DORA : Ce que chaque fintech doit savoir sur la résilience numérique

Qu'est-ce que le règlement DORA ?

Le règlement DORA (Digital Operational Resilience Act) est entré en application le 17 janvier 2025. Contrairement à une directive, DORA est un règlement européen directement applicable dans tous les États membres — pas besoin de transposition nationale.

Son objectif : garantir que le secteur financier européen puisse résister, répondre et se rétablir face à tout type de perturbation ou menace liée aux technologies de l'information et de la communication (TIC).

Qui est concerné ?

DORA s'applique à plus de 22 000 entités financières dans l'UE, ainsi qu'aux prestataires de services TIC qui les servent :

• Établissements de crédit (banques)
• Entreprises d'investissement
• Établissements de paiement et de monnaie électronique
• Fintechs et néobanques
• Sociétés de gestion d'actifs
• Compagnies d'assurance et de réassurance
• Plateformes de crowdfunding
• Prestataires de services sur crypto-actifs
• Prestataires tiers critiques de services TIC (cloud, SaaS, infrastructure)

Point crucial pour les startups SaaS : si vos clients sont des institutions financières, vous êtes indirectement soumis à DORA. Vos clients devront évaluer votre résilience et vous enverront des questionnaires de sécurité spécifiques.

Les 5 piliers de DORA

Pilier 1 : Gestion des risques TIC

Les entités financières doivent établir un cadre complet de gestion des risques TIC comprenant :

• Identification et classification de tous les actifs TIC
• Évaluation continue des risques et vulnérabilités
• Mesures de protection et de prévention
• Mécanismes de détection des anomalies
• Stratégie de communication en cas de crise

L'organe de direction est personnellement responsable de la définition et de l'approbation de la stratégie de résilience numérique.

Pilier 2 : Gestion et notification des incidents TIC

DORA impose un processus structuré de gestion des incidents :

• Classification des incidents selon des critères définis (clients affectés, durée, étendue géographique, perte de données, impact économique)
• Notification aux autorités compétentes pour les incidents majeurs
• Rapport intermédiaire sous 72 heures
• Rapport final sous 1 mois

Pilier 3 : Tests de résilience opérationnelle numérique

Les entités doivent effectuer régulièrement :

• Tests de vulnérabilité
• Analyses de code source ouvert
• Évaluations de sécurité réseau
• Tests de scénarios (simulations de crise)
• Tests de pénétration fondés sur la menace (TLPT) pour les entités les plus critiques — au moins tous les 3 ans

Pilier 4 : Gestion des risques liés aux tiers TIC

C'est le pilier qui impacte le plus les startups et fintechs SaaS :

• Tenue d'un registre complet de tous les prestataires TIC
• Évaluation des risques avant toute sous-traitance
• Clauses contractuelles obligatoires (SLA, droit d'audit, portabilité, sécurité)
• Stratégie de sortie pour chaque prestataire critique
• Surveillance continue des prestataires

Pilier 5 : Partage d'informations

DORA encourage le partage volontaire de renseignements sur les cybermenaces entre entités financières, dans un cadre de confiance et dans le respect du RGPD.

Calendrier et sanctions

DORA est pleinement applicable depuis le 17 janvier 2025. Les autorités nationales compétentes (AMF, ACPR en France) supervisent la conformité et peuvent imposer :

• Des mesures correctives contraignantes
• Des sanctions administratives
• La publication des sanctions (name and shame)

Pour les prestataires TIC critiques désignés, un cadre de surveillance européen direct est mis en place avec des pouvoirs d'inspection et de sanction.

DORA vs NIS 2 : quelles différences ?

DORA et NIS 2 sont complémentaires mais distincts :

• DORA est spécifique au secteur financier et va plus en détail sur les tests de résilience et la gestion des tiers TIC
• NIS 2 couvre un périmètre sectoriel plus large mais avec des exigences plus générales
• En cas de conflit, DORA prévaut comme lex specialis pour le secteur financier

Comment se préparer en tant que fintech ?

1. Cartographier vos services TIC : identifiez tous les systèmes, prestataires et flux de données
2. Évaluer vos risques : utilisez un cadre structuré (ISO 27005 ou EBIOS RM)
3. Renforcer vos contrats : incluez les clauses DORA dans vos contrats fournisseurs et clients
4. Planifier vos tests : établissez un programme de tests de résilience proportionné à votre taille
5. Automatiser la documentation : utilisez Compli.st pour centraliser vos preuves de conformité et répondre aux questionnaires de sécurité de vos clients financiers

Impact concret sur les fintechs

Les fintechs font face à une double pression :

• En tant qu'entités régulées : conformité directe aux 5 piliers
• En tant que fournisseurs : questionnaires de sécurité renforcés de la part de banques et assureurs clients

Les entreprises qui anticipent cette exigence avec un Trust Center et une automatisation des réponses transforment la contrainte réglementaire en avantage commercial.

Préparez votre conformité DORA avec Compli.st →