Gestion de crise en mutuelle : DORA, continuité et méthode 2026

DORA (Digital Operational Resilience Act) est un règlement européen sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025 à tous les assureurs, mutuelles et institutions de prévoyance. Il impose un cadre de gestion du risque lié aux technologies de l'information : gouvernance du risque numérique, notification des incidents majeurs, tests de résilience, et gestion des prestataires informatiques tiers, y compris critiques. Pour une mutuelle, DORA fait de la résilience cyber et de la continuité numérique une obligation réglementaire et non plus une simple bonne pratique.

Oui. Les mutuelles relèvent du Code de la mutualité et sont supervisées par l'ACPR (Autorité de Contrôle Prudentiel et de Résolution). La plupart sont soumises au régime prudentiel Solvabilité II, qui impose une évaluation interne des risques et de la solvabilité (ORSA), des fonctions clés (gestion des risques, conformité, actuariat, audit interne) et des exigences de gouvernance et de continuité. Certaines petites mutuelles peuvent ne pas être soumises au régime Solvabilité II, mais restent contrôlées par l'ACPR.

Les données de santé des adhérents sont particulièrement sensibles et bénéficient d'une protection renforcée au titre du RGPD. Leur hébergement doit être assuré par un hébergeur de données de santé certifié (HDS), conformément au Code de la santé publique, ce qui s'articule avec les exigences de résilience de DORA. En cas de cyberattaque, la priorité est d'isoler les systèmes, de protéger les données contre l'exfiltration, de notifier la violation à la CNIL et d'informer les adhérents concernés. La prévention repose sur la sécurité des systèmes, les sauvegardes et la maîtrise des prestataires.

Les mutuelles concentrent des données personnelles et de santé de millions d'adhérents, des flux financiers importants et une forte dépendance numérique, ce qui en fait des cibles de choix. Une cyberattaque peut paralyser le versement des prestations, exposer des données de santé et porter une atteinte durable à la confiance. C'est précisément pour répondre à ce risque que le règlement DORA impose désormais aux mutuelles un cadre de résilience opérationnelle. La réponse combine prévention (sécurité, sauvegardes, maîtrise des tiers) et gestion de crise (cellule, continuité, notification).

La continuité d'activité est la capacité de la mutuelle à maintenir ses fonctions essentielles en situation dégradée, au premier rang desquelles le versement des prestations aux adhérents et la relation de service. Le plan de continuité d'activité organise le mode dégradé, les solutions de repli et la reprise. Pour une mutuelle, cette continuité s'inscrit dans les exigences de gouvernance du cadre prudentiel Solvabilité II et dans le cadre de résilience opérationnelle de DORA. Un plan de continuité doit être formalisé et testé.

La mutuelle conjugue une gouvernance démocratique (assemblée générale des adhérents, conseil d'administration présidé par un élu) et une direction opérationnelle confiée à un dirigeant effectif, responsable au regard du superviseur. En situation de crise, la cellule de crise s'organise autour du dirigeant effectif et des fonctions clés (gestion des risques, conformité), avec une information rapide de la gouvernance élue. Clarifier à froid l'articulation entre direction opérationnelle et gouvernance élue évite les blocages et les décisions contestables.

Certaines mutuelles gèrent des établissements et services sanitaires, sociaux et médico-sociaux (SSAM) : centres de santé, cliniques, EHPAD, centres optiques ou d'audioprothèse. Ces établissements cumulent les risques propres à la mutuelle (cyber, continuité, données) et ceux du secteur de la santé et du médico-social, qui relèvent de dispositifs spécifiques comme le Plan Blanc ou le Plan Bleu. La gestion de crise doit être pensée à deux niveaux cohérents : le niveau de la mutuelle et celui de chaque établissement géré.

Plusieurs acteurs interviennent. L'ACPR fixe le cadre prudentiel et de résilience. La Mutualité Française et les fédérations diffusent guides et bonnes pratiques. L'ANSSI met à disposition des ressources cyber. Les cabinets spécialisés en gestion de crise, comme Twist, accompagnent la structuration de la cellule de crise, le plan de continuité d'activité, les exercices de résilience (notamment cyber, au titre de DORA), la formation des dirigeants et des fonctions clés, et le RETEX. L'objectif est un dispositif opérationnel, articulé avec les obligations prudentielles et de résilience.