DORA et prestataires TIC : ce que banques, fonds et assureurs luxembourgeois exigent de leurs fournisseurs

01DORA fin 2026 : le cadre et les autorités

DORA, le règlement européen sur la résilience opérationnelle numérique (ouvre un site externe), s’applique depuis le 17 janvier 2025. Il produit ses effets directement au Grand-Duché ; la loi nationale nomme surtout les autorités et prévoit les sanctions. Les détails se trouvent dans des actes de la Commission sur le cadre de gestion du risque TIC, la classification et la déclaration des incidents, le registre d’informations, la politique contractuelle, la sous-traitance et les tests fondés sur la menace.

Sur la place financière, deux autorités sont compétentes : la Commission de Surveillance du Secteur Financier (CSSF) pour les banques, les fonds d’investissement et leurs gestionnaires, les établissements de paiement et les autres entités qu’elle supervise, et le Commissariat aux Assurances (CAA) pour les assureurs et réassureurs. La CSSF reçoit les notifications d’incidents de ses entités par son portail eDesk, selon la circulaire CSSF 25/893.

Dans le secteur financier, DORA remplace les dispositions de NIS2 relatives au risque TIC, aux incidents et à la supervision. Les trois autorités européennes de surveillance, ABE, AEAPP et AEMF, ont annoncé le 18 novembre 2025 (ouvre un site externe) les premiers prestataires TIC critiques qu’elles surveillent elles-mêmes.

02Qui est visé : entités financières et prestataires

Vingt types d’entités financières sont concernés : banques, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires sur crypto-actifs, plateformes de négociation, gestionnaires de fonds, assureurs, intermédiaires, fonds de pension professionnels, agences de notation, plateformes de financement participatif. La proportionnalité est prévue : l’article 4 adapte les exigences à la taille, au profil de risque et à la complexité, et l’article 16 réserve un cadre simplifié à certaines petites entités.

DORA définit le prestataire TIC de façon large : toute entreprise qui rend, dans la durée et au moyen de systèmes informatiques, des services numériques ou de données à des utilisateurs internes ou externes. L’hébergement, l’infogérance, le SaaS, la maintenance applicative et les services de données en relèvent en général. Le prestataire lui-même n’est contrôlé au titre de DORA que s’il est désigné comme critique ; ce sont ses clients qui inscrivent leurs obligations dans chaque contrat. Le règlement ne fait pas de lui une entité surveillée par la CSSF.

03L’organe de direction porte le risque TIC

Selon l’article 5, la responsabilité finale du risque TIC incombe à l’organe de direction. Il fixe, approuve et contrôle le cadre de gestion de ce risque. Il décide de la stratégie de résilience et de l’appétence au risque, valide la continuité d’activité et les plans de reprise, et adopte puis revoit la politique d’appel aux prestataires TIC. Ses membres entretiennent leurs compétences, entre autres par des formations régulières. Dans un fonds ou une banque luxembourgeoise, le conseil d’administration doit donc pouvoir lire et comprendre le registre des prestataires.

04Incidents majeurs : 4 heures, 72 heures, un mois

Pour qualifier un incident lié aux TIC, l’entité applique l’article 18 et le règlement délégué (UE) 2024/1772 (ouvre un site externe) : clients et transactions concernés, durée, interruption de service, zones touchées, données perdues, importance des services atteints, impact économique. Un incident majeur fait l’objet de trois déclarations successives, avec les délais du règlement délégué (UE) 2025/301 (ouvre un site externe). À la CSSF, elles transitent par eDesk.

Les clients dont les intérêts financiers souffrent de l’incident sont prévenus rapidement. Déléguer la déclaration à un tiers est possible, la responsabilité restant entière pour l’entité (article 19, paragraphe 5).

Côté fournisseur, l’effet est immédiat. Tout contrat TIC prévoit l’aide du prestataire en cas d’incident touchant son service, gratuitement ou à un tarif prévu d’avance (article 30, paragraphe 2, point f)). Les quatre heures du client ne sont tenables que si la surveillance, les journaux et les contacts du prestataire sont en place avant l’incident.

