DORA et mutuelles : l'heure des contrôles ACPR

2. 2026 : l'ACPR passe au contrôle

Lors de son webinaire DORA du 23 janvier 2026, l'ACPR a été claire : 2025 était une année d'accompagnement, 2026 sera une année de supervision. Elle a fixé trois priorités de contrôle pour les organismes d'assurance :

• la gestion des incidents,
• le cadre de gestion des risques TIC, c'est-à-dire tout ce qui fait tourner l'informatique, du poste de travail à l'outil de gestion hébergé chez l'éditeur,
• la revue des contrats TIC.

Ce durcissement s'appuie sur le questionnaire DORA de l'ACPR. Les chiffres portent sur l'ensemble du secteur assurance, pas sur les seules mutuelles, mais la tendance est nette.

• La gestion des prestataires reste le pilier le moins avancé. 
• La menace est déjà là. 49 % des assureurs déclarent avoir subi au moins une cyberattaque en 2025, y compris via leurs prestataires (ACPR, 2026).
• La gouvernance est en retard. 40 % des organismes d'assurance n'ont aucun administrateur compétent sur les sujets informatiques (ACPR, 2026), alors que l'organe de direction porte la responsabilité finale du cadre de gestion des risques TIC.

S'y ajoutent deux remises obligatoires. Le registre d'informations est à déposer chaque année au 31 mars sur OneGate, le portail de l'ACPR. Les informations DORA sont aussi attendues dans le rapport régulier au contrôleur (RSR).

Les 3 questions que l'ACPR peut vous poser en 2026

• « Montrez-moi votre dernier incident et comment vous l'avez classé. »
• « Quelles sont vos fonctions critiques, et quand les avez-vous testées ? »
• « Quels prestataires les soutiennent, et que prévoient vos contrats s'ils font défaut ? »

Chaque question renvoie à un travail concret avec votre informatique. Commençons par la plus urgente.

3. Incident majeur : le chrono démarre

DORA ne vise pas que les cyberattaques. Une panne chez l'hébergeur, une défaillance de l'éditeur de l'outil de gestion ou une mise à jour ratée peuvent aussi constituer un incident majeur. On appelle ainsi un incident dont l'impact dépasse les seuils fixés par les textes et qui doit être déclaré au superviseur. À la date du questionnaire, 25 % des assureurs en avaient déjà déclaré au moins un (ACPR, 2026).

3.1 Ce qui fait basculer une panne en incident majeur

C'est la mutuelle qui décide si un incident est majeur, selon des critères fixés par un règlement européen : nombre d'adhérents touchés, durée de l'interruption, atteinte aux données, criticité des services arrêtés. Une fois l'incident classé, trois rapports s'enchaînent sur OneGate. La notification initiale part dans les 4 heures suivant la classification, et au plus tard 24 heures après la détection. Le rapport intermédiaire suit dans les 72 heures. Le rapport final clôt la séquence, au plus tard un mois après le dernier rapport intermédiaire.

Concrètement, une matinée type se joue en quatre temps. À 8h40, la supervision détecte que l'espace adhérent et le tiers payant ne répondent plus. À 9h10, le prestataire qualifie la panne et prévient le contact désigné à la mutuelle. À 10h, la mutuelle classe l'incident comme majeur. Avant 14h, la notification initiale est déposée sur OneGate. Si la qualification arrive à midi, tout glisse, et le délai de 24 heures après détection continue de courir.

3.2 Sans remontée du prestataire, pas de notification à l'heure

Dans une mutuelle de taille intermédiaire, ce n'est souvent pas l'équipe interne qui voit l'incident en premier, mais le prestataire : infogérant, hébergeur ou éditeur. Si l'information arrive par l'appel d'un adhérent à 11h, la matinée est perdue.

Pour notifier à temps, la mutuelle a besoin d'une remontée précise : heure de détection, services touchés, nombre d'adhérents concernés. Trois questions doivent avoir une réponse écrite avec chaque prestataire critique : qui détecte ? Qui prévient qui ? Dans quel délai ? S'il en manque une, c'est le premier chantier à ouvrir.

