Secteur fintech

Fintech et DORA : bâtir un programme de résilience proportionné

Une fintech dépend de quelques prestataires TIC pour presque tout : cloud, paiement, KYC, cœur bancaire. C'est exactement ce que DORA encadre. Le règlement (UE) 2022/2554 s'applique depuis le 17 janvier 2025, sans période transitoire. Cette page décrit les obligations qui pèsent le plus sur une jeune entité financière et la façon de les traiter dans le bon ordre.

Par Younes Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le contexte : une activité régulée qui repose sur des tiers

Le modèle d'une fintech est d'assembler des services. Le revers est une concentration du risque sur quelques fournisseurs, souvent hors de l'Union. DORA ne l'interdit pas. Il exige que la dépendance soit connue, documentée et contractuellement maîtrisée.

Le règlement s'applique à l'entité agréée, pas à son statut de start-up : un établissement de paiement de vingt personnes relève des mêmes articles qu'un groupe bancaire. La différence passe par la proportionnalité de l'article 4 et, pour certaines entités, par le cadre simplifié de l'article 16.

Les obligations clés pour une fintech

Gouvernance, article 5

L'organe de direction définit, approuve et répond du cadre de gestion du risque lié aux TIC. Ce n'est pas une fonction déléguable à l'équipe technique.

Cadre de gestion du risque TIC, articles 6 à 15

Identification des actifs et des fonctions, protection, détection, réponse et rétablissement, sauvegardes, communication.

Incidents majeurs, articles 17 à 19

Classification des incidents et notification à l'autorité compétente. Le règlement délégué (UE) 2025/301 fixe la notification initiale dans les 4 heures suivant la classification comme majeur et au plus tard 24 heures après la prise de connaissance.

Tests, articles 24 à 27

Programme de tests de résilience au moins annuel pour les systèmes qui soutiennent des fonctions critiques ou importantes. Les tests fondés sur la menace (TLPT) tous les trois ans visent seulement les entités désignées par l'autorité.

Prestataires TIC, articles 28 à 30

Registre d'information de tous les accords TIC (article 28.3) et clauses contractuelles obligatoires (article 30), renforcées pour les fonctions critiques ou importantes.

Cadre simplifié et proportionnalité

L'article 16 prévoit un cadre de gestion du risque TIC simplifié pour une liste fermée d'entités, dont les établissements de paiement et de monnaie électronique exemptés au titre de leurs directives sectorielles et les petites entreprises d'investissement non interconnectées. Une fintech agréée sans exemption n'en relève pas.

La proportionnalité de l'article 4 s'applique à tous : taille, profil de risque, nature et complexité des services. Elle module l'intensité des mesures, elle ne supprime aucune obligation. Votre statut exact au regard de l'article 16 doit être vérifié sur votre décision d'agrément ou d'exemption.

Les risques en cas de manquement

DORA laisse aux États membres la fixation des sanctions administratives et des mesures correctrices (article 50). L'exposition principale d'une fintech est donc prudentielle : injonctions de l'autorité, réserves lors d'une demande d'extension d'agrément, questions des partenaires bancaires lors de leurs propres revues de prestataires.

Le risque est aussi commercial. Les établissements qui vous intègrent comme prestataire TIC doivent inscrire votre contrat dans leur registre et y faire figurer les clauses de l'article 30. Un contrat non conforme ralentit chaque signature.

L'approche de Sila

Le registre d'abord, parce que c'est lui qui révèle quels contrats et quelles fonctions sont critiques. Les contrats ensuite, en traitant dans la même passe l'article 30 de DORA et l'article 28 du RGPD. La procédure d'incident enfin, articulée avec la notification de violation de données de l'article 33 du RGPD, dont le délai et le destinataire diffèrent.

Sila intervient comme conseil juridique et réglementaire. Les tests techniques et l'outillage de sécurité restent du ressort de vos équipes ou de prestataires spécialisés ; nous en cadrons l'exigence et la documentation.

