DORA s'applique-t-il aux PME ?
DORA ne dispense pas une entité financière parce qu'elle est petite : il module ses obligations selon sa taille et son profil de risque. Une PME qui n'est pas une entité financière n'est pas soumise à DORA. Elle peut toutefois être concernée indirectement si elle fournit des services informatiques à une entité financière : ce sont alors les clauses contractuelles que lui impose son client (article 30) qui l'atteignent. Les prestataires tiers critiques de services TIC relèvent, eux, d'un régime de supervision propre.
Ce que disent les textes
L'article 4 du règlement (UE) 2022/2554 pose le principe de proportionnalité : les entités financières appliquent les règles en fonction de leur taille et de leur profil de risque global, ainsi que de la nature, de l'ampleur et de la complexité de leurs services, activités et opérations.
L'article 16 prévoit un cadre simplifié de gestion du risque lié aux TIC pour certaines entités, notamment les petites entreprises d'investissement non interconnectées, les établissements de paiement et de monnaie électronique exemptés, les établissements exemptés au titre de l'article 2, paragraphe 5, de la directive 2013/36/UE et les petites institutions de retraite professionnelle.
Le règlement (UE) 2022/2554 prévoit aussi des allègements pour les microentreprises qui sont des entités financières, par exemple dans le cadre simplifié de gestion du risque lié aux TIC et pour les tests de résilience opérationnelle numérique.
L'article 2, paragraphe 3, exclut notamment les intermédiaires d'assurance qui sont des microentreprises ou des PME.
L'article 30 impose les clauses minimales des contrats passés avec les prestataires tiers de services TIC, quelle que soit leur taille.
Suis-je concerné ? Le test en une minute
- Votre entreprise figure-t-elle dans la liste de l'article 2, paragraphe 1 (banque, paiement, investissement, assurance, crypto-actifs, etc.) ?
- Sinon, fournissez-vous un service informatique à une entreprise de cette liste ?
- Si oui à la première : relevez-vous d'une exclusion de l'article 2, paragraphe 3, ou du cadre simplifié de l'article 16 ?
Deux « non » aux deux premières questions : DORA ne vous concerne pas directement. « Oui » à la deuxième : attendez-vous à des clauses de l'article 30 et à des demandes de preuves de votre client.
Et ensuite
Si votre messagerie et vos documents sont dans Microsoft 365, le score de sécurité gratuit mesure en quelques minutes la configuration de sécurité de votre locataire et vous dit, point par point, ce qui est en place et ce qui ne l'est pas. Rien n'est installé sur vos serveurs.
Gratuit: votre score + vos écarts. Le rapport détaillé et la déclaration étayée : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Faits relus le 14/10/2026 sur les sources officielles citées (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.