Entré en application le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act) est désormais pleinement opérationnel en 2026. Ce texte, qui vise à renforcer la résilience opérationnelle numérique du secteur financier, transforme en profondeur la manière dont les banques, assureurs et fintechs gèrent leurs risques informatiques. Mais au-delà des obligations réglementaires, que change réellement DORA pour les jeunes pousses de la finance et pour les particuliers qui utilisent leurs services au quotidien ? Tour d’horizon.
DORA en bref : rappel du cadre réglementaire
Le règlement (UE) 2022/2554, dit DORA, a été adopté fin 2022 et est entré en vigueur le 16 janvier 2023, avant de devenir applicable le 17 janvier 2025 dans l’ensemble de l’Union européenne. Étant un règlement et non une directive, il s’applique directement, sans transposition nationale du cœur de ses obligations.
Son objectif : faire en sorte que les entités financières puissent résister à des perturbations informatiques majeures (cyberattaques, pannes, défaillances de prestataires) et s’en remettre rapidement, afin de préserver la stabilité du système financier et la continuité des services rendus aux clients.
Qui est concerné ?
DORA couvre une vingtaine de catégories d’entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, sociétés de gestion, assureurs, prestataires de services sur crypto-actifs, plateformes de financement participatif, etc. La grande majorité des fintechs régulées entre donc dans son périmètre. Le texte s’applique également, de manière inédite, aux prestataires tiers de services TIC (cloud, logiciels, données) lorsqu’ils sont jugés critiques pour le secteur.
Les cinq piliers de DORA
- Gestion du risque informatique : un cadre de gouvernance et de gestion des risques TIC, placé sous la responsabilité directe de l’organe de direction.
- Notification des incidents : classification des incidents liés aux TIC et déclaration des incidents majeurs aux autorités compétentes selon des délais encadrés.
- Tests de résilience opérationnelle numérique : tests réguliers des systèmes, et tests de pénétration fondés sur la menace (TLPT) pour les entités les plus significatives, en principe tous les trois ans.
- Gestion des risques liés aux prestataires tiers : clauses contractuelles obligatoires, registre d’information sur les contrats TIC, stratégie de sortie et surveillance européenne des prestataires critiques.
- Partage d’informations : échange volontaire de renseignements sur les cybermenaces entre entités financières.
Où en est l’application de DORA en 2026 ?
Après une année 2025 consacrée à la mise en conformité initiale, 2026 marque le passage à un régime de croisière, avec des contrôles plus exigeants de la part des superviseurs.
La surveillance des prestataires informatiques critiques
L’une des grandes nouveautés de DORA est le cadre de supervision des prestataires tiers critiques de services TIC, piloté par les autorités européennes de surveillance (ABE, AEMF et AEAPP). Les premières désignations de prestataires critiques, parmi lesquels figurent de grands fournisseurs de cloud, sont intervenues au cours de l’année 2025. En 2026, ces prestataires font l’objet d’un suivi direct par les superviseurs européens, qui peuvent formuler des recommandations et, en cas de manquement, infliger des astreintes pouvant atteindre 1 % du chiffre d’affaires quotidien moyen mondial.
Registres d’information et déclaration des incidents
Depuis 2025, les entités financières doivent tenir un registre d’information recensant l’ensemble de leurs accords contractuels avec des prestataires de services TIC, et le transmettre aux autorités. Ces registres alimentent la cartographie européenne des dépendances technologiques du secteur financier. Parallèlement, le dispositif de déclaration des incidents majeurs est désormais rodé : notification initiale rapide, rapport intermédiaire, puis rapport final, selon les normes techniques adoptées par la Commission européenne. En France, l’ACPR et l’AMF sont les interlocuteurs des entités assujetties selon leur statut.
La montée en puissance des tests TLPT
Les tests de pénétration fondés sur la menace, inspirés du cadre TIBER-EU, concernent les entités identifiées comme significatives par leur superviseur. Les premiers cycles se déploient progressivement, mobilisant des testeurs externes et des scénarios fondés sur des renseignements de menace réels. Pour les fintechs concernées, il s’agit d’exercices exigeants mais riches d’enseignements opérationnels.
Quel impact pour les fintechs ?
Un coût de conformité réel, mais un principe de proportionnalité
Pour une fintech, DORA représente un investissement significatif : formalisation de la gouvernance des risques TIC, revue de l’ensemble des contrats avec les prestataires cloud et logiciels, mise en place d’outils de détection et de classification des incidents, plans de continuité testés régulièrement. Les structures qui s’appuyaient sur des processus informels doivent documenter et professionnaliser leur gestion du risque numérique.
