DORA — guide complet pour fintech et SaaS financiers.

DORA (Digital Operational Resilience Act, règlement UE 2022/2554) est applicable depuis le 17 janvier 2025. Il concerne 21 catégories d'entités financières (banques, assurances, gestionnaires d'actifs, fintech) ET leurs prestataires TIC critiques. Un SaaS qui sert un client financier en Europe est indirectement soumis aux exigences DORA via ses contrats.

(1) Gestion des risques TIC — gouvernance, identification, protection, détection. (2) Gestion et reporting des incidents TIC majeurs aux autorités. (3) Tests de résilience opérationnelle — TLPT (Threat-Led Penetration Testing) tous les 3 ans pour les entités significatives. (4) Gestion des risques liés aux prestataires TIC — DDQ, contrats, surveillance. (5) Partage d'informations sur les cyber-menaces.

Oui, si vous servez une entité financière européenne. Les contrats doivent intégrer les clauses obligatoires de l'Article 30 : description des services, lieu de traitement, niveaux de service, droits d'audit, exit strategy, sous-traitance encadrée, coopération avec les autorités. Refuser ces clauses revient à perdre le client financier.

Documenter le périmètre opérationnel critique, identifier les actifs TIC essentiels, coordonner avec les prestataires (les TLPT incluent leur périmètre), désigner un threat lead (interne ou externe certifié TIBER), prévoir 6 à 9 mois de préparation. Le coût d'un TLPT complet : 200 à 600 K€ selon la complexité.

DORA est lex specialis sur le secteur financier (Article 1 DORA). Pour les entités financières, DORA prime sur NIS2 mais les obligations sont en grande partie convergentes. DORA est plus précis et contraignant sur les TIC : Article 30 (contrats), TLPT, classification des prestataires critiques. NIS2 est un cadre plus large (18 secteurs) avec moins de précision technique.

ISO 27001:2022 couvre environ 60% des exigences techniques DORA (gestion du risque, gestion des accès, cryptographie, supply chain). Pour une fintech ou un SaaS financier : ISO 27001 d'abord (foundation ISMS), puis DORA en 6-9 mois additionnels. Bundle ISO 27001 + DORA sur 18 mois économise 30-40% vs deux démarches séparées.