Loi DORA : ce que change cette réglementation pour les PME françaises

Qu’est-ce que la loi DORA exactement ?

DORA est un règlement européen qui impose des normes strictes de résilience opérationnelle et de continuité IT aux entités financières critiques et aux prestataires de services IT importants. L’objectif affiché : garantir que le secteur financier (banques, assurances, courtiers) ne s’effondre pas en cas de cyber-attaque ou de panne IT.

Entrée en vigueur le 17 décembre 2024 pour certaines dispositions et progressivement jusqu’à fin 2025, DORA crée un cadre harmonisé dans toute l’Union européenne. Elle remplace et renforce les anciennes directives sur la sécurité informatique (NIS1), en imposant :

Un test de résilience annuel (pentest obligatoire)
La gestion et la signalisation des incidents IT
Une gouvernance IT stricte avec responsables désignés
Une continuité de service garantie (RTO/RPO contractuels)

En France, c’est la Banque de France, l’ACPR et l’AMF qui contrôlent l’application pour le secteur financier, tandis que l’ANSSI joue un rôle consultatif. Vous pouvez consulter le guide d’applicabilité publié par l’ANSSI.

Qui est vraiment concerné par DORA ?

⚠️ Point critique : La confusion vient de là. DORA ne concerne PAS toutes les PME, contrairement à ce que certaines agences marketing vous ont peut-être fait croire.

DORA s’applique directement à :

Les entités du secteur financier : banques, caisses d’épargne, assurances, courtiers (entreprises de plus de 250 salariés et bilan > 50 M€, ou plus de 25 M€ de bilan pour les assureurs)
Les prestataires de services IT critiques (PITIC) : hébergement cloud, SaaS, Data Centers, fournisseurs de CDN, VoIP, etc., dès lors qu’ils servrent les entités financières. Le seuil est basé sur le chiffre d’affaires annuel (environ 250 M€) ou la part de marché.
Les sous-traitants importants de ces entités : par exemple, si vous développez une application pour une banque et que vous êtes qualifié “prestataire IT important” (PITIC).

Une petite agence web à Valence qui fait des sites pour des artisans locaux ? Non directement concernée. Un petit hôtel en Ardèche ? Non directement concerné. Un SaaS qui stocke les données de milliers de PME sur serveurs cloud ? Oui, très directement concerné.

Le hic : si vous êtes client d’un PITIC conforme à DORA, les coûts de conformité (audits, tests, infrastructure résiliente) se répercutent inévitablement sur les contrats commerciaux. C’est un effet indirect mais réel.

Les 4 piliers de DORA que vous devez connaître

1. Gouvernance et gestion des risques IT

DORA impose une structure claire : un responsable de la résilience IT (Chief Resilience Officer), une stratégie documentée, un comité de supervision. Pas pour intimider, mais pour garantir que la sécurité IT n’est pas déléguée au stagiaire du coin. Impact indirect sur les PME : votre fournisseur IT embauchera probablement un professionnel dédié, ce qui augmente ses frais de structure.

2. Testing de résilience (pentesting obligatoire)

Au minimum une fois par an, les entités couvertes doivent simuler une cyberattaque réaliste (advanced scenario testing). Cela inclut tester la réaction face à une compromission de données ou une interruption de service. Impact indirect : les cabinets de pentest voient leurs tarifs augmenter (forte demande), ce qui peut affecter vos budgets de sécurité si vous travaillez avec un partenaire IT sensibilisé à ces bonnes pratiques.

3. Signalement d’incidents IT

Les incidents doivent être reportés à l’autorité régulation (Banque de France, AMF, etc.) sous 24h pour les incidents critiques. Les seuils sont détaillés (perte de données, indisponibilité prolongée, etc.). Impact pour vous : votre prestataire IT doit avoir des procédures d’escalade claire et vous tiendra informé plus rigoureusement des incidents.

4. Continuité de service et concentration du risque

DORA impose des objectifs chiffrés de RTO (Recovery Time Objective) et RPO (Recovery Point Objective), avec limitation de la dépendance à un seul prestataire pour les services critiques. Impact pour vous : un fournisseur SaaS doit avoir un plan de basculement multi-cloud ou multi-régions, ce qui coûte plus cher, et qui se répercute sur l’abonnement.

Impact concret sur les PME en Drôme et Ardèche

Si vous êtes une PME “classique” (non prestataire IT)

Vous ne devez pas demander une certification DORA. Cependant :

Vos fournisseurs IT (hébergement, SaaS, agence web) augmenteront progressivement leurs tarifs (2-8% selon les services) pour couvrir les frais de conformité.
Les contrats incluront des SLA plus stricts (garanties de disponibilité, temps de réaction) pour montrer la conformité.
Vous bénéficierez indirectement de meilleures sauvegardes, de plans de continuité plus robustes, d’une meilleure traceabilité des incidents.

Si vous êtes un prestataire IT ou un SaaS

Là, c’est plus exigeant. Vous devez :

Auditer votre conformité (coût estimé : 5 000 à 50 000 € selon la taille et complexité)
Mettre en œuvre des tests de résilience réguliers
Réduire votre dépendance à un seul cloud ou région géographique
Former votre équipe aux procédures d’escalade et de signalement
Rédiger une stratégie de résilience documentée

Pour une startup ou une PME de 10-50 salariés offrant un service IT, cela représente entre 6 et 18 mois de travail supplémentaire et un budget total compris entre 20 000 et 100 000 €.