05Des tests annuels aux tests fondés sur la menace

L’article 24 exige un programme de tests proportionné aux risques, mené par des testeurs indépendants, internes ou externes, et des tests annuels sur chaque système ou application qui sert une fonction critique ou importante. Les entités que l’autorité désigne passent en plus, tous les trois ans au minimum, un TLPT sur leurs systèmes de production, dans les conditions du règlement délégué (UE) 2025/1190 (ouvre un site externe), inspiré du cadre TIBER-EU.

Quand un TLPT couvre les services d’un prestataire, l’entité veille à ce qu’il y prenne part (article 26, paragraphe 3) ; c’est d’ailleurs une clause obligatoire pour les fonctions critiques ou importantes (article 30, paragraphe 3, point d)). Si cela exposait ses autres clients, un test commun est possible : le prestataire engage lui-même un testeur externe au nom de plusieurs entités (article 26, paragraphe 4).

06Prestataires TIC : stratégie, registre, sortie

L’article 28 intègre le risque lié aux tiers au cadre de gestion du risque TIC. Externaliser ne transfère aucune responsabilité : l’entité répond seule de sa conformité. Ce que cela implique :

• Une stratégie vis-à-vis des prestataires TIC, dont une politique spécifique pour les services liés aux fonctions critiques ou importantes, revue périodiquement par la direction.
• Un registre d’informations qui recense, pour l’entité comme pour le groupe, chaque contrat de services TIC et isole ceux qui servent des fonctions critiques ou importantes. Ses modèles viennent du règlement d’exécution (UE) 2024/2956 (ouvre un site externe). L’autorité en reçoit un compte rendu annuel au minimum et peut exiger le registre complet.
• Un examen avant contrat : fonction concernée, risques, concentration comprise, capacité du prestataire, conflits d’intérêts. Le prestataire suit des normes de sécurité adaptées, et les plus récentes et rigoureuses quand une fonction critique ou importante est en jeu.
• La possibilité de résilier, entre autres après un manquement sérieux, des défaillances démontrées dans la gestion du risque TIC du prestataire, ou une situation qui entrave la supervision.
• Des plans de sortie écrits et testés pour les services liés à des fonctions critiques ou importantes, pour changer de prestataire sans arrêt d’activité, sans recul de conformité et sans dommage pour les clients.

Les clauses obligatoires

L’article 30 énumère les clauses minimales. Un écrit, en un seul document comprenant les niveaux de service, qui règle au moins les points suivants :

• les fonctions et services décrits de manière complète, et les conditions dans lesquelles la sous-traitance est permise ou non ;
• où les services sont rendus et où les données sont traitées et conservées, tout changement étant annoncé à l’avance ;
• la protection des données, y compris personnelles, en disponibilité, authenticité, intégrité et confidentialité ;
• le retour des données sous une forme aisément exploitable, et l’accès à celles-ci, si le prestataire fait faillite, cesse son activité ou si le contrat prend fin ;
• les niveaux de service décrits ;
• l’aide apportée lors d’un incident TIC lié au service, gratuite ou à un tarif arrêté d’avance ;
• une coopération sans réserve avec les autorités de surveillance et de résolution ;
• les cas de résiliation et les préavis minimaux ;
• l’association du prestataire aux actions de sensibilisation à la sécurité et aux formations à la résilience organisées par l’entité.

Lorsque le service porte une fonction critique ou importante, le paragraphe 3 de l’article 30 exige en plus : des objectifs de performance mesurables, des obligations de signalement, des plans de continuité appliqués et testés par le prestataire, sa participation aux TLPT, un droit sans restriction d’accès, d’inspection et d’audit pour l’entité et pour l’autorité, et une sortie organisée avec période de transition. Pour la sous-traitance de ces services, le règlement délégué (UE) 2025/532 (ouvre un site externe) liste les points que l’entité doit examiner.

07Les prestataires TIC critiques

L’article 31 charge les autorités européennes de surveillance de désigner les prestataires critiques pour la finance. Les critères : impact systémique, poids des entités clientes, place dans les fonctions critiques ou importantes, facilité de remplacement. Pour chacun, l’une des trois autorités devient superviseur principal ; elle peut réclamer des informations, enquêter, inspecter et formuler des recommandations.

Dix-neuf prestataires figurent sur la première liste (ouvre un site externe) du 18 novembre 2025 : fournisseurs de cloud et de centres de données, opérateurs télécoms, sociétés de services, fournisseurs de données de marché, éditeurs de progiciels. L’entité financière n’en est pas soulagée pour autant : registre, clauses et plan de sortie restent à sa charge pour chacun d’eux.

