DORA en bref

Le règlement sur la résilience opérationnelle numérique, (UE) 2022/2554, s’applique depuis le 17 janvier 2025 aux entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d’investissement, assureurs et réassureurs, prestataires de services sur crypto-actifs, entre autres. S’agissant d’un règlement, il s’applique directement dans chaque État membre, sans attendre de loi nationale.

Un prestataire TIC n’est pas encadré par DORA lui-même, sauf si les autorités européennes de surveillance (AES) le désignent comme critique. Mais une entité financière doit maîtriser le risque de chaque service TIC qu’elle utilise, au titre des articles 28 à 30 : elle répercute donc ces exigences sur ses prestataires, par ses vérifications préalables, ses questionnaires et ses contrats.

1. Votre client vous inscrit dans son registre

Chaque entité financière tient un registre d’informations sur tous ses contrats de services TIC et le transmet à son superviseur ; les premiers registres ont été collectés en 2025. Attendez-vous à fournir :

  • votre dénomination et un identifiant : un code LEI (Legal Entity Identifier) ou, pour une société établie dans l’UE, un identifiant unique européen (EUID) ;
  • une description de chaque service, que votre client classe selon son importance pour lui ;
  • les pays où le service est fourni et où les données sont traitées et stockées ;
  • les sous-traitants qui participent à la fourniture du service.

2. Attendez-vous à des clauses DORA dans votre contrat

L’article 30 fixe ce que doit contenir tout contrat de services TIC :

  • une description claire des services, et si la sous-traitance est permise et à quelles conditions ;
  • les lieux de fourniture des services, de traitement et de stockage des données, avec un préavis en cas de changement ;
  • la protection des données, personnelles comprises : disponibilité, authenticité, intégrité et confidentialité ;
  • l’accès aux données, leur récupération et leur restitution dans un format facilement exploitable en cas d’insolvabilité, d’arrêt du service ou de fin du contrat ;
  • la description des niveaux de service ;
  • l’assistance en cas d’incident lié à votre service, sans frais supplémentaires ou à un coût fixé à l’avance ;
  • la pleine coopération avec les autorités de supervision et de résolution de votre client ;
  • les droits de résiliation et les délais de préavis minimaux ;
  • votre participation aux programmes de sensibilisation à la sécurité et aux formations à la résilience opérationnelle de votre client.

Lorsque le service soutient une fonction critique ou importante, le contrat doit aussi prévoir :

  • des niveaux de service complets, avec des objectifs de performance quantitatifs et qualitatifs précis ;
  • des délais de préavis et des obligations d’information, y compris sur tout événement susceptible d’affecter le service ;
  • des plans de continuité que vous mettez en œuvre et testez, et des mesures de sécurité TIC appropriées ;
  • votre participation aux tests de pénétration fondés sur la menace de votre client, lorsqu’ils s’appliquent ;
  • des droits illimités d’accès, d’inspection et d’audit pour votre client, l’auditeur qu’il désigne et son superviseur ;
  • des stratégies de sortie, avec une période de transition obligatoire et adaptée.

3. Être prêt à aider à la notification des incidents

Une entité financière notifie un incident majeur lié aux TIC selon un calendrier serré, fixé par le règlement délégué (UE) 2025/301 :

  • une notification initiale sous 4 heures après avoir classé l’incident comme majeur, et au plus tard 24 heures après en avoir pris connaissance ;
  • un rapport intermédiaire sous 72 heures après la notification initiale ;
  • un rapport final sous un mois après le dernier rapport intermédiaire.

Si l’incident part de chez vous, votre client a besoin de savoir, en quelques heures : ce qui s’est passé, quels services et quelles données sont touchés, depuis quand, et ce que vous faites. Convenez des contacts et des canaux avant d’en avoir besoin.

4. Connaître votre propre chaîne d’approvisionnement

Pour les services qui soutiennent des fonctions critiques ou importantes, le règlement délégué (UE) 2025/532, applicable depuis le 22 juillet 2025, impose à votre client d’évaluer les sous-traitants sur lesquels vous vous appuyez. Tenez à jour la liste des sous-traitants et des hébergeurs derrière votre service et les conditions dans lesquelles vous les utilisez, et annoncez à l’avance tout changement important.

5. Se préparer aux audits et aux tests

Les clients qui vous confient des fonctions critiques ou importantes peuvent vous auditer, directement ou par un tiers, et vous associer à leurs tests de pénétration fondés sur la menace. Un dossier d’audit prêt, avec vos politiques, vos derniers résultats de tests, vos revues d’accès et vos preuves de sauvegarde et de restauration, raccourcit ces visites.

6. Prévoir la sortie de votre client

DORA impose aux entités financières des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes. Documentez comment les données d’un client lui sont restituées, dans quels formats, et la durée de la période de transition.

Prestataires critiques et risque de concentration

Le 18 novembre 2025, les AES ont désigné les premiers prestataires tiers critiques de services TIC : 19 entreprises, dont des fournisseurs de cloud hyperscale et de centres de données, désormais supervisées directement à l’échelle européenne. Vos clients évaluent aussi le risque de concentration : si votre service dépend de l’un de ces prestataires, attendez-vous à des questions sur cette dépendance et sur votre solution de repli.

La checklist du questionnaire

  • Un code LEI ou un EUID prêt à communiquer.
  • La liste de vos services, avec les pays de traitement et de stockage des données.
  • Une liste à jour des sous-traitants et des hébergeurs.
  • Des niveaux de service, avec leur historique mesuré.
  • Une procédure d’incident avec des contacts nommés et ce que vous transmettrez dans les premières heures.
  • Un plan de continuité testé.
  • Un dossier d’audit : politiques, rapports de tests, revues d’accès, preuves de sauvegarde et de restauration.
  • Un plan de sortie : formats de données, procédure de restitution et période de transition.

La place de Swirl Cloud

Si vous fournissez votre service depuis Swirl Cloud, plusieurs réponses viennent de la plateforme. Vous choisissez l’hébergeur et le pays. La liste de chaque service externe contacté par la plateforme sert de point de départ à votre liste de sous-traitants. La disponibilité est mesurée pour chaque adresse publique et rapportée chaque mois. Les chronologies d’incident sont préparées à partir des alertes, des changements et des connexions. Et des contrôles rattachés à DORA (articles 6, 9 à 12, 17, 19, 24, 25 et 28) s’accompagnent d’un dossier de preuves pour les auditeurs de vos clients. Les clauses contractuelles, vos entrées dans les registres et les politiques de votre organisation restent de votre ressort. Voir les contrôles et leurs preuves et où vont les données.