DORA s’applique bien aux PME sous-traitantes, pas seulement aux banques
Le règlement DORA est entré en vigueur le 17 janvier 2025. Depuis, beaucoup de PME prestataires du secteur financier pensent encore que ce texte ne les concerne pas directement. C’est une erreur qui peut coûter cher.
Le périmètre réel est celui-ci : DORA impose aux entités financières de cartographier et de contractualiser avec tous leurs prestataires TIC, sans exception de taille. Plus de 22 000 entités financières en Europe sont concernées par le règlement. Chacune peut avoir des dizaines, parfois des centaines, de sous-traitants PME dans sa chaîne d’approvisionnement numérique.
Le règlement distingue les prestataires TIC critiques des prestataires non critiques. Mais cette distinction ne signifie pas que les seconds échappent aux obligations. Une PME de 15 salariés qui fournit un logiciel de gestion à une banque régionale entre dans le scope dès que ce logiciel touche à des données financières ou à des processus opérationnels de l’entité cliente.
La chaîne de responsabilité est directe. Si votre PME subit un incident de sécurité, votre client bancaire est exposé à des sanctions de la part de l’ACPR ou de l’AMF. C’est pour cette raison qu’en 2026, les donneurs d’ordre financiers ont massivement déclenché des audits de conformité auprès de leurs sous-traitants. Et les PME qui n’ont rien préparé se retrouvent dans une position très inconfortable face à ces questionnaires.
Les 5 obligations contractuelles DORA que vos clients bancaires vont vous imposer dès 2026
L’article 30 de DORA liste les clauses minimales que chaque entité financière doit intégrer dans ses contrats avec ses prestataires TIC. Ces clauses ne sont plus négociables. En 2026, elles arrivent dans vos contrats en cours de renouvellement, souvent sans préavis.
| Clause contractuelle | Contrainte pour la PME | Délai de mise en conformité | Coût estimé |
|---|---|---|---|
| Description précise des services et périmètre TIC | Faible | 2 à 4 semaines | Interne (rédaction) |
| Niveaux de service (SLA) formalisés et mesurables | Moyen | 1 à 2 mois | 500€ à 2000€ |
| Localisation et traçabilité des données | Moyen | 1 à 3 mois | 1000€ à 3000€ |
| Droit d’audit unilatéral du client financier | Élevé | 3 à 6 mois | 2000€ à 5000€ |
| Plan de continuité opérationnelle documenté | Élevé | 3 à 6 mois | 3000€ à 8000€ |
Le droit d’audit mérite une attention particulière. En 2026, plus de 60% des grands groupes financiers français ont déjà envoyé des questionnaires de conformité à leurs sous-traitants PME. Ce n’est plus une menace théorique.
Autre point critique : les délais de notification d’incident. Les entités financières doivent notifier leur régulateur en 4 heures maximum après détection d’un incident majeur. Cette contrainte se répercute contractuellement sur le sous-traitant PME, qui doit informer son client dans des délais encore plus courts. Sans procédure interne en place, cette exigence devient impossible à tenir.
Un plan de continuité opérationnelle minimaliste coûte moins de 8000€ pour une PME
Pas besoin de lancer un projet à 50000€. Les briques minimales d’un dossier de conformité DORA pour une PME prestataire tiennent en quatre éléments :
Pour aller plus loin : AI Act 2026 : comment les PME françaises vont s’y conformer.
- Cartographie des actifs TIC critiques – listez les systèmes, logiciels et données que vous gérez pour le compte de vos clients financiers. Un tableur suffit pour commencer.
- Politique de sauvegarde testée – documentez la fréquence des sauvegardes et, surtout, prouvez qu’elles ont été restaurées avec succès au moins une fois. La documentation de test est ce que les auditeurs regardent en premier.
- Procédure de notification d’incident – qui appelle qui, dans quel délai, avec quel template de message. Deux pages suffisent si elles sont appliquées.
- Registre des sous-traitants internes – vos propres fournisseurs TIC (hébergeur, éditeur de logiciel, infogérant) doivent être listés avec leur niveau de criticité.
