DORA pour les plateformes crypto et de paiement

Le règlement sur la résilience opérationnelle numérique, connu sous le nom de DORA, fixe une norme européenne unique pour la manière dont les entités financières gèrent le risque technologique. Il s’applique dans l’Union européenne depuis le début de 2025, et 2026 est la phase où les attentes prudentielles, la déclaration des incidents et la supervision des tiers sont activement appliquées et non plus seulement anticipées. Pour les plateformes crypto et de paiement, cela modifie les conditions dans lesquelles les décisions technologiques sont prises.

DORA est souvent perçu comme une simple règle de cybersécurité. Le cadre est plus large. La capacité à poursuivre l’exploitation malgré les perturbations — pannes, incidents cyber, défaillance d’un prestataire critique — est traitée comme un résultat supervisé, assorti de gouvernance, de tests et de preuves. Pour un prestataire de services sur cryptoactifs agréé au titre de MiCA, ou pour un établissement de monnaie électronique ou de paiement, DORA n’est pas une surcouche optionnelle. Le cadre accompagne l’agrément et façonne l’architecture qui le soutient.

Cet article explique ce que DORA demande aux plateformes crypto et de paiement sur le plan technologique et opérationnel, qui entre dans le périmètre et à quoi ressemble un modèle opérationnel prêt pour DORA, dans une perspective de planification et d’achat. Il n’interprète pas le droit ; il décrit les conséquences techniques et opérationnelles qui en découlent.

Ce que DORA régit

DORA regroupe dans un cadre unique des règles auparavant dispersées entre régimes nationaux et orientations sectorielles, couvrant l’ensemble du cycle de vie du risque technologique. Plutôt que de prescrire des contrôles isolés, il définit des résultats qu’une entité financière doit pouvoir démontrer : que le risque ICT est gouverné au niveau de la direction, que les incidents sont détectés et déclarés dans des délais définis, que la résilience est testée et que la dépendance à l’égard des prestataires externes est comprise et maîtrisée.

Le glissement pratique va de l’intention documentée à la capacité démontrable. Une politique qui décrit un processus de réponse aux incidents ne suffit plus à elle seule ; l’organisation doit pouvoir montrer que le processus fonctionne, que les rôles sont attribués et que des preuves de tests et de remédiation existent. C’est pourquoi DORA se traite au mieux comme une question d’architecture et d’exploitation plutôt que comme une question purement juridique.

Qui entre dans le périmètre

DORA s’applique à un large ensemble d’entités financières, et les deux types de plateformes traités par cette base de connaissances y figurent. Les prestataires de services sur cryptoactifs agréés au titre de MiCA entrent dans le périmètre, tout comme les établissements de monnaie électronique et les établissements de paiement. Plateformes de négociation, services de conservation, fonctions d’échange et d’exécution d’ordres, ainsi que l’infrastructure de paiement et de monnaie électronique relèvent du cadre. La technologie derrière une plateforme d’échange crypto ou une plateforme de monnaie électronique et de paiement est donc concernée au même titre que l’activité agréée qu’elle soutient.

Les obligations s’appliquent de manière proportionnée. Un établissement plus petit, à l’offre étroite, porte des attentes plus légères qu’une grande plateforme multi-actifs ou qu’une plateforme de paiement à fort volume ; aucune entité concernée n’est toutefois exemptée des exigences fondamentales relatives au risque ICT, à la déclaration des incidents et à la gestion des tiers. La proportionnalité détermine la profondeur et le formalisme, non le fait que les exigences s’appliquent.

Les piliers de la résilience opérationnelle

DORA organise ses attentes autour d’un petit nombre de domaines liés entre eux. Chacun se traduit par des choix concrets d’architecture et d’exploitation pour une plateforme crypto ou de paiement, et chacun produit des preuves qu’une autorité ou un auditeur peut examiner.

Ces domaines sont interdépendants. La déclaration des incidents dépend de la surveillance et de la classification ; le risque lié aux tiers dépend d’un inventaire précis des dépendances ; les tests n’ont de sens que lorsque les constats alimentent la remédiation. Une plateforme qui les traite comme des tâches de conformité distinctes tend à produire de la documentation sans capacité réelle — précisément ce que le cadre vise à révéler.

