ESN & DORA : devenir un prestataire TIC « DORA-ready »

De quoi parle DORA ?

DORA repose sur cinq piliers : gestion des risques TIC, gestion et notification des incidents, tests de résilience (dont les tests d’intrusion fondés sur la menace pour les plus significatifs), gestion des risques liés aux prestataires TIC tiers, et partage d’informations. Les prestataires TIC ne sont pas des entités financières, mais sont encadrés au titre du quatrième pilier.

Les prestataires jugés critiques pour le système financier peuvent être désignés et placés sous la supervision directe des autorités européennes de surveillance.

Le secteur « Entreprises de services numériques (ESN) » est-il concerné ?

Toute ESN fournissant des services TIC (infogérance, cloud, développement, maintenance) à des entités financières est concernée en tant que prestataire TIC tiers. Elle n’a pas d’obligation DORA « en propre » comme une banque, mais doit satisfaire les exigences que ses clients doivent lui imposer.

Plus le service est critique pour le client, plus les exigences sont fortes ; une désignation comme prestataire critique entraîne une supervision directe.

Obligations détaillées

Sanctions & risques

L’ESN n’est pas sanctionnée comme une entité financière, mais un prestataire désigné critique et placé sous supervision s’expose à des astreintes pouvant atteindre 1 % de son chiffre d’affaires journalier mondial moyen. À défaut de conformité, le risque principal est la perte de contrats : les entités financières doivent pouvoir démontrer la maîtrise de leurs prestataires.

Être « DORA-ready » devient ainsi un argument commercial différenciant sur le marché financier.

Calendrier d’application

• 1Application. DORA est applicable depuis le 17 janvier 2025.
• 2Registre d’information. Les entités financières remontent leur registre aux autorités ; l’ESN doit fournir les données attendues.

Erreurs fréquentes dans le secteur

• 1« DORA ne me concerne pas ». Ignorer les exigences alors qu’on sert des entités financières.
• 2Clauses refusées. Bloquer les clauses DORA et perdre des contrats régulés.
• 3Réversibilité négligée. Ne pas prévoir la sortie et la restitution des données.
• 4Registre non anticipé. Ne pas pouvoir fournir les informations attendues par le client.

Cas pratique

Une ESN héberge et maintient une application critique pour un assureur. Au titre de DORA, l’assureur exige un droit d’audit, une clause de réversibilité, l’encadrement de la sous-traitance et les informations pour son registre. L’ESN qui a anticipé ces clauses conserve le contrat et l’utilise comme référence pour démarcher d’autres clients financiers.

Feuille de route de mise en conformité

1. 1

   Identifier les clients financiers. Recenser les entités financières servies et la criticité des services rendus.

2. 2

   Adapter les contrats. Intégrer les clauses DORA obligatoires dans les contrats concernés.

3. 3

   Préparer les données de registre. Structurer les informations à fournir aux clients pour leur registre.

4. 4

   Renforcer la résilience. Aligner sécurité, continuité et tests sur la criticité des services.

5. 5

   Anticiper la supervision. Évaluer le risque d’être un prestataire critique et s’y préparer.

Questions fréquentes