DORA en 2026 : où en est-on ?
Le règlement européen sur la résilience opérationnelle numérique, connu sous l’acronyme DORA (Digital Operational Resilience Act, règlement UE 2022/2554), est entré en application le 17 janvier 2025. En 2026, le texte est donc pleinement en vigueur et l’année marque une phase de consolidation : les autorités de surveillance affinent leurs contrôles, les premiers retours d’expérience apparaissent et les acteurs financiers ajustent leurs dispositifs. DORA vise un objectif clair : renforcer la capacité du secteur financier européen à résister aux incidents liés aux technologies de l’information et de la communication (TIC), qu’il s’agisse de cyberattaques, de pannes ou de défaillances de prestataires.
Contrairement à une réglementation purement sectorielle, DORA s’applique à un large éventail d’entités : banques, assureurs, sociétés de gestion, établissements de paiement, prestataires de services sur crypto-actifs et, bien sûr, fintechs. Le règlement s’accompagne de normes techniques (RTS et ITS) élaborées par les autorités européennes de supervision (EBA, ESMA, EIOPA), qui précisent les modalités concrètes de mise en œuvre.
Les quatre piliers de DORA
Pour comprendre l’impact du règlement, il est utile de rappeler ses grands domaines d’action.
1. La gestion des risques liés aux TIC
Chaque entité financière doit disposer d’un cadre interne de gestion des risques informatiques. Cela comprend l’identification des systèmes critiques, la mise en place de mesures de protection, des procédures de continuité d’activité et une gouvernance impliquant l’organe de direction. La responsabilité ne repose plus uniquement sur les équipes techniques : elle remonte au plus haut niveau de l’organisation.
2. La notification des incidents
DORA harmonise la déclaration des incidents majeurs liés aux TIC. Les entités concernées doivent classer les incidents selon des critères communs, puis notifier les autorités compétentes dans des délais définis. L’objectif est d’obtenir une vision européenne cohérente des menaces et d’accélérer la réaction collective.
3. Les tests de résilience
Le règlement impose des tests réguliers des systèmes. Les acteurs les plus significatifs doivent réaliser des tests avancés de type TLPT (Threat-Led Penetration Testing), c’est-à-dire des simulations d’attaques inspirées de menaces réelles. Ces exercices, déployés progressivement, visent à révéler les vulnérabilités avant qu’elles ne soient exploitées.
4. La gestion du risque lié aux prestataires tiers
C’est l’une des innovations majeures de DORA. Les entités financières dépendent fortement de fournisseurs externes (hébergement cloud, logiciels, services de paiement). Le règlement encadre ces relations contractuelles et instaure une supervision européenne directe des prestataires TIC jugés « critiques ». En 2026, la désignation et le suivi de ces fournisseurs critiques constituent un chantier central.
Quel impact concret pour les fintechs ?
Les fintechs occupent une position particulière. Souvent jeunes, agiles et fortement dépendantes de la technologie, elles sont au cœur des exigences de DORA dès lors qu’elles disposent d’un agrément financier (établissement de paiement, établissement de monnaie électronique, prestataire sur crypto-actifs, etc.).
Une montée en exigence sur la conformité
Pour une fintech, DORA implique de formaliser des processus parfois encore informels : cartographie des actifs informatiques, registre des prestataires, plans de continuité, procédures de notification. Cette structuration représente un investissement en temps et en ressources, en particulier pour les structures de taille modeste qui ne disposent pas toujours d’équipes dédiées à la conformité et à la cybersécurité.
Un principe de proportionnalité
Le règlement prévoit un principe de proportionnalité : les obligations sont adaptées à la taille, au profil de risque et à la complexité de l’entité. Une petite fintech ne sera pas soumise aux mêmes exigences détaillées qu’un grand groupe bancaire. Toutefois, cette proportionnalité ne dispense pas de respecter le socle commun du règlement. Les acteurs doivent donc évaluer précisément leur périmètre d’application.
La relation avec les fournisseurs cloud
De nombreuses fintechs reposent sur des infrastructures cloud externalisées. DORA les oblige à mieux documenter et encadrer ces dépendances : clauses contractuelles spécifiques, droits d’audit, stratégies de sortie en cas de défaillance d’un prestataire. Cette exigence peut renforcer la résilience globale, mais demande une renégociation de certains contrats et une vigilance accrue sur la concentration des risques.
Un effet potentiel sur l’innovation
L’encadrement renforcé peut être perçu de deux manières. D’un côté, il représente une charge administrative et financière supplémentaire. De l’autre, une conformité solide peut devenir un argument de confiance vis-à-vis des partenaires et des investisseurs. Dans un secteur où la fiabilité est déterminante, démontrer sa résilience numérique tend à devenir un facteur de différenciation.
Et pour les utilisateurs particuliers ?
DORA est un règlement technique qui ne s’adresse pas directement aux consommateurs. Pourtant, ses effets se font sentir, de manière indirecte, dans l’expérience quotidienne des utilisateurs de services financiers numériques.
Une meilleure continuité des services
L’un des objectifs de DORA est de réduire les interruptions de service. Les pannes d’applications bancaires, les indisponibilités de paiement ou les blocages d’accès aux comptes sont des situations que tout utilisateur a pu rencontrer. En imposant des plans de continuité et des tests réguliers, le règlement cherche à limiter la fréquence et la durée de ces incidents.
Un cadre renforcé face aux cyberattaques
Les données financières et personnelles sont des cibles privilégiées. En obligeant les acteurs à mieux gérer leurs risques informatiques et à tester leurs défenses, DORA contribue à élever le niveau de protection global du secteur. Cela ne supprime pas le risque de fraude ou de fuite de données, mais participe à réduire les vulnérabilités structurelles.
Plus de transparence en cas d’incident
La notification harmonisée des incidents majeurs favorise une communication plus rapide et plus cohérente. À terme, cela peut se traduire par une meilleure information des clients lorsqu’un événement affecte leurs services, même si les modalités précises d’information dépendent de chaque entité et des règles nationales.
Ce que DORA ne change pas directement
Il convient de rester mesuré. DORA ne crée pas de nouveaux droits individuels équivalents à ceux du RGPD, et n’instaure pas de mécanisme d’indemnisation automatique pour les particuliers. Son action est principalement préventive et systémique : elle agit sur la solidité des infrastructures, pas sur la relation contractuelle directe entre le client et son prestataire.
Les enjeux de 2026 et au-delà
L’année 2026 est marquée par plusieurs dynamiques. D’abord, la supervision des prestataires TIC critiques monte en puissance, avec un suivi européen plus structuré. Ensuite, les programmes de tests avancés se déploient progressivement chez les acteurs les plus significatifs. Enfin, les autorités nationales et européennes affinent leurs attentes au fil des premiers contrôles, ce qui amène les entités à ajuster leurs pratiques.
Pour les fintechs, l’enjeu consiste à transformer une contrainte réglementaire en démarche durable de résilience. Pour les particuliers, le bénéfice attendu se mesure surtout dans la fiabilité et la sécurité des services qu’ils utilisent au quotidien, souvent sans même percevoir le cadre réglementaire qui opère en arrière-plan.
Conclusion
DORA s’impose comme un pilier de la résilience numérique du secteur financier européen. En 2026, le règlement est pleinement opérationnel et son application se précise. Pour les fintechs, il représente un effort de structuration significatif, mais aussi une opportunité de renforcer la confiance. Pour les utilisateurs particuliers, il agit comme une protection indirecte, en consolidant les fondations technologiques des services financiers. Comprendre cette réglementation, c’est saisir l’une des grandes évolutions de la finance numérique européenne de la décennie.