DORA pour PME : ce que le règlement européen change pour les entreprises du secteur financier

Depuis le 17 janvier 2025, un règlement européen impose à tout le secteur financier une remise à plat complète de sa gestion du risque informatique : DORA, le Digital Operational Resilience Act. Contrairement à NIS2, encore en attente de sa loi française, DORA s’applique directement, sans transposition, et sans délai supplémentaire. Banques, assurances, sociétés de gestion, courtiers, fintechs : des milliers d’entreprises françaises du secteur financier sont concernées, avec des obligations très concrètes de gestion des risques, de notification d’incidents et de contrôle de leurs prestataires informatiques.

Ce guide détaille ce que DORA change réellement pour les entreprises françaises du secteur financier : qui est concerné, qui bénéficie d’une exemption PME, ce que couvrent les cinq piliers du règlement, ce qu’implique le nouveau régime de surveillance des prestataires informatiques critiques, et surtout, comment une PME non financière peut se retrouver concernée sans le savoir, simplement parce qu’elle héberge, développe ou maintient les systèmes d’un client régulé.

Cet article complète notre guide complet des nouvelles obligations réglementaires 2026, qui couvre également NIS2, le Cyber Resilience Act et la migration post-quantique.

Qu’est-ce que DORA et pourquoi il s’applique déjà ?

DORA, pour Digital Operational Resilience Act, est le règlement européen 2022/2554 relatif à la résilience opérationnelle numérique du secteur financier. Il est applicable depuis le 17 janvier 2025 dans l’ensemble des 27 États membres. La différence essentielle avec une directive comme NIS2 tient à sa nature juridique : un règlement européen s’applique directement dans le droit national dès son entrée en application, sans qu’une loi de transposition soit nécessaire. C’est pourquoi DORA est aujourd’hui pleinement opposable aux entreprises françaises, alors que NIS2 attend toujours l’adoption définitive de sa loi de transposition.

L’objectif de DORA est d’harmoniser, à l’échelle européenne, la façon dont les entités financières gèrent le risque lié aux technologies de l’information et de la communication (TIC). Avant DORA, chaque État membre et chaque régulateur sectoriel (banque, assurance, marchés financiers) avait ses propres exigences, parfois incohérentes. DORA unifie ces règles autour de cinq piliers communs : gestion du risque TIC, gestion des incidents, tests de résilience, gestion des prestataires tiers et partage d’informations sur les menaces.

Un point de doctrine important : lorsqu’une entité est à la fois soumise à NIS2 et à DORA, c’est DORA qui prévaut pour tout ce qui concerne la gestion du risque TIC, en tant que texte sectoriel plus spécifique (principe de la « lex specialis »). Une banque ou une compagnie d’assurance n’a donc pas à appliquer les deux référentiels en parallèle sur ce périmètre, mais doit malgré tout rester attentive aux obligations NIS2 qui ne sont pas couvertes par DORA, notamment si elle exerce d’autres activités non financières.

Qui est concerné par DORA ? Entités et exemptions PME

DORA définit un périmètre très large, qui couvre une vingtaine de catégories d’entités financières : établissements de crédit, entreprises d’investissement, plateformes de négociation, sociétés de gestion d’OPCVM et de FIA, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, plateformes de financement participatif, organismes d’assurance et de réassurance, intermédiaires d’assurance, et bien d’autres. Contrairement à une idée reçue, la taille de l’entreprise ne suffit pas toujours à l’exclure du champ d’application : certaines catégories bénéficient d’une exemption PME explicite, d’autres non.

Le principe de proportionnalité, prévu à l’article 16 du règlement, permet à certaines entités de petite taille d’appliquer un cadre simplifié de gestion du risque TIC plutôt que le régime complet. Mais ce cadre simplifié reste une obligation réelle, pas une dispense totale.

Ce tableau reste une base de lecture générale : le statut exact dépend du texte de niveau 2 applicable à chaque catégorie d’entité et doit être confirmé auprès de l’ACPR ou de l’AMF. Notre guide complet des obligations réglementaires 2026 détaille comment DORA s’articule avec NIS2, le Cyber Resilience Act et la migration post-quantique.

Les 5 piliers de DORA expliqués concrètement

DORA structure ses obligations autour de cinq piliers. Voici ce que chacun implique concrètement pour une entité financière.

