Incident Revolut : nouvelle banque française, dépendance Google Cloud et conformité DORA
Revolut est devenue une banque française de plein exercice en août 2026. Moins de trois mois plus tard ses services se trouvaient indisponibles.
Le 20 octobre 2026, une indisponibilité majeure de Google Cloud a paralysé simultanément les exécutions de paiement par carte, les retraits aux distributeurs, les virements et l’accès à l’application mobile. Des millions d’usagers, dont 8 millions en France, se sont retrouvés temporairement privés de l’accès à leurs fonds.
Un cas d’école parfait qui illustre le paradoxe moderne du secteur financier numérisé.
L’ambition : devenir un établissement de crédit de référence
Le 10 août 2026, Revolut Bank S.A. a obtenu son agrément d’établissement de crédit en France, délivré par la Banque centrale européenne sur avis de l’ACPR. L’entité n’opère plus sous le simple statut de prestataire de services de paiement ou d’établissement de monnaie électronique : elle constitue désormais une banque de droit français, soumise aux mêmes exigences prudentielles et réglementaires que les acteurs historiques.
La stratégie est claire : capter la domiciliation bancaire principale des usagers et étendre son offre aux services de crédit et d’épargne.
Le paradoxe : l’externalisation critique face au risque de concentration
Pour accompagner sa croissance à grande échelle, Revolut a fait le choix d’infrastructures cloud mutualisées auprès d’un partenaire unique : Google Cloud.
C’est précisément l’architecture de cette infrastructure qui interroge. En concentrant l’hébergement de ses fonctions critiques ou importantes (FCI), telles que le traitement des transactions, l’authentification forte et le suivi des comptes, auprès d’un seul prestataire tiers de services TIC, Revolut s’expose à un risque de concentration systémique.
Ce choix d’infrastructure met en lumière une autre réalité de DORA : la création d’un cadre de surveillance direct des prestataires tiers de services TIC critiques (CTPP) (Articles 31 à 44). Lorsque des géants comme Google Cloud hébergent les fonctions vitales de la finance européenne, leur défaillance active les autorités de régulation européennes elles-mêmes (EBA, ESMA, EIOPA) dans le cadre d’audits et d’inspections conjoints.
Éliminer et encadrer ces vulnérabilités opérationnelles est l’objectif central de la réglementation européenne.
Ce que DORA impose et ce que l’incident révèle
Contrairement à d’autres secteurs régis par la directive NIS2, le secteur financier répond à une réglementation dédiée et prévalente : le règlement DORA (Digital Operational Resilience Act, Règlement UE 2022/2554), en application depuis janvier 2025.
DORA formalise trois axes d’exigences stratégiques directement interrogés par cet incident :
1. La gestion du risque de concentration TIC (Articles 28 à 30)
DORA contraint les entités financières à évaluer formellement leur dépendance stratégique à l’égard de leurs prestataires tiers. L’externalisation d’une fonction critique auprès d’un fournisseur cloud unique impose de documenter cette architecture et de mettre en œuvre des mesures compensatoires rigoureuses.
2. La continuité d’activité et la résilience opérationnelle (Articles 11 et 12)
Chaque établissement doit maintenir un plan de continuité d’activité TIC et des protocoles de secours éprouvés. Il s’agit de garantir des objectifs de temps de reprise (RTO) stricts et de démontrer la capacité d’exécuter une bascule opérationnelle lors d’une défaillance du sous-traitant.
3. La notification des incidents majeurs (Articles 18 et 19)
Tout incident qualifié de majeur doit faire l’objet d’une notification initiale auprès de l’autorité compétente du siège de l’entité (Home State) dans un délai strict ne pouvant excéder 4 heures à compter de sa classification. Ce signalement engage directement la responsabilité de la direction générale de l’établissement.
