Quelles sont les missions de votre Avocat DORA ?
Avocat DORA, Maître Jonathan POUGET accompagne les acteurs financiers et les prestataires technologiques dans l’application du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. DORA est applicable depuis le 17 janvier 2025. Il harmonise les exigences relatives à la gestion du risque lié aux technologies de l’information et de la communication, aux incidents, aux tests de résilience, au risque lié aux prestataires tiers et au partage d’informations.
La conformité DORA doit être intégrée dans la gouvernance de l’entité et dans ses contrats. Elle complète les règles sectorielles applicables aux Fintech, établissements de paiement, établissements de monnaie électronique, sociétés de gestion, PSCA et autres entités financières. Elle ne remplace pas les règles d’agrément ou de lutte contre le blanchiment.
I. Avocat DORA : déterminer si votre activité est soumise au règlement
Le règlement couvre un large ensemble d’entités financières. La première étape consiste à identifier la catégorie réglementaire de l’entreprise, les autorités compétentes et les éventuelles règles de proportionnalité. Les prestataires technologiques ne sont pas tous directement soumis de la même manière, mais leurs contrats avec des entités financières sont fortement impactés par DORA.
La cartographie du périmètre doit inclure les filiales, fonctions critiques ou importantes, systèmes utilisés et services externalisés. Elle permet de distinguer les obligations propres de l’entité financière des engagements qui doivent être imposés contractuellement à ses fournisseurs.
II. Construire un cadre de gouvernance du risque ICT
DORA impose un cadre de gestion du risque ICT intégré à la gouvernance de l’entité. Les rôles de la direction, des fonctions de contrôle, de la DSI et des métiers doivent être clairement établis. Les politiques doivent permettre d’identifier, protéger, détecter, répondre et rétablir les fonctions après un incident.
L’entité doit être capable de démontrer que ses systèmes, protocoles et outils sont maintenus à un niveau approprié, que les risques sont régulièrement évalués et que les décisions de gouvernance sont documentées. La conformité ne peut donc pas être limitée à un document générique de cybersécurité.
III. Identifier les fonctions critiques ou importantes
La qualification des fonctions critiques ou importantes est déterminante pour la gestion des prestataires tiers et des contrats. L’entreprise doit identifier les processus dont l’indisponibilité ou la défaillance aurait un impact significatif sur ses services, sa conformité ou ses clients.
Cette cartographie doit être reliée aux actifs ICT, aux données, aux prestataires et aux plans de continuité. Une fonction ne peut pas être qualifiée uniquement à partir du nom d’un service : il faut analyser ses dépendances réelles et les conséquences d’une interruption.
IV. Avocat DORA : organiser la gestion et la notification des incidents ICT
DORA impose un dispositif structuré de détection, classification et gestion des incidents. Les incidents majeurs doivent faire l’objet d’une notification selon les modalités réglementaires applicables. L’ACPR indique que les entités relevant de sa compétence déclarent les incidents majeurs liés aux TIC depuis le 17 janvier 2025.
L’entité doit donc disposer d’une procédure permettant de recueillir rapidement les informations techniques et opérationnelles, d’identifier les conséquences pour les clients et services, de classer l’incident et d’organiser les notifications. Cette procédure doit également prévoir l’articulation avec le RGPD ou d’autres règles sectorielles.
V. Mettre en place les tests de résilience opérationnelle numérique
La résilience doit être testée. DORA prévoit différents niveaux de tests afin de vérifier la capacité des systèmes et des organisations à résister à des incidents et à rétablir les services. Le programme de tests doit être adapté au profil de risque et documenté.
Les contrats avec les prestataires doivent permettre d’organiser les tests nécessaires et d’obtenir les informations indispensables. Une clause qui interdit toute vérification ou tout audit peut devenir problématique lorsqu’elle empêche l’entité financière de respecter ses obligations.
VI. Avocat DORA : réviser les contrats avec les prestataires ICT
Le volet contractuel est central. Les contrats avec les fournisseurs cloud, éditeurs SaaS, hébergeurs, prestataires de cybersécurité et autres fournisseurs ICT doivent comporter les stipulations exigées par DORA selon la nature du service et son niveau de criticité : description des services, localisation, sécurité, coopération, incidents, accès aux informations, audit, sortie et continuité.
Il faut également vérifier la chaîne de sous-traitance. L’entité financière doit connaître les dépendances critiques et disposer de mécanismes lui permettant de réagir lorsqu’un sous-traitant important change ou présente un risque excessif.
VII. Tenir et exploiter le registre d’informations sur les prestataires
DORA impose un registre d’informations concernant les accords contractuels portant sur des services ICT. L’ACPR a notamment demandé aux entités concernées de remettre leurs registres selon les modalités applicables. Le registre n’est pas une simple formalité : il permet de cartographier les dépendances et contribue à l’identification des prestataires tiers critiques.
Les processus achats et juridiques doivent donc fournir des données suffisamment structurées pour alimenter ce registre et le maintenir à jour. La signature d’un nouveau contrat ICT ou une modification significative doit déclencher une mise à jour du dispositif.
VIII. Gérer le risque de concentration et les stratégies de sortie
Une entité peut devenir fortement dépendante d’un nombre limité de fournisseurs cloud ou logiciels. DORA impose de prendre en compte ces concentrations de risques. L’entreprise doit comprendre quelles fonctions reposent sur un même prestataire et quelles solutions existent en cas de rupture, défaillance ou décision réglementaire affectant ce prestataire.
Les stratégies de sortie doivent être réalistes : récupération des données, migration, maintien temporaire du service, disponibilité de compétences internes, délais de transition et coûts. Ces enjeux peuvent également croiser les obligations du Data Act relatives au changement de fournisseur de services de traitement de données.
