quel point une défaillance opérationnelle chez un seul fournisseur peut se propager rapidement à plusieurs institutions financières et juridictions. Le rapport note que de nombreuses institutions financières s’appuient sur des infrastructures communes pour les paiements, la banque de base (core banking) et les services de connectivité. Dans certains cas, une seule panne a généré des dizaines de rapports d’incidents distincts, car plusieurs institutions dépendaient du même fournisseur.
La panne TARGET2 et le black-out ibérique ont perturbé les opérations en 2025
Les pannes opérationnelles survenues en 2025 comprenaient plusieurs événements à grande échelle qui ont contribué à des pics des volumes de reporting. Le rapport cite notamment la panne TARGET2 de février 2025, qui a perturbé pendant plusieurs heures la compensation des titres et le traitement des paiements, ainsi que le black-out de la péninsule Ibérique d’avril 2025, qui a affecté des opérations dans plusieurs secteurs.
Deux tiers des incidents causent une perturbation limitée des clients
Malgré le nombre d’incidents, les régulateurs indiquent que la plupart des perturbations ont causé des dommages limités en aval. Environ deux tiers des incidents n’ont soit provoqué aucune perturbation pour les clients et les transactions, soit touché moins de 1 000 clients ou transactions. Seuls 1% des incidents ont touché plus d’un million de transactions. Le rapport indique que la détection rapide et les mesures de confinement ont joué un rôle central dans la limitation des effets de propagation. Les institutions ont généralement stabilisé les incidents grâce à des interventions techniques immédiates avant de mettre en œuvre des mesures de remédiation à plus long terme, telles que des améliorations de la surveillance (monitoring), des progrès des tests et des changements de configuration des systèmes.
Les contreparties financières semblaient aussi relativement protégées contre la plupart des incidents. Moins de 18% des incidents ont affecté d’autres institutions financières, malgré la connectivité croissante du système financier européen. Les régulateurs attribuent cela en partie aux garde-fous déjà mis en place au sein des institutions et par les opérateurs d’infrastructure.
Les régulateurs identifient des incohérences de reporting lors de la première année de DORA
Le rapport met en avant des incohérences dans les pratiques de reporting entre secteurs et juridictions pendant la première année de mise en œuvre de DORA. Environ 15% des incidents notifiés en 2025 ont été exclus de l’analyse, car les rapports finaux n’avaient pas encore été soumis à la date limite de février 2026. Dans le même temps, environ 93% des soumissions ont passé les contrôles de qualité et sont entrées dans la base de données finale. Les ESAs indiquent que davantage de coordination de supervision et d’harmonisation du reporting resteront une priorité à mesure que la mise en œuvre de DORA mûrit. Les régulateurs prévoient de continuer à affiner l’analyse des incidents et à améliorer la comparabilité des données dans l’ensemble du système financier européen.
Les résultats paraissent alors que la résilience opérationnelle devient l’un des thèmes réglementaires majeurs dans les marchés financiers mondiaux. Au cours des deux dernières années, les régulateurs en Europe, au Royaume-Uni et aux États-Unis ont de plus en plus déplacé leur attention vers le risque de concentration des infrastructures, la dépendance au cloud, la résilience cyber et la gouvernance de la technologie. Les grandes institutions financières évoluent désormais dans un environnement où des pannes peuvent se propager rapidement au-delà des frontières, entre contreparties et au sein des systèmes de paiement en quelques minutes. Le jeu de données DORA suggère que les régulateurs européens considèrent de plus en plus la résilience opérationnelle non pas comme un sujet étroit de cybersécurité, mais comme un défi plus large de stabilité systémique lié à la conception des infrastructures, à la concentration de l’externalisation et à l’interdépendance numérique.
Le rapport illustre également comment le risque opérationnel évolue avec la modernisation des services financiers. La banque mobile, les paiements instantanés, le trading algorithmique, les actifs numériques et la finance intégrée continuent d’augmenter les volumes de transactions et la complexité des infrastructures dans l’ensemble du secteur. Cette croissance accroît la probabilité que des perturbations opérationnelles surviennent même lorsque les institutions maintiennent des normes de cybersécurité élevées. Pour les acteurs financiers, les résultats pourraient accroître la pression afin de renforcer la supervision des tiers, de diversifier les fournisseurs essentiels et d’améliorer les capacités de confinement des incidents. Pour les régulateurs, le rapport fournit un indicateur de référence précoce permettant de mesurer comment le secteur financier européen s’adapte au cadre de résilience opérationnelle de DORA dans les années à venir.
FAQ
Que rapportaient les institutions financières européennes sous DORA en 2025 ?
Les institutions financières européennes ont signalé 3 383 incidents majeurs liés aux TIC en 2025 dans le cadre de la Digital Operational Resilience Act, selon un rapport conjoint de l’Autorité bancaire européenne, de l’Autorité européenne des marchés financiers et des valeurs, et de l’Autorité européenne des assurances et des pensions professionnelles.
Quel pourcentage des incidents TIC provenait de défaillances de fournisseurs tiers ?
Près de 29% des incidents majeurs proviennent de défaillances impliquant des fournisseurs tiers, y compris des vendeurs de TIC, des opérateurs d’infrastructures et des prestataires de services sous-traités, selon le rapport des régulateurs.
Quelles pannes opérationnelles majeures ont eu lieu en Europe en 2025 ?
Le rapport cite notamment la panne TARGET2 de février 2025, qui a perturbé pendant plusieurs heures la compensation des titres et le traitement des paiements, ainsi que le black-out de la péninsule Ibérique d’avril 2025, qui a affecté les opérations dans plusieurs secteurs.
