Règlement (UE) 2022/2554, article 30

Les clauses contractuelles obligatoires sous DORA : ce que l'article 30 impose de renégocier avec chaque prestataire TIC

DORA ne se contente pas d'exiger une gestion du risque lié aux prestataires : il dicte le contenu des contrats. L'article 30 du règlement (UE) 2022/2554 énumère des stipulations qui doivent figurer dans tout accord de prestation de services TIC, et un second bloc réservé aux fonctions critiques ou importantes. Pour la plupart des entités financières, cela signifie rouvrir un portefeuille contractuel entier.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le point de départ : le registre d'information de l'article 28

L'article 28.3 impose aux entités financières de tenir et de mettre à jour, au niveau de l'entité et, le cas échéant, aux niveaux sous-consolidé et consolidé, un registre d'information relatif à tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers.

Ce registre distingue les accords qui portent sur des fonctions critiques ou importantes de ceux qui n'en portent pas. Il est communicable : les autorités compétentes peuvent en demander la totalité ou des sections déterminées, avec les informations nécessaires à une supervision effective de l'entité.

L'article 28.3 impose en outre d'informer l'autorité compétente, en temps utile, de tout projet d'accord contractuel portant sur l'utilisation de services TIC soutenant des fonctions critiques ou importantes, ainsi que du moment où une fonction est devenue critique ou importante.

L'ordre des opérations est donc le suivant : recenser les contrats, qualifier les fonctions qu'ils soutiennent, puis seulement négocier les clauses. Une renégociation engagée avant la qualification conduit à imposer à tous les prestataires un régime que le règlement ne réserve qu'à certains.

Le socle applicable à tout contrat de prestation TIC, article 30.2

Ces stipulations doivent figurer dans l'accord contractuel, quel que soit le caractère critique de la fonction soutenue.

Description et périmètre

Description claire et exhaustive de l'ensemble des fonctions et des services TIC fournis, avec indication du caractère complet ou non de la sous-traitance des fonctions critiques ou importantes, et des conditions dans lesquelles cette sous-traitance est autorisée.

Lieux de fourniture et de traitement

Régions ou pays dans lesquels les fonctions et services doivent être fournis et où les données doivent être traitées, y compris le lieu de stockage, ainsi que l'obligation pour le prestataire d'informer préalablement l'entité de tout changement envisagé.

Protection des données

Dispositions relatives à la disponibilité, à l'authenticité, à l'intégrité et à la confidentialité en matière de protection des données, y compris les données à caractère personnel.

Restitution en cas de défaillance

Dispositions garantissant l'accès, la récupération et la restitution, dans un format aisément accessible, des données à caractère personnel et non personnel traitées par l'entité financière, en cas d'insolvabilité, de résolution, d'interruption des activités du prestataire, ou de résiliation de l'accord.

Niveaux de service et assistance en cas d’incident

Descriptions des niveaux de service, y compris leurs mises à jour et révisions, et engagement du prestataire de fournir une assistance sans frais supplémentaires, ou à un coût déterminé ex ante, lorsqu'un incident lié aux TIC en rapport avec le service fourni survient.

Coopération avec les autorités

Obligation pour le prestataire de coopérer pleinement avec les autorités compétentes et les autorités de résolution de l'entité financière, y compris les personnes désignées par elles.

Résiliation et préavis

Droits de résiliation et délais de préavis minimaux correspondants, conformément aux attentes des autorités compétentes.

Participation aux programmes de sensibilisation

Conditions de participation du prestataire aux programmes de sensibilisation à la sécurité des TIC et aux formations sur la résilience opérationnelle numérique de l'entité financière.

Le bloc supplémentaire pour les fonctions critiques ou importantes, article 30.3

Lorsque l'accord porte sur des services TIC soutenant des fonctions critiques ou importantes, il comporte en outre les stipulations suivantes.

Objectifs de performance quantitatifs et qualitatifs

Descriptions complètes des niveaux de service assorties d'objectifs de performance quantitatifs et qualitatifs précis, permettant un suivi effectif et la prise de mesures correctives appropriées, sans retard injustifié, lorsque les niveaux convenus ne sont pas atteints.

Délais de préavis et obligations de déclaration

Délais de préavis et obligations de déclaration du prestataire à l'entité financière, y compris la notification de tout fait susceptible d'avoir une incidence significative sur sa capacité à fournir effectivement le service.

Plans d’urgence et mesures de sécurité

Obligation pour le prestataire de mettre en œuvre et de tester des plans d'urgence, et de disposer de mesures, d'outils et de politiques de sécurité des TIC offrant un niveau approprié de sécurité pour la fourniture des services.

