DORA pour les sous-traitants : quand vos clients banque et assurance vous transfèrent leurs obligations

Le règlement (UE) 2022/2554, dit DORA (Digital Operational Resilience Act), s'applique depuis le 17 janvier 2025 aux entités financières de l'Union : banques, assureurs, entreprises d'investissement, établissements de paiement, entre autres. Une PME qui leur fournit un logiciel, un service SaaS, de l'hébergement ou de l'infogérance n'est pas assujettie au règlement. Elle en reçoit pourtant les effets par voie contractuelle : DORA impose aux entités financières de recenser leurs prestataires de services TIC (technologies de l'information et de la communication), d'insérer des clauses obligatoires dans les contrats et de contrôler la sous-traitance en cascade. Cet article décrit les trois mécanismes de ce transfert (articles 28 à 30), puis le dossier de réponse qu'un prestataire PME a intérêt à constituer une seule fois pour le réutiliser auprès de chacun de ses clients financiers, plutôt que de traiter chaque demande comme un exercice nouveau.

Pourquoi votre client vous demande un identifiant LEI et la liste de vos sous-traitants

L'article 28, paragraphe 3, du règlement impose à chaque entité financière de tenir un registre d'informations recensant tous ses accords contractuels avec des prestataires de services TIC. Le contenu du registre est normalisé par le règlement d'exécution (UE) 2024/2956 : identification du prestataire, nature des services, fonctions supportées, caractère critique ou important, localisation des traitements de données, sous-traitants de rang ultérieur. En France, l'Autorité de contrôle prudentiel et de résolution (ACPR) a collecté les premiers registres au 15 avril 2025 ; la collecte est reconduite chaque année par les autorités européennes de surveillance.

C'est ce registre qui explique les demandes que reçoivent les prestataires : identifiant d'entité juridique LEI (Legal Entity Identifier, le code à 20 caractères qui identifie une personne morale dans les transactions financières), description précise du service, pays d'hébergement et de traitement, liste des sous-traitants intervenant sur le service. Le client ne fait pas du zèle, il remplit un gabarit réglementaire que son superviseur contrôle.

Le cycle annuel et les premières désignations de prestataires critiques

La collecte des registres est désormais un exercice annuel. Pour le cycle 2026, les entités financières ont remis leur registre avec une date de référence au 31 décembre 2025, pour transmission aux autorités européennes de surveillance au 31 mars 2026 ; une entité dont les accords n'avaient pas changé pouvait confirmer sa remise précédente plutôt que de tout redéposer. Pour un prestataire, cela signifie que les demandes reviennent chaque année, au minimum sous forme de confirmation que les informations enregistrées restent exactes.

Sur la base des premiers registres, les trois autorités européennes de surveillance ont désigné les premiers prestataires tiers critiques de services TIC (CTPP) le 18 novembre 2025 : 19 prestataires, pour l'essentiel de grands groupes de cloud et d'infrastructure informatique, désormais soumis à une supervision directe. Une PME prestataire n'appartient pas à cette population. L'effet qu'elle peut ressentir est indirect : un prestataire désigné présent dans sa propre chaîne (l'hyperscaler qui héberge le service, par exemple) répercute une partie de ses obligations de supervision par voie contractuelle.

Une réserve à l'horizon : les propositions omnibus numériques de la Commission, en négociation en 2026, comportent des mesures de simplification de la notification d'incidents entre NIS2, DORA et le RGPD. Rien n'est adopté à la date de cet article ; les obligations décrites ici sont celles en vigueur.

Les clauses que votre client doit obtenir dans le contrat

L'article 30 fixe le contenu minimal des contrats entre une entité financière et un prestataire de services TIC. Pour tous les contrats, le paragraphe 2 exige notamment une description claire et complète des services, l'indication des lieux de traitement des données, des dispositions sur la disponibilité, l'authenticité, l'intégrité et la confidentialité des données, l'assistance en cas d'incident TIC lié au service (sans coût additionnel ou à un coût déterminé à l'avance), la coopération avec les autorités compétentes et les droits de résiliation avec préavis.

Lorsque le service soutient une fonction critique ou importante au sens de l'article 3, point 22, le paragraphe 3 ajoute un niveau d'exigence : niveaux de service complets avec objectifs de performance précis, obligation de mettre en œuvre des plans d'urgence et des mesures de sécurité TIC, participation aux tests de pénétration fondés sur la menace (TLPT) du client, droits d'accès, d'inspection et d'audit sans restriction au profit de l'entité financière et de ses superviseurs, et stratégie de sortie avec période de transition obligatoire.

Ces clauses ne se négocient pas dans leur principe : le client financier n'a pas le droit de signer sans elles. La négociation porte sur leurs modalités, par exemple le périmètre d'un audit sur site, le préavis de sortie ou le coût de l'assistance incident.

La sous-traitance en cascade

Le règlement délégué (UE) 2025/532, en vigueur depuis le 22 juillet 2025, précise ce que l'entité financière doit évaluer lorsqu'un service TIC soutenant une fonction critique ou importante est sous-traité. Concrètement, votre client doit connaître et évaluer votre propre chaîne de sous-traitance : quels rangs de sous-traitance sont autorisés, quelles conditions s'appliquent, et il doit être informé des modifications significatives de ces arrangements. Un prestataire qui ne sait pas décrire sa chaîne (hébergeur, briques managées, support de niveau 3) bloque l'analyse de son client, ce qui se traduit par des relances documentaires et des délais de contractualisation allongés.

Un dossier de réponse unique, réutilisé pour chaque client

Les demandes DORA de plusieurs clients financiers portent sur les mêmes éléments : chaque banque ou assureur remplit le même gabarit de registre et doit obtenir les mêmes clauses. Plutôt que de reconstruire les réponses à chaque demande, le prestataire constitue un dossier unique, tenu à jour, dont il extrait les réponses pour chaque client : données d'identification (identifiant LEI, entités juridiques), description normalisée de chaque service avec lieux d'hébergement et de traitement, chaîne de sous-traitance documentée, processus de gestion d'incident avec engagements de notification au client, modalités d'audit proposées (rapport de tiers, audit groupé, audit sur site), et plan de réversibilité. Ce sont les mêmes informations qui alimentent les questionnaires de sécurité clients hors secteur financier, avec un niveau de formalisation supérieur.

Dans NIST CSF 2.0, cette préparation relève de la fonction GOVERN (gouvernance, identifiée GV dans le cadre), et plus précisément de sa catégorie GV.SC, consacrée à la gestion des risques de la chaîne d'approvisionnement : elle décrit comment une organisation identifie ses fournisseurs, contractualise ses exigences de sécurité et suit leur respect. La PME prestataire est elle-même un fournisseur dans la chaîne de son client, et les exigences de l'article 30 (sécurité, notification, réversibilité) correspondent aux résultats décrits par GV.SC et par la fonction PROTECT (PR), qui couvre les mesures de protection des données et des accès. La perte d'un client financier faute de conformité contractuelle a par ailleurs sa place dans le registre des risques.

L'évaluation Komplyo mesure la maturité des fonctions GOVERN et PROTECT, et les documents générés (politique de sécurité, processus de gestion d'incident) couvrent une partie des pièces demandées dans les dossiers DORA. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état de ces fonctions.