IX. DORA et prestataires tiers critiques
DORA organise un cadre européen de surveillance de certains prestataires tiers critiques de services ICT. Pour l’entité financière, cette supervision ne supprime pas la nécessité de gérer son propre risque fournisseur. Les contrats et la gouvernance interne restent essentiels.
Pour un fournisseur technologique travaillant avec plusieurs acteurs financiers, DORA entraîne souvent des demandes contractuelles plus exigeantes : audit, reporting, incidents, localisation, sécurité et réversibilité. Le prestataire doit éviter d’accepter des engagements incompatibles entre clients ou techniquement impossibles à respecter.
X. Articuler DORA avec MiCA, NIS2 et les règles de paiement
Les PSCA, établissements de paiement et autres acteurs financiers peuvent cumuler plusieurs réglementations. La page Avocat pour agrément PSCA traite notamment de MiCA, tandis que DORA se concentre sur la résilience numérique. Le même principe vaut pour les établissements de paiement : les exigences d’accès au marché et de fonctionnement prudentiel ne doivent pas être confondues avec le cadre ICT de DORA.
Une cartographie transversale permet de mutualiser les politiques et procédures lorsque cela est possible, tout en identifiant les obligations spécifiques et les autorités compétentes.
XI. Avocat DORA : audit et plan de conformité
L’audit peut porter sur la gouvernance, la cartographie des risques, les incidents, les tests, les contrats, le registre des prestataires et les stratégies de sortie. Le cabinet peut ensuite proposer un plan d’action priorisé et rédiger les avenants, politiques ou procédures nécessaires.
Maître Jonathan POUGET peut également assister une entité lors de la négociation d’un contrat avec un fournisseur ICT ou accompagner un prestataire SaaS ou cloud confronté aux exigences DORA de ses clients financiers.
À lire aussi : premiers retours d’expérience DORA
Le cabinet a publié une actualité sur les enseignements tirés des premiers incidents majeurs déclarés à l’AMF au titre de DORA. Cette analyse complète la présente page en illustrant les enjeux concrets de cartographie, de dépendance aux tiers et de gestion des incidents.
XII. Préparer la gestion de crise et la continuité d’activité
La résilience opérationnelle ne consiste pas uniquement à prévenir les incidents. L’entité doit être capable de maintenir ou rétablir ses fonctions critiques lorsque les systèmes sont dégradés. Les plans de continuité, procédures de sauvegarde, mécanismes de bascule et plans de communication doivent être cohérents avec la cartographie des fonctions et les dépendances envers les prestataires.
Le volet juridique intervient notamment pour vérifier les engagements contractuels de continuité, les responsabilités, les délais de rétablissement et la disponibilité des équipes prestataires en cas de crise. Les exercices permettent ensuite d’identifier les écarts entre les engagements contractuels et la capacité opérationnelle réelle.
XIII. Encadrer les changements de prestataires et les migrations
Le changement d’un fournisseur ICT peut lui-même créer un risque opérationnel. La migration doit donc être préparée : inventaire des données et dépendances, maintien du service pendant la transition, tests, mécanismes de retour arrière et suppression des accès de l’ancien prestataire. Les contrats doivent prévoir suffisamment de coopération pour que la sortie ne devienne pas impraticable.
Lorsque le service relève également du Data Act, les règles de réversibilité et de changement de fournisseur doivent être coordonnées avec DORA. Une même clause contractuelle peut alors servir plusieurs exigences, à condition de respecter le niveau de détail requis par chaque texte.
XIV. DORA dans les négociations commerciales avec les fournisseurs SaaS et cloud
Les négociations DORA sont souvent complexes car les grands fournisseurs proposent des contrats standardisés. L’entité financière doit distinguer les exigences réellement impératives des préférences internes et hiérarchiser les points de négociation. Les clauses d’audit, de sous-traitance, de localisation, de sortie et de notification des incidents font généralement partie des sujets les plus sensibles.
À l’inverse, un fournisseur technologique doit pouvoir démontrer que ses engagements sont techniquement réalisables et cohérents entre clients. Le cabinet peut préparer une annexe DORA standard, identifier les clauses non négociables et organiser une matrice de réponses aux questionnaires clients.
XV. Checklist de conformité DORA
- identifier la catégorie réglementaire de l’entité ;
- cartographier les fonctions critiques et les actifs ICT ;
- formaliser la gouvernance et le cadre de gestion des risques ;
- mettre à jour la procédure de gestion des incidents ;
- organiser les tests de résilience ;
- auditer les contrats de prestataires ICT ;
- tenir le registre d’informations à jour ;
- préparer les stratégies de sortie et gérer les concentrations de risques.
FAQ – DORA
DORA est-il déjà applicable ?
Oui. Le règlement est applicable depuis le 17 janvier 2025.
Un prestataire SaaS est-il directement soumis à DORA ?
La réponse dépend de son statut et du cadre applicable. Même lorsqu’il n’est pas une entité financière, il peut être fortement concerné par les clauses DORA exigées par ses clients et par le régime des prestataires tiers critiques.
DORA remplace-t-il NIS2 ?
Non. Les deux textes doivent être articulés selon la catégorie d’entité et les règles sectorielles applicables.
Conclusion : faire de DORA un dispositif opérationnel, pas seulement documentaire
La résilience opérationnelle numérique suppose une gouvernance, des contrats et des procédures réellement utilisables en cas d’incident. Votre Avocat DORA accompagne les acteurs financiers et leurs prestataires pour structurer ce dispositif et sécuriser les relations contractuelles qui en découlent.
Avocat DORA
Contacter le cabinet
0607625574