Participation aux tests de pénétration fondés sur la menace

Obligation pour le prestataire de participer et de coopérer pleinement aux tests de pénétration fondés sur la menace (TLPT) effectués par l'entité financière, dans les conditions des articles 26 et 27.

Droits illimités d’accès, d’inspection et d’audit

Droit de suivre en permanence les performances du prestataire, ce qui suppose des droits illimités d'accès, d'inspection et d'audit par l'entité financière, par un tiers désigné par elle et par l'autorité compétente, ainsi que le droit de prendre copie de la documentation pertinente sur place si elle est déterminante pour les activités du prestataire.

Stratégies de sortie

Stratégies de sortie assorties d'une période de transition adéquate et obligatoire, pendant laquelle le prestataire continue de fournir les services afin de réduire le risque de perturbation, et permettant à l'entité de migrer vers un autre prestataire ou de réinternaliser la fonction.

Ce que le contrat doit prévoir avant d'être signé : l'article 28.4 et l'article 29

L'article 28.4 impose une évaluation préalable, avant la conclusion de l'accord : vérifier si l'accord porte sur une fonction critique ou importante, si les conditions de surveillance sont réunies, identifier et évaluer tous les risques pertinents, y compris le risque de concentration au sens de l'article 29, et conduire un exercice de diligence raisonnable sur le prestataire pressenti.

L'article 28.7 encadre ensuite la sortie : l'entité doit disposer de stratégies de sortie tenant compte des risques susceptibles de se matérialiser chez le prestataire, et être en mesure de résilier les accords sans perturbation de ses activités, sans limitation du respect des exigences réglementaires, et sans préjudice de la continuité et de la qualité des services fournis aux clients.

L'article 29 impose par ailleurs de prendre en compte, dans cette évaluation, le risque de concentration : recours à un prestataire difficilement substituable, ou accords multiples avec un même prestataire ou des prestataires étroitement liés.

La superposition avec l'article 28 du RGPD

Le même prestataire est le plus souvent, simultanément, un prestataire de services TIC au sens de DORA et un sous-traitant au sens de l'article 4, point 8, du règlement (UE) 2016/679. Les deux régimes imposent alors des stipulations contractuelles distinctes dans le même contrat.

L'article 28.3 du RGPD impose notamment que le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris en matière de transfert vers un pays tiers ; qu'il garantisse la confidentialité des personnes autorisées ; qu'il prenne les mesures de sécurité de l'article 32 ; qu'il respecte les conditions de recrutement d'un sous-traitant ultérieur des paragraphes 2 et 4 ; qu'il aide le responsable à répondre aux demandes d'exercice de droits et à satisfaire aux obligations des articles 32 à 36 ; qu'il supprime ou renvoie les données au terme de la prestation ; et qu'il mette à disposition toutes les informations nécessaires pour démontrer le respect de ces obligations et permettre les audits.

Les recouvrements sont réels mais partiels. Le droit d'audit existe dans les deux textes, mais DORA l'exige illimité et ouvert à l'autorité compétente. La localisation des traitements est exigée par les deux, mais le RGPD y attache le régime de transfert du chapitre V, que DORA ignore. La restitution des données figure dans les deux, mais DORA la relie à l'insolvabilité du prestataire, hypothèse que le RGPD ne traite pas.

La conclusion pratique est qu'il n'existe pas de jeu de clauses unique. Renégocier un contrat au titre de DORA sans traiter simultanément l'article 28 du RGPD conduit mécaniquement à rouvrir le même contrat une seconde fois.

Pourquoi NIS2 ne s'applique pas en parallèle

L'article 4 de la directive (UE) 2022/2555 prévoit que, lorsque des actes juridiques sectoriels de l'Union imposent aux entités essentielles ou importantes des exigences de gestion des risques en matière de cybersécurité ou des obligations de notification au moins équivalentes à celles de la directive, ces dispositions sectorielles s'appliquent en lieu et place des articles correspondants.

Le considérant 28 de DORA et l'article 1.2 du règlement (UE) 2022/2554 s'inscrivent dans cette logique : pour les entités financières visées à l'article 2 de DORA, les obligations de gestion du risque lié aux TIC et de notification d'incidents relèvent de DORA.

Cette substitution n'emporte pas exclusion générale. Un groupe peut comporter une entité financière relevant de DORA et une autre entité relevant de NIS2 au titre d'un secteur de l'annexe I ou II. La vérification se fait entité par entité, non au niveau du groupe.

L'intervention correspondante

Le registre d'information de l'article 28 précède la renégociation : c'est lui qui identifie les contrats concernés et qualifie les fonctions critiques, donc le jeu de clauses applicable à chacun.

Constituer le registre TIC et renégocier les contrats de prestation

Textes et sources cités

Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.