Le cadre réglementaire fintech en 2026
Le secteur financier européen est l'un des plus régulés au monde. En 2026, six règlements se cumulent :
DORA (règlement UE 2022/2554) — applicable depuis le 17 janvier 2025. Cinq piliers : gestion du risque TIC, reporting incidents, tests de résilience (TLPT pour entités significatives tous les 3 ans), gestion du risque tiers (contrats Article 30), partage threat intel. Sanctions très lourdes pour les entités significatives.
PCI DSS 4.0.1 — applicable depuis mars 2025. Toutes les exigences best practice de la 4.0 sont devenues obligatoires le 31 mars 2025. Si vous traitez, stockez ou transmettez des données de carte (PAN), ou même si vous avez des scripts JavaScript sur la page de paiement (exigence 6.4.3 et 11.6.1).
ISO 27001 — quasi-prérequis client enterprise + facilite 70% de DORA et 60% de PCI DSS.
NIS2 — secteur bancaire = entité essentielle. Notification 24h, gouvernance personnelle des dirigeants.
AI Act — scoring crédit, fraud detection, KYC automatisé sont en haut risque (Annexe III). Application 2 août 2026.
RGPD — toujours là, et particulièrement strict sur les données financières.
Les chantiers types fintech
1. Foundation DORA + ISO 27001. Information Security Management System + alignement Article 6-15 DORA. 12-18 mois. 150-300 K€. C'est la base.
2. PCI DSS Service Provider ou Marchand. Selon votre exposition aux PAN. Pour un SaaS de paiement : SAQ D ou ROC complet par QSA. 30-100 K€/an.
3. Préparation TLPT. Pour les entités financières significatives, un TLPT (Threat-Led Penetration Testing) est obligatoire tous les 3 ans. Préparation : 6-9 mois. Coût TLPT complet : 200-600 K€.
4. AI Act haut risque pour scoring crédit / KYC / fraud detection. Documentation Annexe IV, surveillance humaine, robustesse. 4-6 mois pour la mise en conformité.
5. Contrats Article 30 DORA. Renégociation des contrats avec vos prestataires TIC critiques (cloud, processeur de paiement, KYC SaaS). Effort juridique + technique.
Pour qui c'est pertinent
Trois profils fintech où WeeSec apporte le plus de valeur :
- Néo-banque ou fintech post-Series A/B (50-300 personnes) qui démarre la conformité DORA + structurer un programme cyber complet.
- SaaS financier B2B (paie, comptabilité, factoring, KYC, trésorerie d'entreprise) servant des clients régulés (banques, assurances) — soumis indirectement à DORA via les contrats.
- InsurTech ou WealthTech avec scoring algorithmique en production — AI Act haut risque + DORA + ISO 27001.
Les fintech de plus de 500 personnes ont généralement un RSSI interne et une fonction cyber dédiée — WeeSec intervient alors en mission ad-hoc ciblée (audit, AI Act, ISO 42001).
Combien ça coûte
Programme cyber fintech complet (DORA + ISO 27001 + PCI DSS + AI Act) sur 18-24 mois pour une scale-up 50-300 personnes : 250-600 K€.
RSSI externalisé fintech (forfait certification + DORA pilotage) : 12-18 K€ HT/mois.
Audit DORA seul (gap analysis + plan d'action) : 25-50 K€ HT.
Préparation TLPT (coordination, threat lead, identification du périmètre opérationnel critique) : 40-100 K€ HT.
Audit code source spécifique fintech (PCI DSS scope, scripts JS pages de paiement, OWASP ASVS L2) : 25-60 K€ HT.
