DORA et prestataires tiers de services TIC : ce que les entités financières attendent de leurs fournisseurs

01Où en est DORA à l’automne 2026 ?

Le règlement sur la résilience opérationnelle numérique du secteur financier (ouvre un site externe), le règlement (UE) 2022/2554, dit DORA, s’applique depuis le 17 janvier 2025. En tant que règlement, il est directement applicable dans chaque État membre ; le droit national désigne surtout les autorités compétentes et fixe les sanctions. Le détail figure dans les normes techniques adoptées par la Commission : cadre de gestion du risque lié aux TIC, classification et déclaration des incidents, registre d’informations, politique contractuelle, sous-traitance et tests de pénétration fondés sur la menace.

Pour les entités financières, DORA est l’acte sectoriel qui remplace les règles de NIS2 sur la gestion des risques liés aux TIC, la notification des incidents et la supervision. Le 18 novembre 2025, les trois autorités européennes de surveillance (ABE, AEAPP et AEMF) ont publié (ouvre un site externe) la première liste des prestataires tiers critiques de services TIC qu’elles supervisent directement.

02Les entités financières et leurs prestataires TIC

DORA vise vingt catégories d’entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, plates-formes de négociation, gestionnaires de fonds, entreprises d’assurance et de réassurance, intermédiaires d’assurance, institutions de retraite professionnelle, agences de notation de crédit et prestataires de services de financement participatif, entre autres. La proportionnalité est inscrite dans le texte : l’article 4 adapte les exigences à la taille, au profil de risque et à la complexité, et l’article 16 prévoit un cadre simplifié pour certaines petites entités.

Un prestataire tiers de services TIC est toute entreprise qui fournit des services TIC, et DORA les définit largement : des services numériques et de données fournis de manière continue, par l’intermédiaire de systèmes de TIC, à des utilisateurs internes ou externes. L’hébergement, les services gérés, le logiciel en tant que service, la maintenance et le support applicatifs ainsi que les services de données en relèvent généralement. Les fournisseurs ne sont pas supervisés au titre de DORA, sauf s’ils sont désignés comme critiques, mais leurs clients répercutent les obligations dans chaque contrat.

03L’organe de direction porte le risque lié aux TIC

L’article 5 confie à l’organe de direction la responsabilité ultime du risque lié aux TIC. Il définit, approuve et supervise le cadre de gestion de ce risque, fixe la stratégie de résilience opérationnelle numérique et le niveau de tolérance au risque, approuve la politique de continuité des activités et les plans de réponse et de rétablissement, et approuve puis réexamine la politique d’utilisation des services TIC fournis par des prestataires tiers. Ses membres doivent maintenir leurs connaissances à jour, notamment par une formation régulière.

04Incidents majeurs : quatre heures, 72 heures, un mois

Les entités financières classent les incidents liés aux TIC selon les critères de l’article 18, précisés par le règlement délégué (UE) 2024/1772 (ouvre un site externe) : clients et transactions touchés, durée et indisponibilité du service, étendue géographique, pertes de données, criticité des services touchés et impact économique. Un incident majeur est déclaré à l’autorité compétente en trois étapes, dans les délais fixés par le règlement délégué (UE) 2025/301 (ouvre un site externe) :

Les clients dont les intérêts financiers sont touchés doivent être informés sans retard injustifié. Une entité financière peut externaliser la déclaration elle-même auprès d’un tiers, mais elle en reste pleinement responsable (article 19, paragraphe 5).

Pour les fournisseurs, c’est très concret. Chaque contrat TIC doit prévoir l’obligation pour le prestataire de fournir une assistance lorsqu’un incident lié à son service survient, sans coût supplémentaire ou à un coût déterminé à l’avance (article 30, paragraphe 2, point f). La fenêtre de quatre heures du client ne fonctionne que si la supervision, les journaux et les contacts du fournisseur sont en place avant l’incident.

05Les tests, jusqu’aux tests de pénétration fondés sur la menace

L’article 24 exige un programme de tests fondé sur les risques, réalisé par des testeurs indépendants internes ou externes, avec au moins une fois par an des tests appropriés de tous les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes. Les entités désignées par leur autorité compétente effectuent en outre, au moins tous les trois ans, des tests de pénétration fondés sur la menace sur des systèmes de production réels, selon le règlement délégué (UE) 2025/1190 (ouvre un site externe), qui s’inscrit dans le cadre TIBER-EU.