08La préparation côté prestataire

Rares seront les fournisseurs de la place financière désignés comme critiques. Tous, en revanche, voient arriver DORA dans les contrats, les questionnaires et les audits. Celui qui a préparé ce qui suit raccourcit l’achat et facilite les échanges de son client avec la CSSF ou le CAA :

• Les informations du registre. Raison sociale et identifiants, services rendus et fonctions qu’ils servent, lieux, sous-traitants successifs : tout ce que le client doit reporter.
• Un avenant DORA prêt à signer. Il couvre les clauses générales et celles des fonctions critiques, et évite de renégocier chaque article.
• De quoi documenter un incident. Surveillance, journaux bien horodatés, procédure d’alerte, pour que le client puisse qualifier et déclarer en quelques heures.
• Une continuité éprouvée. Plans de secours et restaurations testées, avec leurs dates et leurs résultats.
• Une sécurité vérifiable. Référentiels appliqués, gestion des droits, développement sécurisé, traitement des failles, avec des attestations indépendantes quand c’est possible.
• L’accueil des audits et des tests. Une organisation réaliste pour recevoir auditeurs et inspecteurs et pour prendre part aux TLPT, y compris en test commun.
• La réversibilité. Données rendues dans un format utilisable, documentation, accompagnement pendant la période de transition convenue.

Comme prestataire TIC d’entités financières, nous travaillons de cette manière : clauses DORA négociées, alerte par le canal convenu, plans de sortie écrits, participation aux tests de résilience et informations fournies pour votre registre. Nous ne sommes pas nous-mêmes une entité surveillée par la CSSF. La page Confiance et conformité détaille nos pratiques, dont notre système de management de la sécurité de l’information certifié ISO/IEC 27001.

09Un plan d’action pour les deux parties

1. 01Tenir le registre. Chaque contrat TIC est relié aux fonctions qu’il sert, et les fonctions critiques ou importantes sont repérées.
2. 02Mettre les contrats à niveau. Une comparaison avec l’article 30, puis un avenant pour les clauses absentes.
3. 03Préparer les incidents à deux. Avec chaque fournisseur critique : données utiles à la qualification, interlocuteurs, délais d’alerte, puis un essai jusqu’à la déclaration sur eDesk.
4. 04Associer les fournisseurs aux tests. Dans le programme annuel et, s’il y a lieu, dès le cadrage d’un TLPT.
5. 05Écrire et éprouver la sortie. Par fonction critique ou importante : solution de repli, retour des données, durée de transition.
6. 06Mesurer la dépendance. Concentrer plusieurs fonctions critiques chez un seul prestataire est un risque à décrire et à piloter (article 29).

10Au Luxembourg : la CSSF et le CAA

DORA est identique dans toute l’Union, mais la plupart des entités financières restent contrôlées au niveau national, la BCE s’occupant des banques importantes. Au Luxembourg, la CSSF supervise les banques, les fonds d’investissement et les établissements de paiement, le CAA les entreprises d’assurance. Le format du registre, le canal des déclarations et l’autorité responsable des TLPT relèvent de chaque pays. Pour les entités de la CSSF, la circulaire CSSF 25/893 et le portail eDesk encadrent les incidents. Suivez les publications de votre autorité.

11Points à suivre

• Ce que la CSSF et le CAA attendent et constatent en matière de registre et de déclaration des incidents.
• L’action des superviseurs principaux auprès des prestataires critiques, et leurs recommandations sur des services que vous utilisez.
• La proposition « omnibus numérique » (ouvre un site externe) de la Commission, COM(2025) 837 : les déclarations d’incidents majeurs DORA y passeraient par un guichet unique de l’ENISA. Le Parlement européen n’avait pas terminé son examen en octobre 2026 ; tant que le texte n’est pas adopté et applicable, rien ne change pour les canaux et les délais.

En dehors de la finance, NIS2 et, au Luxembourg, la loi du 5 mai 2026 imposent des obligations comparables sur la chaîne d’approvisionnement : lisez notre article NIS2 : entités et fournisseurs de logiciels. Normes techniques et dispositif de surveillance sont présentés sur les pages DORA des autorités européennes (ouvre un site externe).