• Gestion du risque TIC (articles 5 à 16) : un cadre de gouvernance formalisé, validé par l’organe de direction, avec cartographie des systèmes, politique de sécurité, plan de continuité et de reprise d’activité. Les petites entités éligibles peuvent appliquer un cadre simplifié, mais celui-ci reste documenté et opposable.
• Gestion, classification et notification des incidents (articles 17 à 23) : tout incident TIC majeur doit être classifié selon des critères précis (nombre de clients affectés, durée de l’interruption, pertes de données, réputation, criticité des services touchés) puis notifié à l’autorité compétente en trois temps : une notification initiale rapide, un rapport intermédiaire, puis un rapport final une fois l’incident résolu.
• Tests de résilience opérationnelle numérique (articles 24 à 27) : des tests de base (scans de vulnérabilités, analyses de sécurité réseau) doivent être réalisés chaque année par toutes les entités, tandis que les entités jugées les plus systémiques doivent en plus réaliser un test de pénétration piloté par la menace, ou TLPT, tous les trois ans.
• Gestion du risque lié aux prestataires tiers de TIC (articles 28 à 44) : tenue d’un registre exhaustif des prestataires informatiques, clauses contractuelles obligatoires (droit d’audit, réversibilité, plan de sortie), et surveillance directe par les autorités européennes des prestataires jugés « critiques ».
• Partage d’informations sur les cybermenaces (article 45) : les entités financières sont encouragées, sur une base volontaire, à partager entre elles des indicateurs de compromission, des tactiques d’attaquants et des alertes, dans des cadres de confiance sécurisés.

Le risque caché pour les PME prestataires informatiques

C’est le point le plus mal compris de DORA par les dirigeants de PME non financières : vous n’avez pas besoin d’être une banque ou un assureur pour être concerné. Le quatrième pilier de DORA impose aux entités financières de gérer le risque porté par leurs prestataires de TIC, ce qui inclut l’hébergement, le développement logiciel, la maintenance informatique, le cloud, la cybersécurité ou l’édition de logiciels métier. Si votre PME fournit l’un de ces services à une banque, une compagnie d’assurance, une société de gestion ou un courtier, vous êtes mécaniquement intégré dans sa chaîne de conformité DORA, même sans être vous-même une entité régulée.

Concrètement, cela se traduit par des évolutions contractuelles que beaucoup de PME découvrent au moment du renouvellement de leur contrat avec un client financier :

• Un droit d’audit et de contrôle sur site ou à distance, exercé par le client ou un tiers mandaté
• Des obligations de notification d’incident avec des délais contractuels souvent plus courts que ceux imposés par la réglementation elle-même
• Une clause de réversibilité et un plan de sortie documenté, pour garantir que le client peut changer de prestataire sans rupture de service
• Une transparence sur la sous-traitance en cascade, c’est-à-dire vos propres prestataires et hébergeurs
• Une localisation géographique précise des données, avec une attention particulière portée à l’exposition à des législations extraterritoriales

Pour rester un fournisseur attractif et conforme, une PME prestataire a intérêt à documenter proactivement sa posture de sécurité avant que son client ne le lui impose dans l’urgence. Notre modèle d’audit cybersécurité PME et notre partenaire SIAC Media avec son audit cybersécurité pour PME permettent de structurer cette démarche avant qu’elle ne devienne une exigence contractuelle contraignante.

Tests de résilience et TLPT : ce qui attend les grandes entités

Le régime de tests de DORA fonctionne à deux vitesses. Toutes les entités financières doivent réaliser chaque année des tests de résilience de base : scans de vulnérabilités, analyses de sécurité des réseaux, revues de configuration, et évaluations de sécurité physique le cas échéant. Ce socle s’applique quelle que soit la taille de l’entité, avec une intensité ajustée à son profil de risque.

Au-dessus de ce socle, les articles 26 et 27 de DORA imposent aux entités identifiées comme les plus systémiques, essentiellement les grandes banques et les grands assureurs, de réaliser un test de pénétration piloté par la menace, ou TLPT (Threat-Led Penetration Testing). Ce test simule les tactiques, techniques et procédures d’attaquants réels, sur la base de renseignements sur la menace spécifiques à l’entité testée, et doit être renouvelé au moins tous les trois ans. La Banque centrale européenne a publié en novembre 2025 son guide de mise en œuvre TIBER-EU pour les établissements dits « significatifs », avec une première échéance fixée à janvier 2028. Les testeurs externes doivent être accrédités, disposer d’une expertise reconnue en renseignement sur la menace et en tests d’intrusion offensifs, et souscrire une assurance responsabilité professionnelle.

Pour la grande majorité des PME du secteur financier, en particulier les courtiers, les CIF ou les petites sociétés de gestion, le TLPT ne s’applique pas directement : seules les entités explicitement désignées par leur régulateur y sont soumises. C’est un point rassurant à connaître, car la confusion entre les tests de base annuels, obligatoires pour tous, et le TLPT, réservé à une poignée de grandes entités, est fréquente.

DORA, risque de concentration et souveraineté numérique

Le pilier « prestataires tiers » de DORA introduit un régime inédit en Europe : la surveillance directe des prestataires de TIC jugés « critiques » pour la stabilité du secteur financier, par l’une des trois autorités européennes de surveillance, l’ABE, l’AEMF ou l’AEAPP. Une première liste de ces prestataires critiques a été publiée le 18 novembre, conformément aux articles 31 à 44 du règlement. Ces prestataires doivent désormais fournir des informations régulières à leur autorité de supervision, participer à des tests de résilience et respecter des exigences de sécurité spécifiques.

