DORA : le registre des prestataires devient une exigence de données
Pour une entité financière, connaître ses fournisseurs ne suffit plus. DORA impose un registre structuré des contrats informatiques, ce qui oblige les prestataires à livrer des informations exactes, suivies et exploitables.
Article rédigé automatiquement par une intelligence artificielle, à titre informatif. Il peut contenir des imprécisions et ne constitue pas un conseil juridique.
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, ne s’adresse pas de la même manière à tous les fournisseurs informatiques. Les obligations principales reposent sur les entités financières couvertes par le texte. Certains prestataires tiers critiques peuvent, après désignation, relever d’un cadre européen de supervision. Mais même sans être directement supervisé, un fournisseur ressent DORA dans ses contrats, ses questionnaires et ses processus de changement. L’article 28, paragraphe 3, impose en particulier aux entités financières de tenir et d’actualiser un registre d’informations portant sur l’ensemble de leurs accords contractuels relatifs à l’utilisation de services informatiques. Le règlement d’exécution (UE) 2024/2956 fixe les modèles normalisés de ce registre. Pour le fournisseur, la contrainte devient très concrète : il faut produire des données cohérentes sur l’entité contractante, les services livrés, les lieux concernés et la chaîne de sous-traitance.
Un inventaire, pas une liste d’achats
Un registre DORA ne se réduit ni à une extraction comptable ni à une liste de contrats. Il doit permettre de relier un accord à des services informatiques, à des fonctions de l’entité financière et, le cas échéant, à leur caractère critique ou important. Il documente aussi des éléments opérationnels : dates contractuelles, modalités de résiliation, pays de fourniture du service, lieux de traitement ou de stockage des données et recours à des sous-traitants. Ces informations sont souvent dispersées entre les achats, le juridique, la sécurité, les équipes techniques et les responsables de service. Le premier risque est donc moins l’absence totale de données que leur divergence. Un contrat peut désigner un service global, tandis que l’exploitation distingue plusieurs composants, plusieurs sites et plusieurs intervenants. Une réponse approximative du fournisseur se propage alors dans le registre du client et fragilise sa capacité à répondre à son autorité compétente.
Ce que le fournisseur doit pouvoir établir
- L’identité juridique exacte des parties et leur rôle. Une marque commerciale, un nom de service ou le nom d’un groupe ne remplace pas l’entité qui signe, facture, opère ou sous-traite. Les changements de structure doivent être tracés.
- Le périmètre réel du service. La description doit distinguer ce qui est contractuellement fourni de ce qui relève d’une option, d’une dépendance technique ou d’une prestation séparée. Les termes trop généraux rendent le registre inutilisable.
- Les lieux pertinents. Il faut pouvoir identifier les pays depuis lesquels le service est fourni ainsi que les lieux de traitement et de stockage des données lorsque les modèles applicables les demandent. Une mention vague telle qu’une zone géographique étendue ne suffit pas toujours.
- La chaîne de sous-traitance. Le fournisseur doit savoir quelles activités sont confiées à des tiers, pour quelles composantes du service et dans quels pays. Une chaîne non documentée ne devient pas maîtrisée parce qu’elle figure dans des conditions générales.
- Les dates et mécanismes contractuels. Entrée en vigueur, renouvellement, préavis, résiliation et fin effective doivent être distingués. Ces éléments alimentent aussi l’analyse de la réversibilité et des possibilités de sortie.
- La gestion des changements. Toute modification d’hébergement, de sous-traitant, de localisation ou de périmètre doit suivre un processus permettant d’évaluer son effet sur les informations déjà communiquées aux clients.
Le contrat ne corrige pas une donnée instable
L’article 30 du règlement (UE) 2022/2554 fixe des exigences contractuelles pour les services informatiques. Elles portent notamment sur la description des fonctions et services, les lieux de fourniture et de traitement, la disponibilité des données, l’assistance en cas d’incident, la coopération avec les autorités et les droits de résiliation. Des exigences supplémentaires s’appliquent lorsque le service soutient une fonction critique ou importante, notamment en matière de niveaux de service, de notification des évolutions susceptibles d’avoir une incidence substantielle, de continuité, d’audit et de stratégie de sortie. Ajouter ces clauses sans dispositif opérationnel produit un contrat exact sur le papier et faux dans la durée. Le fournisseur doit donc maintenir une source de référence versionnée, attribuer un responsable à chaque donnée et conserver l’historique des changements. Les réponses transmises aux clients devraient être datées et rattachées à un périmètre contractuel précis. Une fiche standard peut aider, à condition qu’elle ne masque pas les différences entre services.
La sous-traitance sous surveillance
La difficulté augmente avec les services composés. Un prestataire principal peut maîtriser son contrat direct tout en dépendant de plusieurs opérateurs techniques. Or l’entité financière doit évaluer les risques liés aux accords informatiques, y compris le risque de concentration et les dépendances difficiles à substituer, conformément aux articles 28 et 29 de DORA. Elle peut donc demander une visibilité plus profonde que celle habituellement fournie lors d’un achat. Cela ne signifie pas que toute information interne doit être divulguée sans discernement. Il faut distinguer les éléments nécessaires au registre, ceux requis par le contrat, ceux utiles à l’évaluation du risque et ceux protégés pour des raisons légitimes de sécurité ou de confidentialité. Cette distinction doit être explicite. Opposer systématiquement le secret commercial à toute demande est une mauvaise pratique ; transmettre sans contrôle des détails sensibles en est une autre. Le bon niveau est celui qui permet au client de comprendre la dépendance, la localisation, la substituabilité et les conditions de changement.