En termes de coûts : un prestataire MSSP spécialisé PME facture entre 3000€ et 8000€ par an pour accompagner cette mise en conformité. L’option interne existe aussi – une formation DORA certifiante coûte autour de 1500€ et permet à un responsable de piloter le sujet en autonomie.
Point de départ gratuit : le questionnaire d’auto-évaluation inspiré du cadre TIBER-EU, disponible sur le site de la Banque de France, constitue une base solide pour identifier les lacunes avant qu’un client financier ne les détecte à votre place.
L’absence de plan documenté est, en 2026, le premier motif de déréférencement observé chez les donneurs d’ordre financiers. Ce qui est sanctionné, ce n’est pas l’imperfection technique. C’est l’absence de preuve écrite.
Pourquoi 43% des PME sous-traitantes risquent d’être déréférencées d’ici fin 2026
Le chiffre circule dans les cercles de la conformité : 43% des PME prestataires TIC du secteur financier n’ont pas encore formalisé leur registre des incidents ni leur politique de continuité. Et le calendrier réglementaire ne leur laisse plus beaucoup de marge.
Trois raisons structurelles expliquent ce retard. D’abord la méconnaissance du règlement : beaucoup de dirigeants de PME IT ont entendu parler de DORA mais restent persuadés que ça ne s’applique qu’aux banques elles-mêmes. Ensuite vient la confusion avec NIS2, une autre directive européenne dont la transposition française en 2024 a monopolisé l’attention des DSI. Enfin il y a le manque de ressources : dans une PME de 20 personnes, personne n’a de temps dédié à la conformité réglementaire.
Mais ce qui accélère le risque de déréférencement, c’est la stratégie des grands donneurs d’ordre. BNP Paribas, Société Générale et Crédit Agricole ont engagé des processus de réduction de leur nombre de prestataires TIC pour simplifier leur obligation de surveillance DORA. Quand une banque doit auditer 300 sous-traitants, elle préfère en garder 80 qui sont conformes plutôt que de gérer 300 dossiers à risque variable.
Les signaux d’alerte qui indiquent qu’un déréférencement est imminent :
Dans la même rubrique : Agents IA autonomes : quel impact réel sur les PME françaises en 2026.
- Réception d’un questionnaire de conformité sans que votre interlocuteur habituel ne vous ait prévenu
- Absence de clause DORA dans votre contrat en cours de renouvellement – le client ne négocie plus, il impose
- Demande d’audit refusée ou repoussée de votre côté – c’est souvent rédhibitoire
- Silence prolongé après relance sur un appel d’offres où vous étiez positionné
Les secteurs les plus exposés : éditeurs de logiciels comptables, hébergeurs régionaux et cabinets de conseil IT de taille moyenne. Mais aussi les prestataires de maintenance applicative qui accèdent aux systèmes de production de leurs clients.
NIS2 et DORA se superposent : double contrainte ou synergie possible pour les PME ?
Ma PME est déjà conforme NIS2, dois-je refaire tout le travail pour DORA ?
Non, pas entièrement. Les deux règlements partagent un socle commun : gestion des risques TIC, notification d’incidents, plans de continuité. Une conformité NIS2 bien documentée couvre environ 60 à 70% des exigences DORA. Mais DORA est sectoriel et nettement plus prescriptif sur deux points que NIS2 n’aborde pas avec la même précision : les tests de résilience opérationnelle (y compris les tests de pénétration avancés pour les prestataires critiques) et les droits d’audit contractuels que les entités financières peuvent exercer sur leurs sous-traitants. Ce sont ces 30 à 40% supplémentaires qui font toute la différence dans un appel d’offres bancaire.
Quel est le calendrier des contrôles en 2026 ?
L’ACPR et l’AMF ont annoncé des inspections thématiques sur la gestion du risque tiers au second semestre 2026. Ces inspections portent sur les entités financières elles-mêmes, mais les questionnaires transmis aux superviseurs sont directement répercutés sur les prestataires TIC. Concrètement : votre client bancaire reçoit une demande de l’ACPR, il vous envoie dans la semaine un questionnaire à 80 questions. Si vous n’avez rien préparé, vous répondez en catastrophe – et votre réponse devient un élément du dossier de votre client devant le régulateur.
