Cet article fournit une information générale. Voir les Mentions légales & avertissement .
DORA s'applique aux entités financières de l'UE depuis le 17 janvier 2025. Si votre entité est couverte, les obligations s'appliquent dès maintenant, pas à une échéance future. Le règlement couvre la plupart des entités financières réglementées, y compris les petits établissements de paiement, les établissements de monnaie électronique, les entreprises d'investissement et les prestataires de services sur crypto-actifs. Depuis novembre 2025, il couvre aussi une liste croissante de prestataires TIC « critiques » sous supervision directe de l'UE. Les micro-entreprises bénéficient d'un régime allégé au titre de la proportionnalité. Elles n'obtiennent pas d'exemption.
Points clés à retenir
- DORA est déjà en vigueur. Le règlement est applicable depuis le 17 janvier 2025. Si vous dirigez une PME fintech dans le périmètre, vous êtes déjà dans la fenêtre de conformité.
- Le périmètre est large et touche directement de nombreuses PME fintech. L'article 2(1) désigne les petits établissements de paiement, les établissements de monnaie électronique, les entreprises d'investissement, les plateformes de financement participatif et les prestataires de services sur crypto-actifs. La taille seule ne vous exclut pas du périmètre.
- La proportionnalité allège le régime. Elle ne le supprime pas. Les micro-entreprises et certaines entités plus petites bénéficient d'un cadre de gestion des risques TIC allégé : moins d'exigences formelles, pas zéro exigence.
- Les prestataires TIC des entités financières sont désormais sous le même projecteur. En novembre 2025, les superviseurs européens ont désigné les premiers prestataires TIC « critiques » soumis à une supervision directe. Le pilier « risque lié aux tiers » de DORA est appliqué dès maintenant, pas de façon théorique.
Qui est réellement dans le périmètre
La liste de l'article 2(1) de DORA est longue. Le cœur pertinent pour la fintech comprend les établissements de crédit, les établissements de paiement (y compris ceux exemptés au titre de la DSP2/DSP3), les établissements de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs, les prestataires de services de financement participatif, et les sociétés de gestion, entre autres. Quelques catégories restent hors périmètre : certains gestionnaires de fonds d'investissement alternatifs, et les personnes exemptées au titre de MiFID II.
Si vous dirigez une PME fintech et qu'une partie de votre activité est agréée ou enregistrée dans l'une des catégories ci-dessus, DORA s'applique directement à vous, quel que soit votre effectif. Les dirigeants pensent souvent que DORA « concerne les banques ». En pratique, le texte descend profondément dans la couche des petites entités fintech réglementées. Pour une analyse globale du cadre et des seuils, consultez notre guide réglementaire DORA .
La question de la proportionnalité : êtes-vous exempté si vous êtes petit ?
Non. Vous pouvez en revanche bénéficier d'un régime allégé. Selon le Baromètre Themio de la conformité numérique , plus de 51 % des entités financières de taille intermédiaire n'ont pas encore formalisé leur registre des prestataires tiers ni testé leurs délais d'alerte sous 24h. DORA intègre un principe de proportionnalité : les micro-entreprises et certaines entités financières plus petites ou non interconnectées peuvent appliquer un cadre de gestion des risques TIC simplifié plutôt que l'ensemble complet des exigences conçu pour les grandes institutions systémiques. Concrètement :
- Vous avez toujours besoin d'un cadre de gestion des risques TIC. Il peut être plus simple et adapté à votre taille et à votre profil de risque, mais il ne peut pas être absent.
- Vous devez toujours classer et signaler les incidents TIC majeurs selon les mêmes délais que les grandes entités (voir ci-dessous). La proportionnalité réduit la complexité du cadre, pas l'obligation de signalement des incidents.
- Vous devez toujours tenir un registre de vos prestataires TIC tiers et formaliser des garanties contractuelles avec eux.
Confirmez votre traitement de proportionnalité auprès de votre autorité nationale compétente (comme l'AMF ou l'ACPR en France, la BaFin en Allemagne ou la CSSF au Luxembourg). Les limites exactes du régime simplifié sont fixées par des normes techniques réglementaires (RTS), et se tromper dans un sens ou dans l'autre gaspille du budget ou crée une exposition réglementaire.
Les cinq piliers, en pratique pour une PME fintech
| Pilier | Ce qu'il exige | Réalité pour une PME fintech |
|---|---|---|
| Gestion des risques TIC | Gouvernance, identification des risques, politique de sécurité, continuité d'activité, tests annuels | Généralement le plus gros chantier si vous n'avez pas déjà un cadre formel de gestion des risques TIC |
| Classification et signalement des incidents | Incidents TIC majeurs : rapport initial sous 24h, rapport intermédiaire sous 72h, rapport final sous 1 mois | Les délais sont serrés et non négociables. C'est souvent là qu'un processus non testé échoue en premier. |
| Tests de résilience opérationnelle numérique | Évaluations de vulnérabilité, tests d'intrusion, simulations de crise ; tests avancés fondés sur la menace tous les 3 ans pour les entités systémiques | La plupart des PME fintech relèvent des tests de base, pas du régime avancé fondé sur la menace. Vérifiez dans quelle catégorie vous vous situez. |
| Gestion des risques liés aux prestataires TIC tiers | Registre des prestataires, garanties contractuelles, supervision des prestataires « critiques » | Pertinent si vous dépendez de fournisseurs cloud, de banque cœur de métier ou d'infrastructure de paiement. Vérifiez si l'un de vos fournisseurs figure désormais sur la liste des prestataires critiques de l'UE. |
| Partage d'informations | Dispositifs volontaires de partage de renseignements sur les menaces | Le pilier le moins contraignant. Facultatif, mais de plus en plus attendu en pratique. |
Pourquoi la désignation de novembre 2025 vous concerne
Le 18 novembre 2025, les autorités européennes de surveillance (AES — ABE, ESMA et AEAPP) ont désigné le premier lot de prestataires TIC « critiques » au titre de DORA : des entités qui fournissent infrastructure cœur, services cloud et services de données aux entités financières de tout type et de toute taille à travers l'UE. Ces prestataires sont désormais sous supervision directe de l'UE.
Cela concerne une PME fintech même si elle ne figure pas elle-même parmi les prestataires désignés. Si l'un de vos fournisseurs TIC figure sur cette liste, votre propre registre de risques tiers et vos garanties contractuelles avec lui opèrent désormais dans un environnement supervisé en direct, plus dans un cadre théorique. Vérifiez votre registre de fournisseurs par rapport à la liste de désignation publiée et assurez-vous que vos contrats intègrent les clauses obligatoires d'audit et de résiliation de l'article 30.
Foire aux questions
Cet article fournit une information générale sur les évolutions réglementaires européennes. Il ne constitue pas un conseil juridique. Themio ne remplace pas un avocat, un spécialiste des risques TIC, ou votre autorité nationale compétente : confirmez votre périmètre DORA spécifique et votre traitement de proportionnalité auprès de conseils qualifiés. Sources : AMF France — présentation du règlement DORA ; Autorité bancaire européenne — les AES désignent les prestataires TIC critiques, 18 novembre 2025 (vérifié le 24 août 2026). Source primaire : Règlement (UE) 2022/2554 (DORA) . Dernière mise à jour : 16 septembre 2026.