Les interrogations réglementaires en suspens
Si le rétablissement des services TIC a été opéré, plusieurs questions d’ordre réglementaire subsistent :
À qui incombait la notification réglementaire ? Les clients français étant encore rattachés contractuellement à Revolut Bank UAB à la date de l’incident, l’obligation de notification au titre de DORA relevait de la Banque de Lituanie (Lietuvos bankas), en coordination avec la BCE, et non directement de l’ACPR. La supervision directe de l’ACPR ne deviendra pleinement effective pour ce portefeuille qu’à compter de la migration programmée en décembre 2026.
La conformité des engagements contractuels : Les conventions de service conclues avec Google Cloud intègrent-elles l’ensemble des clauses contractuelles obligatoires requises par l’article 30 de DORA (droits d’audit, garanties de continuité, stratégies de sortie) ?
L’effectivité des tests de résistance : Les obligations de DORA (Articles 26 et 27) imposent aux entités financières de réaliser périodiquement des tests de pénétration fondés sur le renseignement (TLPT). Pour une néobanque intégralement cloud, la difficulté technique et contractuelle est immense : comment auditer et tester de bout en bout un fournisseur mutualisé géant qui oppose souvent des standards de sécurité fermés à ses clients ?
Il appartient désormais aux autorités de supervision européennes d’analyser le rapport d’incident pour évaluer la conformité des dispositifs de résilience déployés.
Revolut est-elle pour autant en non-conformité avec DORA ?
Il convient de distinguer la conformité formelle de la résilience opérationnelle effective. Pour obtenir son agrément d’établissement de crédit auprès de la BCE et de l’ACPR en août 2026, Revolut a nécessairement dû démontrer un niveau de documentation et d’encadrement contractuel de ses tiers TIC conforme aux exigences de DORA.
Toutefois, DORA ne garantit pas l’absence de pannes, le règlement exige la capacité à y faire face. Si l’existence d’un plan de continuité d’activité (PCA) est une obligation de moyens réglementaire, l’incapacité à maintenir les fonctions essentielles lors d’une défaillance d’un sous-traitant pose la question de l’effectivité des mesures de secours.
L’enquête du superviseur européen ne cherchera pas tant à sanctionner l’interruption de Google Cloud qu’à vérifier si Revolut a respecté ses propres objectifs de temps de reprise (RTO) et si les mécanismes de bascule prévus au contrat ont été activés conformément aux engagements pris.
La portée opérationnelle pour les gouvernances d’entreprise
Cet événement démontre la tension constante entre la recherche d’efficience par l’usage du cloud mutualisé et le niveau de résilience exigé par le cadre réglementaire européen.
Pour une entreprise qui s’appuie sur ces services pour sa gestion de trésorerie ou ses flux opérationnels, cet incident invite à cartographier rigoureusement ses propres dépendances technologiques. Pour les responsables juridiques et compliance officers, il constitue une démonstration concrète de la nécessité d’aligner les contrats informatiques et les plans de continuité d’activité sur les standards réglementaires.
Si DORA arme les régulateurs pour sanctionner les défaillances de conformité, le règlement ne résout pas tout : pour le dirigeant d’entreprise qui se retrouve dans l’incapacité de régler ses fournisseurs ou d’honorer ses échéances en plein milieu de journée, c’est le terrain de la responsabilité contractuelle et des engagements de niveau de service (SLA) qui s’ouvre. Un rappel factuel qu’en matière de gestion de trésorerie professionnelle, la résilience opérationnelle ne se délègue pas entièrement à un tiers unique.
La résilience opérationnelle des systèmes d’information et la gestion des risques liés aux tiers constituent l’un des domaines d’intervention de Celestial Guardian. Pour auditer la conformité de vos architectures contractuelles et de vos sous-traitants au regard des exigences DORA et NIS2, vous pouvez solliciter une analyse dédiée auprès de Celestial Guardian.
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie | Fondatrice de Celestial Guardian & Juriste en droit du numérique
Certifiée CIPP/E (IAPP) et forte de 15 ans d’expérience au cœur d’écosystèmes fortement réglementés, j’aide les entreprises du numérique et les dirigeants tech à sécuriser leurs usages : ingénierie contractuelle, conformité RGPD & AI Act et gouvernance opérationnelle. Une approche de terrain pour transformer la contrainte juridique en levier stratégique.