Une PME peut-elle être sanctionnée directement par le régulateur ?
Pas directement, sauf si votre PME est désignée prestataire TIC critique au niveau européen – ce qui concerne aujourd’hui surtout les grands acteurs cloud et les infrastructures de marché. Mais la sanction indirecte est réelle et rapide : résiliation de contrat, inscription sur des listes de prestataires à risque partagées entre superviseurs européens et impossibilité de candidater sur de nouveaux appels d’offres financiers. Le vrai risque pour une PME n’est pas une amende de l’autorité. C’est la perte immédiate du contrat.
Le vrai coût de la non-conformité DORA pour une PME : bien au-delà des amendes
Les dirigeants de PME calculent souvent le risque DORA en regardant le montant des amendes potentielles. C’est le mauvais calcul.
Le vrai coût, c’est d’abord la perte d’un contrat bancaire. Pour une PME IT prestataire d’un établissement financier, un contrat moyen représente entre 80000€ et 400000€ de chiffre d’affaires annuel. La résiliation sur motif de non-conformité ne donne pas droit à indemnisation si la clause DORA est inscrite dans le contrat – et elle l’est désormais systématiquement.
Vient ensuite le coût d’un incident de sécurité non géré selon les standards DORA. Gestion de crise, notification au client, restauration des systèmes, communication : entre 15000€ et 50000€ pour une PME selon la durée et la gravité de l’incident. À comparer avec le coût d’une mise en conformité préventive, entre 3000€ et 12000€.
Et puis il y a un phénomène nouveau en 2026 : les clauses de solidarité. Certains contrats bancaires prévoient désormais que le prestataire TIC rembourse une partie des amendes reçues par l’entité financière si l’incident est directement imputable au sous-traitant. Ce n’est plus une clause d’école – des avocats spécialisés en droit bancaire confirment que ces stipulations apparaissent dans des contrats signés en 2025 et 2026.
Voir également : PME françaises et IA américaine : protégez vos données clients.
C’est un tournant réel dans la relation donneur d’ordre / sous-traitant. L’ère où le prestataire gérait son risque propre sans que ça n’affecte son client est terminée. Les deux parties sont désormais exposées au même incident, avec des conséquences financières partagées.
DORA est une opportunité commerciale que la majorité des PME IT n’ont pas encore saisie
La quasi-totalité des articles sur DORA adoptent un angle défensif : risques, sanctions, déréférencement. Je veux défendre une thèse inverse.
Les PME IT qui investissent entre 6000€ et 10000€ en 2026 pour se conformer réellement à DORA – et qui le documentent proprement – vont se différencier massivement dans les appels d’offres financiers des 24 prochains mois. Pas marginalement. Massivement.
Le secteur financier cherche activement des prestataires TIC de taille moyenne capables de prouver leur résilience. Les grands groupes de services numériques sont devenus trop chers, trop rigides et souvent moins réactifs qu’une PME bien structurée. Une PME de 20 personnes avec un dossier DORA solide peut aujourd’hui décrocher des contrats face à des ESN de 500 personnes qui n’ont pas encore structuré leur réponse sectorielle. Et c’est en train de se passer.
C’est exactement le même phénomène qu’ISO 27001 au milieu des années 2010. À l’époque, les PME qui avaient investi dans la certification ont pris des parts de marché durables sur des clients grands comptes que leurs concurrents non certifiés ne pouvaient plus approcher. Les pionniers ISO 27001 de 2014-2015 en profitent encore aujourd’hui.
Attendre 2027 pour se conformer à DORA, c’est laisser ces contrats à ses concurrents. Les banques n’attendent pas. Les appels d’offres avec exigence de conformité DORA ne font que se multiplier depuis le début de l’année.
Mon avis est simple : la conformité DORA est le meilleur investissement commercial qu’une PME IT prestataire du secteur financier puisse faire en ce moment. Pas parce que c’est une obligation. Parce que c’est une barrière à l’entrée que peu de concurrents ont encore franchie.