Lorsque les services d’un fournisseur entrent dans le périmètre d’un TLPT, l’entité financière veille à sa participation (article 26, paragraphe 3), et les contrats portant sur des fonctions critiques ou importantes doivent prévoir cette obligation (article 30, paragraphe 3, point d). Si la participation d’un fournisseur risque de nuire à ses autres clients, DORA autorise un test groupé : le fournisseur conclut directement un contrat avec un testeur externe pour le compte de plusieurs entités financières (article 26, paragraphe 4).

06Le risque lié aux prestataires tiers : stratégie, registre et sortie

L’article 28 intègre le risque lié aux prestataires tiers de services TIC au cadre de gestion du risque lié aux TIC, et l’entité financière reste pleinement responsable du respect de ses obligations, quoi qu’elle externalise. Les principales obligations :

• Une stratégie relative au risque lié aux prestataires tiers, avec une politique sur les services TIC qui soutiennent des fonctions critiques ou importantes, réexaminée régulièrement par l’organe de direction.
• Un registre d’informations sur tous les accords contractuels portant sur des services TIC, au niveau de l’entité et du groupe, qui distingue ceux qui soutiennent des fonctions critiques ou importantes. Les modèles sont fixés par le règlement d’exécution (UE) 2024/2956 (ouvre un site externe). Les entités en rendent compte à leur autorité compétente au moins une fois par an et transmettent le registre complet sur demande.
• Des vérifications avant la signature : le service soutient-il une fonction critique ou importante, quels sont les risques, y compris de concentration, le fournisseur est-il adapté, existe-t-il des conflits d’intérêts. Les fournisseurs doivent appliquer des normes appropriées de sécurité de l’information et, pour les fonctions critiques ou importantes, les plus récentes et les plus exigeantes.
• Des droits de résiliation, notamment en cas de violation significative par le fournisseur, de faiblesses avérées dans sa gestion du risque lié aux TIC ou de circonstances qui empêchent une supervision effective.
• Des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes, documentées et testées, pour que l’entité puisse changer de prestataire sans perturber son activité, limiter sa conformité ni dégrader les services rendus à ses clients.

Ce que le contrat doit prévoir

L’article 30 fixe les clauses contractuelles minimales. Chaque contrat TIC est établi par écrit, dans un document unique qui inclut les niveaux de service, et prévoit au moins :

• une description complète des fonctions et services, et l’indication si, et à quelles conditions, la sous-traitance est autorisée ;
• les lieux où les services sont fournis et où les données sont traitées et stockées, avec une notification préalable de tout changement ;
• la disponibilité, l’authenticité, l’intégrité et la confidentialité des données, y compris des données à caractère personnel ;
• l’accès aux données, leur récupération et leur restitution dans un format facilement accessible en cas d’insolvabilité, de cessation d’activité ou de résiliation ;
• la description des niveaux de service ;
• une assistance en cas d’incident lié au service, sans coût supplémentaire ou à un coût déterminé à l’avance ;
• la pleine coopération avec les autorités compétentes et les autorités de résolution ;
• les droits de résiliation et les délais de préavis minimaux ;
• la participation aux programmes de sensibilisation à la sécurité des TIC et aux formations à la résilience de l’entité.

Pour les services qui soutiennent des fonctions critiques ou importantes, l’article 30, paragraphe 3, ajoute des objectifs de performance quantitatifs et qualitatifs précis, des obligations de préavis et d’information, des plans d’urgence que le fournisseur met en œuvre et teste, la participation aux TLPT, des droits illimités d’accès, d’inspection et d’audit pour l’entité et son autorité de surveillance, et une stratégie de sortie avec une période de transition obligatoire. Le règlement délégué (UE) 2025/532 (ouvre un site externe) précise ce que l’entité doit évaluer lorsque ces services sont sous-traités.

07Les prestataires tiers critiques de services TIC

Selon l’article 31, les autorités européennes de surveillance désignent les prestataires TIC critiques pour le secteur financier, en fonction de leur impact systémique, de l’importance des entités financières qui dépendent d’eux, de leur rôle dans des fonctions critiques ou importantes et de leur substituabilité. Chaque prestataire critique se voit attribuer un superviseur principal, l’une des trois autorités, qui peut demander des informations, mener des enquêtes et des inspections et formuler des recommandations.

La première liste (ouvre un site externe), publiée le 18 novembre 2025, a désigné 19 prestataires : opérateurs de cloud et de centres de données, opérateurs de télécommunications, sociétés de services informatiques, fournisseurs de données de marché et éditeurs de logiciels d’entreprise. Cette désignation ne retire aucune obligation à l’entité financière : elle tient le registre, les clauses contractuelles et une stratégie de sortie pour chacun de ces prestataires.

