Ce que DORA impose
DORA vise à harmoniser au niveau européen les exigences de résilience opérationnelle numérique pour le secteur financier. Il couvre toutes les entités financières : banques, assurances, prestataires de services de paiement, gestionnaires d’actifs, infrastructures de marché, plateformes de crypto-actifs sous MiCA.
Le règlement impose cinq axes d’obligation :
- Gestion des risques TIC
- Gestion et reporting des incidents
- Tests de résilience opérationnelle
- Gestion des risques liés aux prestataires TIC tiers
- Partage d’informations sur les cybermenaces
Le quatrième axe est celui qui impacte le plus directement les contrats. Il impose un cadre contractuel précis avec les prestataires TIC et introduit un régime de supervision directe pour les prestataires critiques.
Les clauses contractuelles obligatoires
DORA impose des clauses contractuelles obligatoires dans les contrats avec les prestataires TIC. L’article 30 du règlement liste les éléments qui doivent obligatoirement figurer.
Pour tous les contrats :
– Description claire et complète des fonctions et services
– Lieux où les fonctions sont fournies et où les données sont traitées
– Disponibilité, authenticité, intégrité et confidentialité des données
– Accès, récupération et restitution des données en cas de défaillance
– Niveaux de service (SLA) incluant des objectifs de performance quantitatifs et qualitatifs
– Droits et obligations de chaque partie en cas d’incident
– Obligation d’assistance en cas d’incident TIC
– Coopération pleine avec les autorités de contrôle
Pour les fonctions critiques ou importantes, en plus :
– Description complète des niveaux de service
– Délais de notification des événements significatifs
– Plans de continuité et de récupération
– Tests périodiques des plans de continuité
– Droit d’audit illimité du client et des autorités
– Droit de résiliation dans des conditions spécifiques
– Exit strategy détaillée
L’absence d’une seule de ces clauses obligatoires expose l’entité financière à des sanctions.
Le registre des contrats TIC
DORA impose aux entités financières de tenir un registre de leurs contrats TIC avec des informations structurées : identité du prestataire, nature des services, criticité, lieux de traitement, accès aux données, chaîne de sous-traitance, SLA. Ce registre doit être mis à jour et tenu à la disposition des autorités de contrôle.
Cette exigence est structurante. Elle suppose un système d’information qui centralise les contrats, leurs clauses et leurs métadonnées. Un fonctionnement par fichiers dispersés ou par tableaux Excel ne permet pas de tenir ce registre dans la durée.
La supervision des prestataires critiques
DORA introduit un régime de supervision directe des prestataires TIC critiques par les autorités européennes de surveillance (ESA). Ces prestataires, désignés par les ESA, sont soumis à des obligations propres et à des contrôles directs.
Pour les entités financières, cela signifie que leurs relations avec ces prestataires critiques s’inscrivent dans un cadre doublement encadré : par leur propre supervision et par la supervision directe du prestataire. Les clauses contractuelles doivent anticiper cette dimension.
Les défis pratiques
Défi 1 , Mise à niveau des contrats existants. La plupart des contrats antérieurs à 2025 ne sont pas conformes à DORA. Leur renégociation ou leur avenant est un chantier lourd pour les entités financières.
Défi 2 , Identification des prestataires critiques. Qualifier la criticité des fonctions et des prestataires est un exercice de qualification qui doit être documenté et revu régulièrement.
Défi 3 , Tenue du registre. Le maintien à jour d’un registre exhaustif des contrats TIC suppose une discipline de saisie et des outils adaptés.
Défi 4 , Stratégies de sortie. Définir des stratégies de sortie opérationnelles pour chaque prestataire critique n’est pas trivial. C’est pourtant une exigence explicite de DORA.
Les exigences contractuelles spécifiques de DORA
Le règlement DORA impose aux entités financières de l’Union européenne des obligations contractuelles renforcées envers leurs prestataires de services numériques. Ces exigences vont bien au-delà des clauses habituelles de sous-traitance et nécessitent une refonte significative des contrats informatiques du secteur financier.
L’obligation de droits d’audit constitue l’une des exigences les plus structurantes de DORA pour les contrats avec les prestataires de services TIC. L’entité financière doit disposer d’un droit d’audit effectif lui permettant de vérifier la conformité du prestataire aux exigences du règlement, y compris par le biais d’inspections sur site. Ce droit ne peut être limité par des clauses de confidentialité trop restrictives et doit s’exercer sans entraves disproportionnées imposées par le prestataire.
Les stratégies de sortie obligatoires imposent aux entités financières de prévoir contractuellement les modalités de transfert ou de rapatriement des services et des données en cas de résiliation du contrat avec un prestataire TIC critique. Cette exigence de réversibilité doit être opérationnelle et testée régulièrement, pas simplement déclarative dans une clause contractuelle générique que personne ne vérifierait en situation réelle de crise.