Ce qui pourrait changer : le point unique de notification

La Commission a proposé le 19 novembre 2025, dans un omnibus numérique distinct de celui sur l'IA, un point d'entrée unique pour notifier les incidents relevant de NIS2, du RGPD et de DORA. À la date de revue de cette page, ce texte n'est pas adopté et les obligations de DORA restent inchangées. Le Conseil a arrêté sa position le 21 octobre 2026, avec des points d'entrée nationaux à la place du point unique européen ; le Parlement européen n'avait pas encore arrêté la sienne à cette date.

La méthode, en quatre étapes

  1. 01Diagnostic d'écart

    Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.

  2. 02Cartographie

    Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.

  3. 03Mesures techniques et organisationnelles

    Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.

  4. 04Dossier de preuves

    Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.

Devis personnalisé sous 48 h

Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.

La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.

Ce que ça change pour vous

  • Votre organe de direction est personnellement responsable du cadre de risque TIC.
  • Chaque contrat TIC doit figurer au registre et contenir les clauses de l'article 30.
  • Un incident majeur se notifie en heures, pas en jours.
  • Vos clients régulés vous demanderont les mêmes garanties contractuelles.

Faire le point sur votre exposition DORA

Un premier échange permet de qualifier votre entité au regard des articles 2 et 16 et d'identifier les contrats à reprendre en priorité.

Prendre rendez-vous

Questions fréquentes

Une fintech en phase de démarrage est-elle concernée par DORA ?

Oui dès qu'elle est agréée dans l'une des catégories de l'article 2.1 du règlement (UE) 2022/2554. La taille ne fait pas sortir du champ : elle joue sur la proportionnalité (article 4) et, pour certaines entités exemptées, sur le cadre simplifié de l'article 16.

Mon fournisseur cloud doit-il être conforme à DORA ?

Le prestataire TIC n'est soumis directement au cadre de supervision que s'il est désigné critique au niveau européen (article 31). En revanche, c'est à vous d'obtenir dans votre contrat les clauses de l'article 30 et d'inscrire l'accord au registre de l'article 28.3.

En combien de temps faut-il notifier un incident majeur ?

Selon l'article 5 du règlement délégué (UE) 2025/301, la notification initiale intervient dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après sa prise de connaissance.

DORA remplace-t-il le RGPD pour les incidents ?

Non. Un incident TIC qui touche des données personnelles peut appeler à la fois une notification DORA à l'autorité financière et une notification de violation à la CNIL au titre de l'article 33 du RGPD. Les deux procédures doivent être articulées.

Les tests de pénétration fondés sur la menace sont-ils obligatoires ?

Seulement pour les entités désignées par l'autorité compétente selon les critères de l'article 26. Le programme de tests de l'article 24, lui, concerne toutes les entités, avec une revue au moins annuelle pour les systèmes qui soutiennent des fonctions critiques ou importantes.

Ce que ce régime déclenche ailleurs

Huit questions pour situer votre entreprise au regard du RGPD, de l'AI Act, de NIS2 et de DORA.

Simulateur d'exposition : quels textes vous concernent

La page de référence sur le règlement (UE) 2022/2554, article par article.

Le pilier DORA : registre TIC et clauses contractuelles

Le volet données personnelles d'une fintech : mandat de DPO, registre, AIPD et sous-traitants.

DPO externalisé pour fintech

Les clauses de l'article 28 du RGPD se négocient dans les mêmes contrats que celles de l'article 30 de DORA.

Les obligations du RGPD

L'article 4 de NIS2 cède la place à DORA pour les entités financières, sans dispenser de vérifier les autres activités.

NIS2 et entités financières

L'auteur

Younes Lahrach est le fondateur et directeur de Sila International Advisory. Juriste RGPD et délégué à la protection des données externe depuis juillet 2025, il est titulaire d'un master 2 de droit de l'Union européenne, spécialité protection des données, de l'Université de Lille, et d'un MBA International Finance de Middlesex University. Il intervient comme legal consultant : il n'est pas avocat.

Son parcours →

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.