DORA et assurance vie luxembourgeoise : ce que le règlement change vraiment

DORA (Digital Operational Resilience Act, ou règlement sur la résilience opérationnelle numérique) est un règlement européen adopté en décembre 2022 et entré en application le 17 janvier 2025 dans l'ensemble de l'Union européenne. Contrairement à une directive, un règlement européen s'applique directement dans chaque État membre, sans transposition en droit national supplémentaire pour son contenu technique — même si le Luxembourg a publié une loi d'accompagnement pour organiser les pouvoirs de sanction et de contrôle de ses régulateurs.

Le texte vise à harmoniser, à l'échelle européenne, la manière dont les institutions financières gèrent leur risque informatique (dit risque TIC, pour technologies de l'information et de la communication). Il couvre un périmètre large — banques, sociétés de gestion, entreprises d'investissement, et compagnies d'assurance et de réassurance — ainsi que, pour la première fois de façon directe, certains prestataires informatiques tiers jugés critiques pour le secteur financier.

Pour une compagnie d'assurance vie luxembourgeoise, DORA s'ajoute au cadre prudentiel déjà en vigueur (Solvabilité II, supervision du CAA) sans le remplacer. C'est un texte de gouvernance opérationnelle, pas un texte de solvabilité financière : il ne porte pas sur le niveau de fonds propres de l'assureur, mais sur sa capacité à faire fonctionner ses systèmes informatiques de façon fiable et à réagir correctement en cas d'incident.

Au Luxembourg, le Commissariat aux Assurances (CAA) est l'autorité compétente pour superviser la conformité DORA des compagnies d'assurance et de réassurance, de leurs intermédiaires et des intermédiaires d'assurance à titre accessoire. C'est le même régulateur que celui qui supervise déjà la solvabilité des compagnies dans le cadre de Solvabilité II et qui organise le triangle de sécurité propre au marché luxembourgeois.

Le CAA a publié la circulaire CAA 25/1 le 14 janvier 2025, quelques jours avant l'entrée en application du règlement, pour préciser certaines modalités pratiques : canal de notification des incidents majeurs, format des registres d'information sur les prestataires TIC, calendrier de mise en conformité. Cette circulaire ne crée pas d'obligation nouvelle par rapport au règlement européen ; elle en précise l'application opérationnelle pour les entités supervisées par le CAA.

Pour les autres acteurs financiers luxembourgeois — banques, sociétés de gestion —, c'est la Commission de Surveillance du Secteur Financier (CSSF) qui joue le rôle équivalent. Un souscripteur qui a, par ailleurs, un compte-titres ou une relation bancaire au Luxembourg peut donc croiser des obligations DORA similaires, mais portées par deux régulateurs distincts selon le type d'établissement.

Le règlement structure les obligations des assureurs autour de quatre piliers principaux, que la circulaire du CAA reprend pour en préciser l'application locale.

Le premier est la gestion du risque TIC : chaque assureur doit disposer d'un cadre de gouvernance formalisé pour identifier, protéger, détecter et répondre aux risques touchant ses systèmes d'information, avec une implication documentée de sa direction. Le deuxième est le test de résilience opérationnelle : les entités doivent tester régulièrement leurs systèmes, et les acteurs jugés les plus significatifs peuvent être soumis à des tests de pénétration fondés sur la menace (TLPT, threat-led penetration testing), des exercices avancés menés au moins tous les trois ans avec l'appui de prestataires spécialisés en renseignement sur les menaces.

Le troisième pilier concerne la gestion des prestataires TIC tiers : un assureur qui externalise des fonctions informatiques critiques (hébergement cloud, gestion de données, certains outils métier) doit encadrer contractuellement ces relations selon des exigences précises et tenir à jour un registre des prestataires concernés, transmis à son régulateur. Au Luxembourg, la CAA a fixé une première échéance de transmission au 18 avril 2025 pour ce registre, avec une référence au 31 mars 2025, puis un rythme annuel au 31 décembre. Le quatrième pilier est la notification des incidents majeurs : depuis le 17 janvier 2025, tout incident TIC dépassant certains seuils de gravité doit être signalé au CAA selon un calendrier resserré (notification initiale rapide, puis rapports intermédiaires et final), via un canal dédié.