08Ce qu’un prestataire TIC doit tenir prêt

La plupart des fournisseurs d’entités financières ne seront jamais désignés comme critiques, mais tous rencontrent DORA par les contrats, les vérifications préalables et les audits. Un fournisseur qui a préparé les éléments suivants raccourcit les achats et facilite le dialogue de son client avec l’autorité de surveillance :

• Les données du registre. Ce dont le client a besoin pour son registre d’informations : entité juridique et identifiants, services fournis et fonctions qu’ils soutiennent, localisations et sous-traitants de la chaîne.
• Des clauses alignées sur l’article 30. Idéalement un avenant DORA standard qui couvre les deux listes, plutôt que de négocier chaque clause à partir de zéro.
• Des preuves en cas d’incident. Une supervision, des journaux horodatés de manière fiable et une procédure de notification qui permet au client de classer et de déclarer l’incident en quelques heures.
• Une continuité testée. Des plans d’urgence et des tests de restauration, avec dates et résultats.
• Une sécurité démontrable. Normes de sécurité de l’information, contrôle des accès, cycle de développement sécurisé et traitement des vulnérabilités, avec des preuves indépendantes lorsque c’est possible.
• Une disponibilité pour les audits et les tests. Une façon praticable d’accueillir audits et inspections et de participer aux TLPT, y compris aux tests groupés lorsque c’est pertinent.
• Un plan de sortie. Restitution des données dans des formats exploitables, documentation et accompagnement de la transition pendant une période convenue.

C’est ainsi que nous travaillons en tant que fournisseur TIC d’entités financières : nous convenons des clauses contractuelles exigées par DORA, notifions les incidents par le canal convenu, documentons les plans de sortie, participons aux tests de résilience et fournissons les informations dont votre registre a besoin. Notre page confiance et conformité décrit notre manière de travailler, avec un système de management de la sécurité de l’information certifié ISO/IEC 27001.

09Un plan d’action pour les deux parties

1. 01Complétez le registre. Reliez chaque contrat TIC aux fonctions qu’il soutient et identifiez celles qui sont critiques ou importantes.
2. 02Comblez les lacunes contractuelles. Comparez chaque contrat à l’article 30 et convenez d’un avenant là où des clauses manquent.
3. 03Alignez la gestion des incidents. Convenez avec chaque fournisseur critique des éléments de classification, des contacts et des délais de notification, et testez-les.
4. 04Planifiez les tests avec les fournisseurs. Intégrez-les au programme de tests et, le cas échéant, au cadrage d’un TLPT.
5. 05Rédigez et testez les stratégies de sortie. Pour chaque fonction critique ou importante : solutions de remplacement, restitution des données et période de transition.
6. 06Surveillez la concentration. Plusieurs fonctions critiques chez le même prestataire constituent un risque à documenter et à gérer (article 29).

10Votre autorité compétente

DORA est le même texte partout, mais la supervision reste nationale pour la plupart des entités financières : banque centrale, autorité de contrôle prudentiel ou autorité des marchés, selon le type d’entité, et la BCE pour les banques importantes. Le format et le canal de remise du registre d’informations et des déclarations d’incident, ainsi que l’autorité chargée des TLPT, sont fixés au niveau national. Suivez les orientations de votre propre autorité.

11Ce qu’il faut suivre dans les prochains mois

• Les priorités et constats de votre autorité compétente sur le registre d’informations et la déclaration des incidents.
• La supervision des prestataires tiers critiques par les superviseurs principaux, et les recommandations qui touchent des services que vous utilisez.
• La proposition d’omnibus numérique (ouvre un site externe) de la Commission, COM(2025) 837, qui ferait passer les déclarations d’incidents majeurs au titre de DORA par un point d’entrée unique géré par l’ENISA. En octobre 2026, elle était toujours en discussion au Parlement européen ; tant qu’elle n’est ni adoptée ni applicable, les canaux et délais actuels restent en vigueur.

Les organisations hors du secteur financier ont des obligations comparables sur leur chaîne d’approvisionnement au titre de NIS2 ; voir notre article sur NIS2 et les fournisseurs de logiciels. Les autorités européennes de surveillance présentent les normes techniques et le cadre de supervision sur leurs pages consacrées à DORA (ouvre un site externe).