Les obligations de notification des incidents imposent aux prestataires TIC de signaler tout incident majeur affectant les services fournis à l’entité financière dans des délais stricts définis par le règlement. Le contrat doit préciser les canaux de communication, les niveaux de classification des incidents et les informations minimales à communiquer dans les notifications initiales et de suivi.
Mettre en conformité les contrats existants avec DORA
La mise en conformité du portefeuille contractuel avec les exigences de DORA représente un chantier majeur pour les directions juridiques du secteur financier. L’ampleur de ce chantier dépend du nombre de prestataires TIC concernés et de la maturité des clauses existantes dans les contrats en vigueur au sein de l’organisation.
La première étape consiste à identifier et classifier les prestataires TIC selon leur niveau de criticité pour les fonctions essentielles ou importantes de l’entité financière. Les contrats avec les prestataires critiques font l’objet d’exigences renforcées incluant des évaluations de risque approfondies, des plans de continuité documentés et des tests de résilience réguliers dont les résultats doivent être communiqués à l’entité financière.
La deuxième étape consiste à analyser l’écart entre les clauses existantes et les exigences de DORA pour chaque contrat identifié. Cette analyse met généralement en lumière des lacunes significatives en matière de droits d’audit, de gestion des sous-traitants en chaîne et de stratégies de sortie qui n’avaient pas été anticipées lors de la rédaction initiale du contrat.
La troisième étape consiste à négocier les avenants nécessaires avec chaque prestataire concerné, en priorisant les contrats les plus critiques et les écarts les plus significatifs par rapport aux exigences réglementaires. Cette négociation peut s’avérer complexe avec les grands prestataires technologiques qui disposent d’un pouvoir de négociation important et proposent souvent des conditions contractuelles standardisées difficilement modifiables.
Un CLM intégrant les exigences réglementaires spécifiques au secteur financier simplifie considérablement ce chantier de mise en conformité en automatisant l’identification des écarts et en proposant des clauses types conformes aux exigences de DORA. Découvrez comment Pactolane accompagne les institutions financières dans cette transformation contractuelle réglementaire.
Les délais de mise en conformité avec DORA imposent aux institutions financières une mobilisation rapide et coordonnée de leurs équipes juridiques, informatiques et de gestion des risques. Le volume de contrats à analyser et potentiellement à renégocier peut représenter plusieurs centaines de documents pour une institution de taille moyenne, un chantier qui nécessite des outils adaptés pour être mené dans les délais réglementaires sans mobiliser l’intégralité des ressources juridiques de l’organisation. Les institutions qui anticipent cette mise en conformité en structurant leur portefeuille contractuel TIC dans un référentiel centralisé et en automatisant l’identification des écarts réglementaires transforment une contrainte réglementaire en opportunité de modernisation de leur gestion contractuelle dans son ensemble pour l’ensemble de leurs relations avec les prestataires de services numériques critiques et non critiques.
DORA marque un tournant dans la régulation de la résilience numérique du secteur financier européen. Les entités financières qui transforment cette contrainte réglementaire en levier de modernisation de leur gestion contractuelle TIC en sortiront renforcées face aux risques numériques croissants qui menacent la stabilité du système financier dans son ensemble. La mise en conformité contractuelle avec DORA n’est pas un simple exercice juridique ponctuel mais un programme de transformation durable des pratiques de gestion des risques liés aux tiers numériques.
FAQ , DORA contrat
Mon entreprise n’est pas une entité financière. Suis-je concerné par DORA ?
Indirectement, oui, si vous êtes prestataire TIC d’une entité financière. Vos clients soumis à DORA vous imposeront les clauses obligatoires et les obligations associées. La non-conformité vous ferait perdre l’accès à ce marché.
DORA remplace-t-il les règlementations nationales ?
Oui, dans son périmètre, DORA harmonise et remplace les régimes nationaux épars qui préexistaient. Il coexiste néanmoins avec d’autres textes (RGPD, NIS2, AI Act) dont les exigences peuvent se cumuler.
Comment prouver ma conformité DORA en cas de contrôle ?
Par la traçabilité contractuelle et opérationnelle : registre TIC à jour, clauses conformes, preuves des tests de résilience, preuves des incidents notifiés, plans de continuité documentés. Cette démonstration suppose un outil qui centralise et historise ces éléments.
Ce que nous retenons
DORA transforme profondément la relation contractuelle entre entités financières et prestataires TIC. Les clauses obligatoires, la tenue du registre et la supervision des prestataires critiques sont des exigences structurelles qui supposent un outillage adapté. Un clausier gouverné intégrant les clauses DORA et un outil CLM centralisant le registre sont des conditions pratiques de conformité.
Pour approfondir, consultez notre pilier Conformité, notre article sur la conformité contractuelle et notre article sur la gestion des contrats fournisseurs. Demandez une démo ciblée.