4. Contrats TIC et PRA : les preuves à produire

Les deux autres priorités de l'ACPR se jouent moins dans l'urgence que dans les documents : ceux qui prouvent que la mutuelle connaît ses dépendances et sait redémarrer.

4.1 Le registre d'informations, ou la carte de vos dépendances

Le registre d'informations recense tous vos contrats informatiques. Il distingue ceux qui soutiennent une fonction critique ou importante, c'est-à-dire une activité dont l'arrêt empêche de servir les adhérents ou de respecter les obligations réglementaires. Pour une mutuelle, on y retrouve l'éditeur de l'outil de gestion, l'hébergeur, l'infogérant, la messagerie et le tiers payant. Chaque contrat y figure avec la localisation des données, les sous-traitants et les niveaux de service.

Ce qui coince, c'est la négociation : le questionnaire de l'ACPR la cite parmi les principales difficultés du secteur. Une mutuelle de 80 collaborateurs pèse peu face à un grand éditeur. Cas fréquent : un contrat ancien avec l'éditeur de l'outil de gestion, sans clause de sortie ni réversibilité. Autrement dit, la mutuelle n'a aucune garantie de récupérer ses données et de changer de prestataire sans interrompre le service.

4.2 Un PRA qui n'a jamais basculé ne prouve rien

DORA demande un programme de tests de résilience, un chantier encore en retrait : 41 % des assureurs n'avaient pas développé de programme de tests, ou l'avaient seulement planifié (ACPR, 2026). Pour une mutuelle de taille intermédiaire, le socle est un plan de reprise d'activité (PRA) testé en conditions réelles. Il ne suffit pas d'avoir écrit un plan de redémarrage : il faut l'avoir réellement exécuté.

Face à l'ACPR, un PRA prouvé se lit dans un compte rendu : date du dernier test, périmètre basculé, durée, anomalies et corrections. Les tests d'intrusion grandeur nature (TLPT) sont réservés aux entités désignées par les autorités. Pour la plupart des mutuelles, l'enjeu est donc le PRA.

5. Ce que votre prestataire doit fournir

La mutuelle reste responsable de sa conformité, même quand elle externalise, et aucun prestataire ne peut porter cette responsabilité à sa place. Son prestataire informatique fournit les moyens et les preuves, notamment :

• des alertes de supervision datées à la minute, remontées selon une procédure écrite
• des comptes rendus de tests de PRA, avec les écarts constatés et les corrections apportées
• une documentation à jour et les informations du registre (localisation des données, sous-traitants, niveaux de service)
• une coopération effective en cas de contrôle.

C'est ce que font les équipes d'OTO Technology pour une mutuelle parisienne sous régulation ACPR, dont elles testent chaque année l'infrastructure de secours depuis 2022.

Toutes les mutuelles sont-elles soumises à DORA ?

Non. DORA s'applique aux mutuelles qui relèvent de Solvabilité II. Celles qui en sont écartées en raison de leur petite taille ne sont pas concernées. Le critère est le régime prudentiel, pas l'effectif. En cas de doute, interrogez votre service de contrôle ACPR.

Quel est le délai pour déclarer un incident majeur DORA ?

La notification initiale intervient dans les 4 heures suivant la classification, et au plus tard 24 heures après la détection. Suivent un rapport intermédiaire sous 72 heures, puis un rapport final sous un mois. Tout se dépose sur le portail OneGate de l'ACPR.

Qu'est-ce que le registre d'informations DORA ?

C'est la liste de tous les contrats conclus avec des prestataires informatiques, en distinguant ceux qui soutiennent des fonctions critiques. Les mutuelles concernées le remettent chaque année à l'ACPR, au plus tard le 31 mars, pour une situation arrêtée au 31 décembre précédent.

Qui contrôle l'application de DORA en France ?

Pour les mutuelles et les autres organismes d'assurance, c'est l'ACPR. Elle reçoit le registre d'informations et les déclarations d'incidents majeurs sur OneGate. En 2026, elle mène des contrôles ciblés sur les incidents, les risques informatiques et les contrats.