Depuis le 17 janvier 2025, le règlement européen DORA (Digital Operational Resilience Act, règlement UE 2022/2554) s’applique directement à l’ensemble du secteur financier de l’Union européenne. Après une première année consacrée à la mise en conformité documentaire, 2026 marque le passage à une phase de supervision effective : contrôles des autorités nationales, montée en charge du cadre de surveillance des prestataires informatiques critiques, deuxième cycle de remise des registres d’information. Pour les fintechs, l’enjeu est opérationnel et budgétaire. Pour les utilisateurs particuliers, les effets sont plus indirects, mais bien réels.
DORA en bref : ce que prévoit le règlement
DORA a été adopté le 14 décembre 2022 et publié au Journal officiel de l’Union européenne le 27 décembre 2022. Il est entré en vigueur le 16 janvier 2023, assorti d’une période de transition de deux ans, et s’applique depuis le 17 janvier 2025. Il est complété par une directive « d’accompagnement » (directive UE 2022/2556) qui aligne plusieurs textes sectoriels existants.
Son objectif : harmoniser au niveau européen les exigences de résilience opérationnelle numérique du secteur financier. Avant DORA, chaque État membre et chaque régulateur sectoriel appliquait ses propres lignes directrices sur le risque informatique. Le règlement remplace cette mosaïque par un socle commun et directement applicable.
Les cinq piliers du règlement
- Gestion du risque lié aux TIC : cadre de gouvernance interne, cartographie des actifs et des fonctions critiques, politiques de continuité et de reprise d’activité, responsabilité explicite de l’organe de direction.
- Gestion et notification des incidents : classification harmonisée des incidents, notification des incidents « majeurs » aux autorités compétentes selon des délais définis.
- Tests de résilience opérationnelle numérique : programme de tests régulier, et tests avancés d’intrusion fondés sur la menace (TLPT) pour les entités les plus significatives.
- Gestion du risque lié aux prestataires tiers de TIC : registre d’information sur les accords contractuels, clauses contractuelles obligatoires, stratégies de sortie.
- Partage d’informations sur les cybermenaces entre acteurs financiers, sur une base volontaire.
Quelles entités sont concernées ?
Le champ d’application est très large : une vingtaine de catégories d’entités financières sont visées. On y trouve les établissements de crédit, les établissements de paiement et les établissements de monnaie électronique — statuts qu’utilisent la plupart des néobanques et fintechs de paiement —, les entreprises d’investissement, les sociétés de gestion, les assureurs et intermédiaires d’assurance, les infrastructures de marché, les plateformes de financement participatif, ainsi que les prestataires de services sur crypto-actifs agréés au titre du règlement MiCA.
En France, la supervision est assurée par l’ACPR pour la banque, les paiements et l’assurance, et par l’AMF pour les acteurs des marchés financiers.
2026 : de la conformité formelle à la supervision réelle
La surveillance des prestataires tiers critiques
La grande innovation de DORA est d’étendre le regard du régulateur au-delà des entités financières elles-mêmes. Les prestataires informatiques jugés critiques pour le système financier — typiquement de grands fournisseurs de cloud, d’infrastructure ou de services managés — sont désignés par les autorités européennes de surveillance (EBA, ESMA, EIOPA) et placés sous un cadre de supervision directe, avec un superviseur principal désigné, des demandes d’information, des inspections et des recommandations.
Ce dispositif, engagé à partir de 2025, monte en puissance en 2026. Les autorités disposent notamment de la possibilité d’imposer des astreintes pouvant atteindre 1 % du chiffre d’affaires mondial quotidien moyen du prestataire, pour une durée maximale de six mois, en cas de non-coopération. Pour une fintech, l’effet est indirect mais tangible : ses fournisseurs sont eux-mêmes soumis à une pression de conformité accrue, ce qui se traduit par des contrats plus détaillés et parfois par une révision tarifaire.
Le registre d’information devient un exercice annuel
Chaque entité financière doit tenir un registre d’information recensant l’ensemble de ses accords contractuels avec des prestataires de TIC : identifiants des fournisseurs, fonctions supportées, criticité, localisation des données, sous-traitance en chaîne. Ce registre est transmis chaque année aux autorités nationales, qui le consolident au niveau européen.
Le premier exercice, en 2025, a révélé un point de friction largement documenté par les régulateurs : la qualité des données. Identifiants LEI manquants, chaînes de sous-traitance incomplètes, taxonomies mal renseignées. En 2026, les autorités attendent un niveau de fiabilité supérieur, et le registre devient un outil de ciblage des contrôles.
Des délais de notification d’incident resserrés
Les normes techniques adoptées en 2025 précisent le rythme de notification d’un incident classé comme majeur : une notification initiale à bref délai après la classification de l’incident, un rapport intermédiaire dans les jours qui suivent, puis un rapport final au plus tard un mois après. Ces échéances supposent une chaîne de détection, de classification et d’escalade réellement outillée — ce qui, pour beaucoup de fintechs, a nécessité d’automatiser la remontée d’alertes plutôt que de s’appuyer sur des procédures manuelles.
