Art. 6 Modifications de la directive 2014/65/UE | DORA directive | DORA

This article amends MiFID II (Directive 2014/65/EU) to integrate DORA requirements across several of its provisions.

It updates obligations for investment firms and regulated markets by explicitly anchoring ICT-related requirements — such as continuity, security mechanisms, algorithmic trading controls, and business continuity planning — to the corresponding chapters and articles of Regulation (EU) 2022/2554 (DORA).

In doing so, it ensures that where MiFID II previously contained standalone ICT or operational resilience obligations, those are now aligned with and governed by DORA's framework, avoiding duplication and clarifying the boundary between the two instruments.

Important points:

Ensure ICT systems supporting the continuity and regularity of investment services are set up and managed in accordance with DORA, and that security mechanisms protecting data transfer meet DORA's requirements.
Investment firms engaged in algorithmic trading must have business continuity arrangements, including ICT business continuity and recovery plans, established in accordance with DORA, with systems fully tested and monitored against DORA's standards.
Member States are required to ensure regulated markets establish and maintain operational resilience in line with DORA's Chapter II, with algorithm testing requirements also subject to DORA's Chapters II and IV.

La directive 2014/65/UE est modifiée comme suit:

L’article 16 est modifié comme suit:
1. le paragraphe 4 est remplacé par le texte suivant:
  Toute entreprise d’investissement prend des mesures raisonnables pour garantir la continuité et la régularité de la fourniture de ses services d’investissement et de l’exercice de ses activités d’investissement. À cette fin, elle utilise des systèmes appropriés et proportionnés, y compris des systèmes de technologies de l’information et de la communication (TIC) mis en place et gérés conformément à l’article 7 du règlement (UE) 2022/2554 du Parlement européen et du Conseil(²⁰), ainsi que des ressources et des procédures appropriées et proportionnées.
2. au paragraphe 5, les deuxième et troisième alinéas sont remplacés par le texte suivant:
  «Toute entreprise d’investissement dispose de procédures administratives et comptables saines, de mécanismes de contrôle interne et de techniques efficaces d’évaluation des risques.
  Sans préjudice de la capacité des autorités compétentes d’exiger l’accès aux communications conformément à la présente directive et au règlement (UE) n^o 600/2014, toute entreprise d’investissement dispose de mécanismes de sécurité solides pour assurer, conformément aux exigences fixées dans le règlement (UE) 2022/2554, la sécurité et l’authentification des moyens de transfert de l’information, pour réduire au minimum le risque de corruption des données et d’accès non autorisé et pour empêcher les fuites d’informations afin de maintenir ainsi en permanence la confidentialité des données.».
L’article 17 est modifié comme suit:
1. le paragraphe 1 est remplacé par le texte suivant:
  Une entreprise d’investissement recourant au trading algorithmique dispose de systèmes et contrôles des risques efficaces et adaptés à son activité pour garantir que ses systèmes de négociation sont résilients et ont une capacité suffisante conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554, qu’ils sont soumis à des seuils et limites de négociation appropriés et qu’ils préviennent l’envoi d’ordres erronés ou tout autre fonctionnement des systèmes susceptible de donner naissance ou de contribuer à une perturbation du marché.
  Elle dispose également de systèmes et contrôles des risques efficaces pour garantir que ses systèmes de négociation ne peuvent être utilisés à aucune fin contraire au règlement (UE) n^o 596/2014 ou aux règles d’une plate-forme de négociation à laquelle elle est connectée.
  Elle dispose de mécanismes de continuité des activités efficaces pour faire face à toute défaillance de ses systèmes de négociation, y compris d’une politique et de plans en matière de continuité des activités de TIC et de plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, et elle veille à ce que ses systèmes soient entièrement testés et convenablement suivis de manière à garantir qu’ils satisfont aux exigences générales fixées au présent paragraphe et aux exigences spécifiques fixées aux chapitres II et IV du règlement (UE) 2022/2554.»;