Risque lié aux tiers ICT et supervision

Les plateformes crypto et de paiement s’appuient largement sur la technologie externe : hébergement cloud, services de conservation et de gestion de clés, connexions aux données de marché et à la liquidité, prestataires de filtrage et de vérification, et rails de paiement. DORA exige que chacune de ces dépendances soit identifiée, évaluée et gouvernée, avec une attention particulière aux services difficiles à remplacer à brève échéance.

Le cadre introduit également une supervision européenne directe des plus grands fournisseurs de technologie du secteur financier. Les autorités européennes de surveillance ont commencé à désigner les prestataires tiers de services ICT critiques, plaçant les grands fournisseurs de cloud et d’infrastructure sous un régime de supervision formel. Pour une plateforme, cela ne supprime pas la responsabilité. L’obligation de comprendre le risque de concentration, de détenir des droits contractuels appropriés et de prévoir la perte d’un prestataire critique demeure au sein de l’entité réglementée. S’appuyer sur un prestataire désigné ne remplace pas la propre planification de résilience de la plateforme.

DORA et MiCA pour les plateformes crypto

Pour les plateformes crypto, DORA et MiCA fonctionnent ensemble. MiCA régit l’agrément et la conduite en tant que prestataire de services sur cryptoactifs ; DORA régit la résilience opérationnelle de la technologie qui fournit ces services. La période de transition MiCA est terminée. Les nouveaux projets de cryptoactifs dans l’UE doivent être conçus dès le départ pour un modèle opérationnel de CASP agréé. Ce modèle opérationnel porte désormais les attentes de résilience de DORA comme une caractéristique permanente et non comme un ajout ultérieur.

En pratique, cela signifie que les mêmes décisions d’architecture servent les deux cadres. Une propriété claire des systèmes, un déploiement maîtrisé, une infrastructure surveillée, une reprise testée et des relations de tiers gouvernées soutiennent l’agrément MiCA et satisfont DORA en parallèle. Les traiter comme un seul programme d’ingénierie, plutôt que comme deux exercices de conformité distincts, est généralement plus efficace et produit des preuves plus cohérentes.

À quoi ressemble une architecture prête pour DORA

Une plateforme prête pour DORA est conçue en supposant la perturbation et produit des preuves comme sous-produit de l’exploitation normale. À un niveau élevé, cela suppose une infrastructure que l’opérateur peut observer et contrôler, des processus de déploiement et de changement laissant une trace auditable, des dispositifs de reprise testés plutôt que supposés, et une vue tenue à jour des services externes dont la plateforme dépend. Un déploiement dédié ou sur site peut renforcer cette position en conservant la propriété et l’accès d’audit auprès de l’opérateur ; le modèle approprié dépend toutefois de l’échelle et de l’appétence au risque.

Rien de tout cela ne se résume à l’achat d’un outil unique. La résilience est une propriété de la manière dont les systèmes, les processus et les prestataires sont organisés, et elle doit être maintenue à mesure que la plateforme évolue. Nous ne fournissons pas d’avis juridiques et ne garantissons aucun agrément. Nous mettons en œuvre les exigences réglementaires et d’audit dans la technologie, l’infrastructure et l’exploitation, afin qu’une plateforme crypto ou de paiement puisse montrer — et non seulement affirmer — qu’elle opère dans les limites des attentes de résilience fixées par DORA.

Conclusion et prochaines étapes

DORA a fait de la résilience opérationnelle un résultat supervisé pour les plateformes crypto et de paiement dans toute l’Union européenne. Le cadre s’applique dès maintenant, il s’applique aux CASP agréés au titre de MiCA ainsi qu’aux établissements de monnaie électronique et de paiement, et il favorise les plateformes qui intègrent résilience et preuves dans leur architecture plutôt que de les ajouter après coup. Pour les nouveaux projets, la voie la plus efficace consiste à aligner dès le départ le programme technologique sur DORA et MiCA conjointement.

Les organisations qui planifient ou réexaminent une plateforme dans l’UE peuvent commencer par notre approche de la préparation réglementaire dans l’UE et, lorsque la question est de structurer la construction, par notre conseil en architecture fintech.