Le verdict en trois phrases
Depuis le 17 janvier 2025, le règlement DORA rend l'établissement de paiement responsable de la résilience de ses prestataires TIC, y compris l'agence qui développe et maintient son application. Un contrat de développement classique ne suffit plus : il faut des clauses d'audit, de sortie, de notification d'incident et de tests. Compter 10 000 à 35 000 EUR HT pour mettre à niveau le contrat et l'application, un montant faible face au risque de sanction de l'ACPR.
Les clauses que DORA impose dans le contrat de développement
L'article 30 du règlement liste les dispositions contractuelles obligatoires. Pour une fonction critique ou importante, comme une application de paiement ou d'ouverture de compte, la liste est plus longue.
| Exigence DORA | Ce que le contrat doit prévoir | Fonction standard | Fonction critique |
|---|---|---|---|
| Description des services | Périmètre, localisation des données et des traitements | Oui | Oui, détaillée |
| Droit d'audit | Accès de la fintech, de l'auditeur et de l'ACPR | Oui | Oui, sans restriction |
| Notification d'incident | Délai d'alerte du prestataire vers la fintech | Oui | 4 h ou moins pour l'alerte initiale |
| Stratégie de sortie | Réversibilité, transfert du code et des données | Recommandée | Obligatoire, période de transition |
| Tests de résilience | Participation du prestataire aux tests | Recommandée | Obligatoire, annuel |
| Sous-traitance | Information et accord préalable | Oui | Oui, avec droit d'opposition |
| Niveaux de service | Disponibilité, RTO, RPO chiffrés | Oui | Oui, avec pénalités |
La fintech doit aussi tenir un registre d'information de tous ses prestataires TIC, transmis chaque année à l'autorité. L'agence de développement y figure avec ses sous-traitants (hébergeur, service d'e-mail, outil de monitoring).
Coût de la mise en conformité contractuelle et technique
Le chantier comporte deux volets : réécrire les contrats et adapter l'application pour que le prestataire puisse tenir ses engagements (journaux, alertes, procédures de reprise).
| Poste | Contenu | Durée | Coût indicatif 2026 HT |
|---|---|---|---|
| Revue et avenant contractuel | Clauses article 30, annexes SLA, plan de sortie | 2 à 4 semaines | 3 000 à 8 000 EUR (avocat) |
| Fiche registre et cartographie | Prestataires, sous-traitants, données, localisations | 1 à 2 semaines | 1 500 à 4 000 EUR |
| Alerting et détection d'incident | Monitoring, seuils, astreinte capable d'alerter sous 4 h | 2 à 3 semaines | 3 000 à 8 000 EUR |
| Documentation de réversibilité | Architecture, procédures de déploiement, accès au code | 1 à 3 semaines | 2 000 à 6 000 EUR |
| Test de résilience annuel | Scénario de panne, restauration, rapport | 1 semaine | 2 500 à 6 000 EUR |
| Pentest applicatif | Test d'intrusion externe et correctifs | 1 à 2 semaines | 4 000 à 9 000 EUR |
Une petite fintech dont l'application est récente se situe autour de 10 000 à 15 000 EUR. Un établissement avec plusieurs applications critiques et une dette documentaire atteint 30 000 à 35 000 EUR.
Les questions à poser à votre prestataire avant de signer
Le prestataire doit être capable de répondre par écrit, avec des preuves. Demandez : qui est d'astreinte la nuit et le week-end, combien de temps il faut pour détecter et signaler un incident, où sont hébergés le code et les sauvegardes, quels sous-traitants interviennent, comment se déroule une sortie sur 3 à 6 mois. Une agence qui ne peut pas documenter une restauration complète en moins de 4 h sur une fonction critique ne convient pas à un établissement soumis à DORA.
Mini cas pratique
Camille, directrice conformité d'un établissement de paiement parisien de 45 salariés, travaille avec une agence sur son application de transfert d'argent, classée fonction critique. Le contrat de 2022 ne prévoit ni audit, ni délai d'alerte, ni plan de sortie.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Plan : avenant contractuel (6 000 EUR d'honoraires d'avocat), cartographie et registre (2 500 EUR), mise en place de l'alerting sous 4 h (5 500 EUR), documentation de réversibilité (4 000 EUR), test de résilience (4 000 EUR), pentest (7 000 EUR). Total : 29 000 EUR HT sur 10 semaines, puis environ 9 000 EUR par an pour le test et le pentest annuels. Avec 6 M EUR de chiffre d'affaires, une sanction ou une injonction de suspendre le service coûterait bien davantage : une semaine d'arrêt représente à elle seule environ 115 000 EUR de chiffre d'affaires perdu.
FAQ
DORA s'applique-t-il aux petites fintechs ?
Oui, tous les établissements de paiement et de monnaie électronique agréés sont concernés, avec un régime allégé pour les plus petits. L'allègement porte sur certains tests avancés, pas sur les clauses contractuelles ni sur le registre.
Le délai de 4 h concerne-t-il le prestataire ou la fintech ?
La fintech doit notifier l'autorité d'un incident majeur dans les 4 h suivant sa classification et au plus tard 24 h après sa détection. Le prestataire doit donc l'alerter bien avant, en pratique sous 1 à 2 h.
Faut-il changer de prestataire ?
Rarement. Dans 80 % des cas observés, un avenant et quelques semaines d'ajustements techniques suffisent. Le changement s'impose si le prestataire refuse l'audit ou ne peut pas documenter sa sous-traitance.
Que doit contenir une stratégie de sortie ?
Une période de transition chiffrée, souvent 3 à 6 mois, la remise du code source, des données et de la documentation, et l'assistance du prestataire sortant. Prévoir un budget de 5 000 à 20 000 EUR pour une éventuelle transition.
Quelle sanction en cas de manquement ?
L'ACPR peut prononcer des sanctions financières et des injonctions. Les prestataires TIC critiques désignés au niveau européen risquent des astreintes jusqu'à 1 % du chiffre d'affaires quotidien mondial.
Parlons de votre projet. Partagez votre contrat actuel et l'architecture de votre application : nous chiffrons le volet technique DORA (alerting, réversibilité, tests), avec budget indicatif et livraison en 6 à 10 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