Ces obligations pèsent sur l'assureur lui-même, pas sur le souscripteur : elles ne modifient ni la fiscalité, ni les conditions générales, ni le fonctionnement courant d'un contrat d'assurance vie luxembourgeois. Leur effet, pour un souscripteur, est indirect — un cadre de gouvernance technique plus structuré chez l'assureur qu'il a choisi — et se mesure sur la durée, pas au moment de la souscription.

Non, et c'est un point qu'il nous semble important de clarifier plutôt que de laisser planer une ambiguïté. DORA est un règlement européen préventif, construit à l'échelle de l'Union pour harmoniser des pratiques de cybersécurité et de résilience opérationnelle déjà partiellement exigées, de façon disparate, par différents superviseurs nationaux. Son origine tient à une volonté réglementaire de cohérence face à la numérisation croissante du secteur financier, pas à un incident précis survenu chez un assureur luxembourgeois.

À notre connaissance, aucune source officielle (CAA, EIOPA, Commission européenne, cabinets d'avocats spécialisés) ne documente d'incident majeur avéré, ni de défaillance informatique rendue publique, chez une compagnie d'assurance vie luxembourgeoise en lien avec le risque TIC ou avec DORA. Si un tel incident venait à être rendu public, nous mettrions cet article à jour ; en l'état, nous préférons le dire clairement plutôt que de laisser entendre, même implicitement, qu'un risque se serait déjà matérialisé.

Cette distinction compte pour la lecture de l'article : ce qui suit décrit un cadre de prévention et de gouvernance, pas la gestion d'une crise. Un souscripteur n'a pas de raison de s'inquiéter d'un événement particulier ; il a en revanche intérêt à comprendre ce que le cadre réglementaire exige désormais de l'assureur auquel il confie son contrat.

Directement, très peu de choses visibles : DORA ne modifie ni le fonctionnement du triangle de sécurité, ni le super privilège du souscripteur en cas de défaillance financière de l'assureur, ni la fiscalité du contrat. Ce sont des protections distinctes, organisées par d'autres textes (droit des assurances luxembourgeois, Solvabilité II), que DORA complète sans les recouvrir.

Indirectement, l'effet attendu est celui d'une gouvernance technique plus rigoureuse chez l'ensemble des compagnies agréées par le CAA : une meilleure cartographie de leurs systèmes, des tests de résilience documentés, un encadrement plus strict de leurs prestataires informatiques (dont beaucoup hébergent aujourd'hui les plateformes de gestion de contrats, les espaces clients en ligne, ou les outils de traitement des rachats et des arbitrages), et une obligation de notification rapide en cas d'incident touchant potentiellement les données ou les services aux souscripteurs.

Pour un souscripteur, la question utile n'est donc pas « suis-je exposé à un risque nouveau » — DORA vise précisément à réduire ce risque, pas à le révéler — mais plutôt « comment vérifier que l'assureur que j'ai choisi prend ce cadre au sérieux ». La réponse la plus honnête est qu'un souscripteur individuel n'a, à ce jour, pas d'accès direct à un indicateur public comparable au ratio de solvabilité SCR pour évaluer la maturité DORA d'un assureur : contrairement à la solvabilité, publiée dans les rapports SFCR, la conformité DORA n'est pas soumise à publication obligatoire détaillée à destination du grand public. Le CAA en assure le contrôle prudentiel, mais ce contrôle n'est pas, à notre connaissance, restitué sous forme de score ou de classement accessible au public.

Il est utile de distinguer clairement ces deux cadres, que l'on retrouve parfois confondus dans des présentations commerciales ou des articles de vulgarisation. Solvabilité II encadre la solidité financière de l'assureur — ses fonds propres, ses provisions techniques, sa capacité à honorer ses engagements même en scénario de stress — et se traduit par des indicateurs publics comme le ratio SCR. DORA encadre la résilience opérationnelle et informatique — la capacité de l'assureur à faire fonctionner ses systèmes et à réagir à un incident technique — sans indicateur public équivalent à ce jour.

Les deux cadres sont supervisés par le même régulateur au Luxembourg, le CAA, ce qui simplifie la gouvernance mais ne doit pas conduire à les confondre : un assureur peut afficher un excellent ratio de solvabilité sans que cela renseigne sur sa maturité en matière de cybersécurité, et inversement. Ce sont deux dimensions de la fiabilité d'un assureur, pas une seule.