Cas : une agence web à Valence

Supposons une agence de 8 personnes qui crée des sites e-commerce en Drôme. Elle n’est pas directement assujettie à DORA si elle ne sert pas exclusivement des entités financières. Mais si elle utilise un hébergement cloud (AWS, OVH, Azure) pour héberger les sites clients, cet hébergeur se conforme à DORA. L’agence n’a rien à faire, mais elle pourrait observer :

Une augmentation de 3-5 % des factures d’hébergement en 2026
Des contrats de service plus détaillés (RTO garanti 4h, RPO

Mon expérience terrain auprès de mes clients

Depuis janvier 2025, j’ai accompagné une quinzaine de clients en Drôme et Ardèche qui m’ont posé la question DORA. Voici ce que j’observe :

Cas 1 : Un cabinet d’experts-comptables à Montélimar (Ardèche) — Ils utilisent un logiciel de paie cloud et demandent régulièrement à leur éditeur s’il est “DORA-conforme”. La réponse ? L’éditeur leur assure que oui, mais les détails sont flous. J’ai expliqué que si l’éditeur ne sert que des PME (non-financières), DORA ne s’applique pas directement. Soulagement. Mais nous avons quand même renforcé leur continuité de service (sauvegarde quotidienne externe).

Cas 2 : Une startup SaaS à Valence (Drôme) — Jeune pousse qui vend un logiciel de gestion de stocks aux commerçants. Le fondateur craignait une conformité DORA très coûteuse. Après diagnostic, j’ai clarifié : pas directement assujetti car le portefeuille clients est 100 % TPE/PME. Donc pas DORA, pas d’audit obligatoire. Mais j’ai recommandé une démarche progressive de résilience (multi-zone de disponibilité, plan de reprise d’activité) pour être attractif commercialement — et c’est ce qu’il a fait.

Cas 3 : Un hôtel 3-étoiles en Ardèche — Gérant inquiet après avoir lu un article sensationnaliste. J’ai une phrase pour le rassurer : “Si votre plus gros souci c’est la réservation en ligne, DORA ne vous impacte pas directement. Occupez-vous d’avoir un bon backup de votre base de données et c’est déjà bien.” Problème résolu.

Le pattern que je vois : les chefs d’entreprise des PME confondent DORA avec la NIS2 (Directive Network and Information Systems, qui elle s’applique plus largement). Les agences marketing ont aussi entretenu cette confusion pour vendre des audits IT “obligatoires”. La vérité est plus nuancée : si vous n’êtes pas un prestataire IT majeur ou une entité financière, DORA n’est pas votre problème direct.

Checklist d’action immédiate

Pour une PME “classique” (commerçant, artisan, bureau, petite manufacture)

✓ Vérifier le type de relation avec vos fournisseurs IT : qui héberge vos données ? (cloud, serveur local, agence web ?)
✓ Demander à votre prestataire s’il est “DORA-conforme” et exiger un SLA écrit (disponibilité garantie, RTO, RPO)
✓ Renforcer votre plan de continuité : sauvegardes hors-site, plan de reprise en cas de panne (à jour)
✓ Ne pas céder à la panique : DORA ne vous impose rien directement, mais des bonnes pratiques de résilience s’imposent de toute façon
✓ Budget prévisible : anticiper une hausse de 3-5 % sur vos contrats IT/SaaS d’ici fin 2026

Pour un prestataire IT, SaaS ou hébergeur

✓ Vérifier votre applicabilité DORA : êtes-vous un PITIC ? Consultez la Banque de France ou votre régulateur
✓ Piloter un audit de conformité avec un cabinet spécialisé (budget : 10-50 k€)
✓ Documenter votre stratégie de résilience : gouvernance, RTO/RPO, procédures de signalement
✓ Organiser vos tests de pentest annuels maintenant (calendrier et budget)
✓ Communiquer votre conformité à vos clients comme avantage commercial

Questions fréquentes

DORA s’applique-t-elle à toutes les PME ?

Non. DORA cible directement les entités financières (banques, assurances, courtiers) et les prestataires de services IT critiques (hébergement, SaaS majeur, opérateurs télécoms). Une PME classique (commerçant, artisan, cabinet) n’est pas directement assujettie. Cependant, ses fournisseurs IT le sont probablement, d’où un impact indirect (augmentation de tarifs, meilleures garanties de service).

Quand DORA entre-t-elle en vigueur complètement en France ?

Le 17 décembre 2024 pour les règles de gouvernance et de gestion des risques. Les obligations de signalisation d’incidents s’appliquent progressivement : 1 er janvier 2025 pour les entités financières très grandes, et fin 2025 pour les autres entités couvertes. Les tests de résilience se généralisent en 2026.

Quel est le coût de mise en conformité DORA pour une startup IT ?

Pour une PME/startup IT de 10-50 salariés identifiée comme PITIC, comptez entre 20 000 et 100 000 € en coûts d’audit, d’infrastructure résiliente et de formation. Puis entre 5 000 et 20 000 € par an pour maintenir la conformité (tests, mise à jour, documentation). Les coûts varient fortement selon votre infrastructure actuelle.

Qui doit auditer ma conformité DORA ?

Un auditeur tiers certifié par l’ANSSI ou reconnu par l’autorité de supervision (Banque de France, AMF, ACPR). L’auto-certification ne suffit pas. Le cabinet doit avoir l’expertise en résilience IT et connaître le contexte réglementaire français.

Comment je sais si je suis un PITIC (“prestataire IT important”) ?

DORA énumère les critères : prestataire de services cloud, hébergement, SaaS, CDN, télécommunications avec un chiffre d’affaires significatif (seuil à ~250 M€) ou une part de marché dominant. Si vous êtes une petite agence web ou un logiciel métier pour PME, vous n’êtes très probablement pas un PITIC. Contactez votre régulateur pour clarifier.