Impact concret sur les fintechs
Un coût de conformité structurant
DORA ne crée pas seulement de la documentation : il consomme des ressources rares. Recrutement ou externalisation de profils RSSI et gestion des risques TIC, outillage de cartographie, tests de continuité, audits de prestataires, budget de tests d’intrusion. Pour une jeune société de paiement, ce coût pèse proportionnellement plus lourd que pour une banque établie, alors que le socle d’exigences est comparable.
Un effet secondaire s’observe déjà sur le marché : la conformité DORA devient un critère de sélection dans les appels d’offres et dans les due diligences d’investisseurs. Les fintechs qui documentent proprement leur dispositif en font un argument commercial vis-à-vis de partenaires bancaires.
Renégocier les contrats cloud et SaaS
DORA impose un contenu contractuel minimal pour les accords portant sur des fonctions critiques ou importantes : description complète des services, niveaux de service mesurables, localisation des données, droits d’accès et d’audit, obligations d’assistance en cas d’incident, conditions de résiliation et de réversibilité.
L’exigence la plus exigeante en pratique reste la stratégie de sortie : être capable de démontrer comment l’activité se poursuivrait si un prestataire clé devenait indisponible. Pour un acteur dont l’ensemble de l’infrastructure repose sur un seul fournisseur cloud, l’exercice est loin d’être théorique et peut conduire à revoir des choix d’architecture.
Un principe de proportionnalité, mais pas d’exemption
DORA prévoit un cadre simplifié de gestion du risque TIC pour certaines entités, notamment les microentreprises et quelques catégories d’acteurs de petite taille. Certaines structures très réduites — par exemple des intermédiaires d’assurance microentreprises ou de très petites institutions de retraite professionnelle — sont exclues du champ. Pour la grande majorité des fintechs agréées, en revanche, la proportionnalité ajuste l’intensité des mesures mais ne supprime aucun des cinq piliers.
Ce que DORA change pour les utilisateurs particuliers
Moins d’interruptions, mieux gérées
Le bénéfice attendu le plus direct concerne la continuité de service. Les pannes qui empêchent d’accéder à son application bancaire, de valider un paiement ou de consulter son solde relèvent précisément du périmètre visé. En imposant des plans de continuité testés, des objectifs de reprise chiffrés et des sauvegardes vérifiées, le règlement vise à réduire la fréquence et la durée de ces interruptions. Il ne les supprime pas : aucun cadre réglementaire ne rend une infrastructure infaillible.
Une meilleure remontée d’information
DORA prévoit que l’entité financière informe ses clients lorsqu’un incident majeur a une incidence sur leurs intérêts financiers, et les tienne informés des mesures prises. Concrètement, un particulier devrait être averti plus rapidement et plus clairement lorsqu’un incident affecte ses opérations ou ses données, plutôt que de le découvrir par une indisponibilité inexpliquée.
Une chaîne de sous-traitance plus lisible
La cartographie imposée aux acteurs financiers a un effet de transparence : les régulateurs disposent désormais d’une vision consolidée des dépendances du secteur. Si un même fournisseur d’infrastructure supporte des centaines d’établissements, cette concentration est identifiée et surveillée — un risque systémique jusqu’ici mal mesuré.
Ce que DORA ne fait pas
Il est utile de lever une confusion fréquente. DORA ne crée pas de droit à indemnisation pour le client en cas de panne, et n’a pas vocation à traiter la fraude ou les litiges de paiement : ces sujets relèvent d’autres textes, notamment la directive sur les services de paiement et les règles de protection des consommateurs. DORA ne porte pas non plus sur la protection des données personnelles, encadrée par le RGPD, même si les deux dispositifs se recoupent en cas de cyberattaque. C’est un règlement de résilience, orienté vers la stabilité du système et la supervision des acteurs.
Quelles priorités pour une fintech en 2026 ?
- Fiabiliser le registre d’information : identifiants normalisés, sous-traitance en chaîne renseignée, cohérence avec les contrats réels.
- Tester la chaîne d’incident de bout en bout : détection, classification, décision d’escalade, rédaction du rapport, dans les délais réglementaires.
- Documenter les stratégies de sortie des fournisseurs critiques, et non se contenter d’une clause contractuelle générique.
- Impliquer l’organe de direction : DORA place la responsabilité au niveau du conseil, avec une obligation de formation sur le risque TIC.
- Articuler DORA avec les autres cadres applicables : NIS2, MiCA pour les acteurs crypto, RGPD, et les travaux européens de simplification des obligations de déclaration en cours de discussion.
Conclusion
DORA est passé, en 2026, du statut de projet de conformité à celui de contrainte opérationnelle permanente. Pour les fintechs, il rehausse le niveau d’exigence attendu de tout acteur régulé et pèse davantage sur les structures récentes. Pour les particuliers, il agit en arrière-plan : une infrastructure financière européenne mieux cartographiée, mieux testée et plus rapide à signaler ses défaillances. Le règlement ne rend pas les incidents impossibles ; il vise à ce qu’ils soient anticipés, circonscrits et déclarés.
Cet article présente une synthèse d’information générale sur le règlement UE 2022/2554 et ne constitue pas un conseil juridique. Pour l’application à une situation particulière, il convient de se référer aux textes officiels et à un conseil qualifié.