DORA ne transforme pas automatiquement chaque fournisseur informatique en entité directement supervisée. En revanche, il transforme la qualité de ses données contractuelles et opérationnelles en condition de conformité pour ses clients financiers. Le périmètre exact dépend du service, du contrat et du statut des parties. Cet article présente le cadre général et ne constitue pas un avis juridique.
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, ne s’adresse pas de la même manière à tous les fournisseurs informatiques. Les obligations principales reposent sur les entités financières couvertes par le texte. Certains prestataires tiers critiques peuvent, après désignation, relever d’un cadre européen de supervision. Mais même sans être directement supervisé, un fournisseur ressent DORA dans ses contrats, ses questionnaires et ses processus de changement. L’article 28, paragraphe 3, impose en particulier aux entités financières de tenir et d’actualiser un registre d’informations portant sur l’ensemble de leurs accords contractuels relatifs à l’utilisation de services informatiques. Le règlement d’exécution (UE) 2024/2956 fixe les modèles normalisés de ce registre. Pour le fournisseur, la contrainte devient très concrète : il faut produire des données cohérentes sur l’entité contractante, les services livrés, les lieux concernés et la chaîne de sous-traitance.
Un inventaire, pas une liste d’achats
Un registre DORA ne se réduit ni à une extraction comptable ni à une liste de contrats. Il doit permettre de relier un accord à des services informatiques, à des fonctions de l’entité financière et, le cas échéant, à leur caractère critique ou important. Il documente aussi des éléments opérationnels : dates contractuelles, modalités de résiliation, pays de fourniture du service, lieux de traitement ou de stockage des données et recours à des sous-traitants. Ces informations sont souvent dispersées entre les achats, le juridique, la sécurité, les équipes techniques et les responsables de service. Le premier risque est donc moins l’absence totale de données que leur divergence. Un contrat peut désigner un service global, tandis que l’exploitation distingue plusieurs composants, plusieurs sites et plusieurs intervenants. Une réponse approximative du fournisseur se propage alors dans le registre du client et fragilise sa capacité à répondre à son autorité compétente.
Ce que le fournisseur doit pouvoir établir
- L’identité juridique exacte des parties et leur rôle. Une marque commerciale, un nom de service ou le nom d’un groupe ne remplace pas l’entité qui signe, facture, opère ou sous-traite. Les changements de structure doivent être tracés.
- Le périmètre réel du service. La description doit distinguer ce qui est contractuellement fourni de ce qui relève d’une option, d’une dépendance technique ou d’une prestation séparée. Les termes trop généraux rendent le registre inutilisable.
- Les lieux pertinents. Il faut pouvoir identifier les pays depuis lesquels le service est fourni ainsi que les lieux de traitement et de stockage des données lorsque les modèles applicables les demandent. Une mention vague telle qu’une zone géographique étendue ne suffit pas toujours.
- La chaîne de sous-traitance. Le fournisseur doit savoir quelles activités sont confiées à des tiers, pour quelles composantes du service et dans quels pays. Une chaîne non documentée ne devient pas maîtrisée parce qu’elle figure dans des conditions générales.
- Les dates et mécanismes contractuels. Entrée en vigueur, renouvellement, préavis, résiliation et fin effective doivent être distingués. Ces éléments alimentent aussi l’analyse de la réversibilité et des possibilités de sortie.
- La gestion des changements. Toute modification d’hébergement, de sous-traitant, de localisation ou de périmètre doit suivre un processus permettant d’évaluer son effet sur les informations déjà communiquées aux clients.
Le contrat ne corrige pas une donnée instable
L’article 30 du règlement (UE) 2022/2554 fixe des exigences contractuelles pour les services informatiques. Elles portent notamment sur la description des fonctions et services, les lieux de fourniture et de traitement, la disponibilité des données, l’assistance en cas d’incident, la coopération avec les autorités et les droits de résiliation. Des exigences supplémentaires s’appliquent lorsque le service soutient une fonction critique ou importante, notamment en matière de niveaux de service, de notification des évolutions susceptibles d’avoir une incidence substantielle, de continuité, d’audit et de stratégie de sortie. Ajouter ces clauses sans dispositif opérationnel produit un contrat exact sur le papier et faux dans la durée. Le fournisseur doit donc maintenir une source de référence versionnée, attribuer un responsable à chaque donnée et conserver l’historique des changements. Les réponses transmises aux clients devraient être datées et rattachées à un périmètre contractuel précis. Une fiche standard peut aider, à condition qu’elle ne masque pas les différences entre services.
La sous-traitance sous surveillance
La difficulté augmente avec les services composés. Un prestataire principal peut maîtriser son contrat direct tout en dépendant de plusieurs opérateurs techniques. Or l’entité financière doit évaluer les risques liés aux accords informatiques, y compris le risque de concentration et les dépendances difficiles à substituer, conformément aux articles 28 et 29 de DORA. Elle peut donc demander une visibilité plus profonde que celle habituellement fournie lors d’un achat. Cela ne signifie pas que toute information interne doit être divulguée sans discernement. Il faut distinguer les éléments nécessaires au registre, ceux requis par le contrat, ceux utiles à l’évaluation du risque et ceux protégés pour des raisons légitimes de sécurité ou de confidentialité. Cette distinction doit être explicite. Opposer systématiquement le secret commercial à toute demande est une mauvaise pratique ; transmettre sans contrôle des détails sensibles en est une autre. Le bon niveau est celui qui permet au client de comprendre la dépendance, la localisation, la substituabilité et les conditions de changement.
DORA ne transforme pas automatiquement chaque fournisseur informatique en entité directement supervisée. En revanche, il transforme la qualité de ses données contractuelles et opérationnelles en condition de conformité pour ses clients financiers. Le périmètre exact dépend du service, du contrat et du statut des parties. Cet article présente le cadre général et ne constitue pas un avis juridique.