2. au paragraphe 7, le point a) est remplacé par le texte suivant:
  «le détail des exigences organisationnelles prévues aux paragraphes 1 à 6, autres que celles liées à la gestion des risques liés aux TIC, qu’il convient d’imposer aux entreprises d’investissement fournissant différents services d’investissement et services auxiliaires ou exerçant différentes activités d’investissement ou offrant une combinaison de ces services, selon lequel les précisions relatives aux exigences organisationnelles visées au paragraphe 5 comportent, pour l’accès direct au marché et l’accès sponsorisé, des exigences particulières propres à permettre que les contrôles appliqués à l’accès sponsorisé soient au minimum équivalents à ceux appliqués à l’accès direct au marché;».
À l’article 47, le paragraphe 1 est modifié comme suit:
1. le point b) est remplacé par le texte suivant:
  «qu’ils soient adéquatement équipés pour gérer les risques auxquels ils sont exposés, y compris le risque lié aux TIC conformément au chapitre II du règlement (UE) 2022/2554, qu’ils mettent en œuvre des dispositifs et des systèmes appropriés leur permettant de cerner les risques significatifs pouvant compromettre leur bon fonctionnement, et qu’ils instaurent des mesures effectives pour atténuer ces risques;»;
2. le point c) est supprimé.
L’article 48 est modifié comme suit:
1. le paragraphe 1 est remplacé par le texte suivant:
  Les États membres exigent d’un marché réglementé qu’il mette en place et maintienne sa résilience opérationnelle conformément aux exigences fixées au chapitre II du règlement (UE) 2022/2554 pour garantir que ses systèmes de négociation sont résilients, possèdent une capacité suffisante pour gérer les volumes les plus élevés d’ordres et de messages, sont en mesure d’assurer un processus de négociation ordonné en période de graves tensions sur les marchés, sont soumis à des tests exhaustifs afin de confirmer que ces conditions sont réunies et sont régis par des mécanismes de continuité des activités, y compris une politique et des plans en matière de continuité des activités de TIC et des plans de réponse et de rétablissement des TIC mis en place conformément à l’article 11 du règlement (UE) 2022/2554, afin d’assurer le maintien de ses services en cas de défaillance de ses systèmes de négociation.»;
2. le paragraphe 6 est remplacé par le texte suivant:
  Les États membres exigent d’un marché réglementé qu’il dispose de systèmes, de procédures et de mécanismes efficaces, y compris qu’il exige de ses membres ou de ses participants qu’ils procèdent à des essais appropriés d’algorithmes et mettent à disposition les environnements facilitant ces essais conformément aux exigences fixées aux chapitres II et IV du règlement (UE) 2022/2554, pour garantir que les systèmes de trading algorithmique ne donnent pas naissance ou ne contribuent pas à des conditions de négociation de nature à perturber le bon ordre du marché, et pour gérer les conditions de négociation de nature à perturber le bon ordre du marché qui découlent de ces systèmes de trading algorithmique, y compris de systèmes permettant de limiter la proportion d’ordres non exécutés par rapport aux transactions susceptibles d’être introduites dans le système par un membre ou un participant, afin de ralentir le flux d’ordres si le système risque d’atteindre sa capacité maximale ainsi que de limiter le pas minimal de cotation sur le marché et de veiller à son respect.»;
3. le paragraphe 12 est modifié comme suit:
  le point a) est remplacé par le texte suivant:
  «les exigences pour s’assurer que les systèmes de négociation des marchés réglementés sont résilients et disposent de capacités adéquates, à l’exception des exigences relatives à la résilience opérationnelle numérique;»;
  le point g) est remplacé par le texte suivant:
  «les exigences pour veiller à l’essai approprié des algorithmes, autres que les tests de résilience opérationnelle numérique, de manière à garantir que les systèmes de trading algorithmique, y compris les systèmes de trading algorithmique de haute fréquence, ne donnent pas naissance ou ne contribuent pas à des conditions de négociation de nature à perturber le bon ordre du marché.».