DORA (Digital Operational Resilience Act)

Définition

DORA (Digital Operational Resilience Act) est le règlement européen 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il impose aux banques, assureurs et autres entités financières de maîtriser leurs risques informatiques, y compris ceux provenant de leurs prestataires de services TIC, avec des exigences contractuelles précises.

Enjeux et pratique

DORA a une particularité qui le distingue des réglementations de cybersécurité classiques : une partie substantielle de ses obligations est de nature contractuelle. L’article 30 du règlement liste des dispositions qui doivent figurer dans les contrats conclus avec les prestataires de services informatiques : description complète des services, lieux de traitement des données, niveaux de service, obligations d’assistance en cas d’incident, droits d’audit et d’accès, conditions de résiliation et stratégies de sortie. Les exigences sont renforcées pour les prestataires soutenant des fonctions critiques ou importantes.

Concrètement, DORA oblige les entités financières à trois exercices contractuels. Un inventaire : tenir un registre d’informations recensant tous les accords contractuels avec des prestataires TIC, registre que les superviseurs peuvent exiger. Une mise à niveau : revoir les contrats existants pour y intégrer les clauses obligatoires, ce qui suppose de savoir ce que contiennent les contrats en cours. Un suivi : surveiller l’exécution effective de ces clauses (niveaux de service, notifications d’incidents, tests), pas seulement leur présence dans le document.

C’est un cas d’école du déplacement du risque réglementaire vers le contrat : la conformité ne se joue plus seulement dans les systèmes, mais dans la capacité à produire, sur demande du régulateur, une vue exhaustive et à jour de ses engagements avec ses prestataires. Une organisation dont les contrats sont dispersés ne peut structurellement pas être conforme à DORA.

Exemple concret

Une société de gestion doit produire son registre DORA. L’exercice révèle 70 prestataires TIC actifs, dont 22 sans contrat retrouvable dans sa version signée et 35 sans clause d’audit ni stratégie de sortie. La mise en conformité commence par la reconstitution du parc contractuel, avant toute renégociation des clauses.

Question fréquente

DORA concerne-t-il les prestataires informatiques eux-mêmes ?

Indirectement mais fortement : leurs clients financiers doivent leur imposer les clauses de l’article 30. Les prestataires critiques désignés au niveau européen sont en outre soumis à une supervision directe. Anticiper ces clauses devient un argument commercial.