Le règlement intègre toutefois un principe de proportionnalité : les exigences s’appliquent en tenant compte de la taille, du profil de risque et de la complexité des activités. Les microentreprises bénéficient d’allègements, et certaines entités peuvent relever d’un cadre simplifié de gestion du risque TIC. Une fintech de dix personnes n’est donc pas soumise aux mêmes attentes opérationnelles qu’un grand groupe bancaire, même si les principes de fond demeurent.
La relation aux prestataires cloud repensée
La plupart des fintechs sont nativement construites sur le cloud et sur des briques logicielles externes (核心 bancaire en marque blanche, KYC, paiement, agrégation de comptes). DORA impose de cartographier ces dépendances, d’identifier les fonctions critiques ou importantes qu’elles soutiennent, et d’intégrer dans les contrats des clauses précises : niveaux de service, droits d’audit, localisation des données, conditions de résiliation et stratégie de sortie. En 2026, les renégociations contractuelles engagées en 2024-2025 portent leurs fruits, mais la vigilance reste de mise lors de chaque nouvel achat de service numérique.
Une contrainte qui peut devenir un avantage concurrentiel
La conformité à DORA tend à devenir un argument commercial, notamment pour les fintechs B2B qui vendent leurs services à des banques ou des assureurs : ces clients, eux-mêmes assujettis, privilégient des partenaires capables de démontrer leur résilience. À l’inverse, une fintech incapable de répondre aux questionnaires de due diligence de ses clients régulés risque de perdre des appels d’offres. La résilience opérationnelle devient ainsi un critère de sélection au même titre que le prix ou la fonctionnalité.
Quel impact pour les utilisateurs particuliers ?
DORA ne crée aucune obligation pour les consommateurs, mais ses effets indirects sont bien réels.
Des services financiers plus fiables au quotidien
L’objectif premier du règlement est la continuité des services : pouvoir consulter ses comptes, effectuer un virement ou utiliser sa carte même en cas d’incident informatique chez son prestataire. En imposant des plans de continuité testés, des sauvegardes et des objectifs de reprise, DORA vise à réduire la fréquence et la durée des interruptions de service que connaissent parfois les applications bancaires et les néobanques.
Une meilleure gestion des incidents et de la communication
En cas d’incident majeur, les entités financières doivent non seulement alerter leur superviseur, mais aussi informer leurs clients lorsque l’incident a une incidence sur leurs intérêts financiers, en expliquant les mesures prises. Pour l’utilisateur, cela se traduit par une communication plus rapide et plus structurée en cas de panne ou de cyberattaque, là où le silence prévalait parfois auparavant.
Une protection renforcée face aux cyberattaques
Les exigences de détection, de tests et de correction des vulnérabilités réduisent la surface d’attaque des acteurs financiers. Combiné à d’autres textes européens comme la directive NIS 2 ou le RGPD, DORA contribue à un écosystème où les données et les avoirs des clients sont mieux protégés contre les compromissions. Aucun dispositif ne peut éliminer totalement le risque cyber, mais le niveau d’exigence du secteur financier européen figure désormais parmi les plus élevés au monde.
Des limites à connaître
DORA n’est pas un mécanisme d’indemnisation des clients : les recours en cas de fraude ou de panne relèvent d’autres cadres, comme la directive sur les services de paiement pour les opérations non autorisées. Par ailleurs, le coût de la conformité peut peser sur les marges des acteurs, voire accélérer la consolidation du secteur des fintechs, avec un possible effet sur l’offre disponible.
Comment les fintechs peuvent-elles consolider leur conformité en 2026 ?
- Auditer l’existant : confronter le dispositif mis en place en 2025 aux normes techniques de réglementation (RTS) publiées et aux premières attentes exprimées par les superviseurs.
- Tenir le registre d’information à jour : chaque nouveau contrat TIC doit y être intégré, avec une qualification correcte des fonctions critiques ou importantes.
- Tester réellement les plans : exercices de continuité, simulations d’incident et, le cas échéant, préparation aux tests TLPT.
- Former les équipes et la direction : la responsabilité du dispositif incombe à l’organe de direction, qui doit disposer de connaissances suffisantes sur les risques TIC.
- Surveiller ses prestataires : suivre les performances, prévoir des stratégies de sortie réalistes et éviter les dépendances excessives à un fournisseur unique.
Conclusion : une exigence devenue la norme
En 2026, DORA n’est plus un chantier de mise en conformité mais un standard de fonctionnement du secteur financier européen. Pour les fintechs, le règlement représente un effort durable, partiellement compensé par un gain de crédibilité auprès des clients et des partenaires. Pour les particuliers, les bénéfices sont indirects mais tangibles : des services plus disponibles, des incidents mieux gérés et une protection accrue face aux menaces numériques. La résilience opérationnelle s’impose ainsi comme un élément central de la confiance dans la finance digitale.