Cette évolution traduit une préoccupation de plus en plus explicite des régulateurs européens : le risque de concentration excessive du secteur financier autour d’un petit nombre de grands fournisseurs cloud et technologiques, souvent américains et donc soumis au CLOUD Act, cette loi qui autorise les autorités américaines à exiger l’accès à des données hébergées hors des États-Unis dès lors que l’entreprise qui les héberge est américaine. DORA impose ainsi aux entités financières d’évaluer ce risque de concentration et la dépendance juridique qu’il implique dans leur registre de prestataires. Pour les PME françaises du secteur financier, privilégier un hébergement opéré en Europe, hors de portée du CLOUD Act, est devenu un argument de conformité autant qu’un choix de souveraineté. Nous détaillons cette problématique dans notre guide de la cybersécurité souveraine anti-CLOUD Act.

Plan d’action DORA pour PME

Que votre PME soit directement régulée ou simple prestataire d’une entité financière, voici la marche à suivre pour avancer méthodiquement.

1. Déterminez votre statut exact auprès de l’ACPR ou de l’AMF : entité pleinement soumise, éligible au cadre simplifié, exemptée, ou simple prestataire d’une entité régulée.
2. Si vous êtes prestataire, faites auditer votre propre posture de sécurité avant que votre client ne vous l’impose. Notre partenaire SIAC Media propose un audit cybersécurité pour PME adapté à cette démarche.
3. Tenez à jour un registre de vos propres prestataires informatiques, avec leur localisation, leur criticité et leur exposition à des législations extraterritoriales.
4. Formalisez votre gouvernance du risque TIC dans une politique de sécurité écrite. Consultez notre modèle de politique de sécurité informatique pour PME et, si votre activité recourt à l’IA, le générateur de charte IA de SIAC Media.
5. Mettez à jour vos contrats clients et fournisseurs pour intégrer les clauses désormais attendues : droit d’audit, notification d’incident, réversibilité.
6. Budgétez cette mise en conformité et couvrez le risque résiduel par une assurance adaptée. Consultez nos guides sur le budget cybersécurité pour PME et sur l’assurance cyber pour PME.

Foire aux questions sur DORA

Ma PME de courtage en assurance est-elle exemptée de DORA ?

Possiblement, oui : les intermédiaires d’assurance et de réassurance sont exemptés de DORA s’ils emploient moins de 10 personnes et si leur chiffre d’affaires annuel ou leur bilan n’excède pas 2 millions d’euros. Au-delà de ces seuils, l’exemption ne s’applique plus et le régime complet redevient applicable.

DORA remplace-t-il NIS2 pour les entités financières ?

Sur le volet gestion du risque TIC, oui : DORA prévaut sur NIS2 pour les entités financières, en tant que texte sectoriel plus spécifique. Mais une entité financière qui exerce d’autres activités non couvertes par DORA peut rester soumise à NIS2 sur ce périmètre complémentaire.

Que risque une entité qui ne se conforme pas à DORA ?

Les sanctions relèvent des régulateurs nationaux (ACPR, AMF) selon leurs pouvoirs habituels de police administrative, avec des montants qui varient selon la gravité du manquement et le secteur concerné. Au-delà de la sanction financière, une non-conformité DORA peut aussi compromettre l’agrément de l’entité ou sa relation contractuelle avec ses partenaires.

Dois-je changer d’hébergeur cloud à cause de DORA ?

Pas nécessairement dans l’urgence, mais DORA vous oblige à évaluer et documenter le risque de concentration et l’exposition juridique de vos prestataires informatiques. Si votre hébergeur actuel est soumis à une législation extraterritoriale comme le CLOUD Act, il est recommandé d’envisager une alternative européenne pour réduire ce risque documenté dans votre registre.

Le TLPT concerne-t-il les petites structures ?

Non, dans l’immense majorité des cas. Le test de pénétration piloté par la menace ne s’applique qu’aux entités explicitement désignées comme systémiques par leur régulateur, avec une première échéance fixée à janvier 2028. Les PME du secteur financier restent soumises aux tests de résilience de base, réalisés chaque année, mais pas au TLPT.

Conclusion

DORA n’est pas un texte réservé aux grandes banques : entre les exemptions partielles selon les catégories d’entités et l’effet de cascade contractuel sur les prestataires informatiques, une part croissante des PME françaises, financières ou non, se retrouve concernée. Vérifier son statut exact, documenter sa posture de sécurité et anticiper les nouvelles exigences contractuelles reste la meilleure protection, aussi bien réglementaire que commerciale, face à des clients de plus en plus exigeants sur ce terrain.

Pour une vue d’ensemble des autres textes qui structurent 2026 et 2027, consultez notre guide complet des nouvelles obligations réglementaires cybersécurité. Notre guide complet de la cybersécurité pour PME et notre panorama des technologies IA de cybersécurité complètent utilement cette lecture.