Votre PME édite un SaaS, gère l'infogérance d'un parc, développe des applications ou héberge des données. Parmi vos clients figurent une banque régionale, un courtier en assurance, une fintech. Un matin, leur service achats vous envoie un avenant : clauses d'audit, obligation de notifier tout incident sous quelques heures, plan de réversibilité, droit d'inspection. Vous n'êtes pas une institution financière — alors pourquoi ces exigences atterrissent-elles sur votre bureau ?
La réponse tient en cinq lettres : DORA. Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier est applicable depuis janvier 2025. Il vise directement les banques, assureurs, sociétés de gestion et autres entités financières. Mais il ne s'arrête pas à leur porte : il leur impose de maîtriser le risque lié à leurs prestataires de services TIC — c'est-à-dire vous, dès lors que votre logiciel ou votre service soutient une fonction de leur activité.
Autrement dit, vous pouvez être « concerné par DORA » sans figurer une seule fois dans le texte. Pas par la loi directement, mais par le contrat. Et ce glissement, mal anticipé, fait perdre des appels d'offres ; bien préparé, il en fait gagner.
DORA en une phrase : la finance, mais pas seulement
DORA harmonise, à l'échelle européenne, la manière dont le secteur financier gère son risque numérique. Là où chaque régulateur avait ses propres attentes, le règlement pose un socle commun autour de cinq piliers : la gouvernance et la gestion du risque TIC, la gestion et la notification des incidents, les tests de résilience, la maîtrise du risque lié aux prestataires TIC tiers, et le partage d'informations sur les menaces.
Le quatrième pilier est celui qui vous concerne. Une entité financière ne peut plus sous-traiter une brique numérique sans en répondre. Elle doit cartographier ses prestataires, encadrer chaque contrat, et démontrer à son régulateur qu'elle garde la main. Cette responsabilité, elle ne peut la tenir qu'en la répercutant, pour partie, sur ses fournisseurs.
« Prestataire de services TIC » : suis-je concerné ?
La notion est volontairement large. Un prestataire de services TIC, au sens de DORA, fournit de façon continue des services numériques à une entité financière. Cela englobe bien plus que le cloud :
- l'édition de logiciels métier ou de SaaS (facturation, KYC, scoring, RH, signature électronique…) ;
- l'infogérance, l'hébergement, l'administration de systèmes ou de bases de données ;
- le développement d'applications sur mesure et la maintenance associée ;
- la fourniture de services de sécurité, de supervision ou de sauvegarde ;
- les plateformes d'automatisation ou d'échange de données interconnectées au système d'information du client.
Deux nuances importantes, par honnêteté. D'abord, être « concerné » ne signifie pas être directement régulé : les obligations légales pèsent sur l'entité financière, pas sur vous. Vous les recevez par ricochet contractuel. Ensuite, le statut de « prestataire TIC critique », placé sous la supervision directe des autorités européennes de surveillance, est réservé à une poignée d'acteurs systémiques (grands hyperscalers, infrastructures massives) : une PME n'en relève pas. Votre réalité, c'est le contrat, le questionnaire de sécurité et l'avenant — pas Bruxelles.
Les exigences qui redescendent jusqu'à vous
Concrètement, ce que votre client financier doit obtenir de vous se traduit par un jeu de clauses désormais quasi incontournables :
- Description précise du service et des fonctions soutenues, avec des niveaux de service (SLA) mesurables.
- Localisation des données et des traitements, et conditions de toute sous-traitance en chaîne.
- Droit d'audit et d'accès : votre client — et son régulateur — peut demander à inspecter, contrôler, obtenir des preuves.
- Assistance en cas d'incident et notification rapide, pour que l'entité financière tienne ses propres délais déclaratifs.
- Exigences de sécurité et de continuité, participation à des tests de résilience.
- Stratégie de sortie et réversibilité : pouvoir récupérer ses données et changer de prestataire sans rupture de service.
Vous serez aussi inscrit dans le « registre d'information » que chaque entité financière tient sur l'ensemble de ses prestataires TIC. Attendez-vous, en pratique, à renseigner des questionnaires détaillés et à documenter votre propre posture de sécurité.
DORA n'est pas NIS2 (et vous pouvez relever des deux)
La confusion est fréquente. NIS2 (directive (UE) 2022/2555, transposée en France en 2025, pilotée par l'ANSSI) vise un large éventail d'entités « essentielles » et « importantes » dans de nombreux secteurs, et impose des obligations directes de cybersécurité à environ quinze mille entités françaises. DORA, lui, est un règlement sectoriel : il prime pour le risque numérique du secteur financier.
Pour une PME tech, les deux régimes ne s'excluent pas. Vous pouvez :
- relever directement de NIS2 si votre propre activité vous qualifie d'entité importante ou essentielle ;
- et, en parallèle, être soumis contractuellement aux exigences DORA parce que vous servez des clients financiers.
Bonne nouvelle : les deux tirent dans le même sens (gouvernance du risque, gestion des incidents, maîtrise de la chaîne de sous-traitance). Un socle de sécurité solide vous sert des deux côtés.
De la contrainte à l'argument commercial
Il y a deux façons de vivre DORA. La subir : découvrir l'avenant la veille de la signature, improviser les réponses au questionnaire de sécurité, perdre le marché face à un concurrent mieux préparé. Ou l'anticiper : arriver avec un dossier prêt, des clauses déjà travaillées, des preuves de votre posture. Dans un secteur où la confiance est le produit, être « DORA-ready » devient un différenciateur qui ouvre des portes que vos concurrents laissent fermées.
Comment Sedona peut aider
Répondre à un questionnaire DORA commence par une évidence trop souvent négligée : savoir ce que l'on expose sur Internet. Sedona Radar cartographie votre surface d'attaque externe — ports ouverts, configuration DNS et messagerie (SPF, DKIM, DMARC), certificats TLS, sous-domaines oubliés, vulnérabilités connues — et produit un score de conformité indicatif au regard de plusieurs référentiels. C'est une mesure, pas une certification : elle vous donne l'état des lieux factuel à joindre à un dossier, à corriger avant un audit client, et à suivre dans le temps. Pour aller plus loin, un audit de surface manuel ou une reconnaissance OSINT (sur informations publiques et avec votre accord écrit) documentent votre exposition réelle. Commencez par un scan gratuit sur /radar, ou parlons de votre situation via /contact.
