Règlement (UE) 2022/2554

Mise en conformité DORA : registre TIC, prestataires tiers de services informatiques et clauses contractuelles

La mise en conformité DORA est lue comme une exigence de cybersécurité ; en pratique, l'essentiel du travail porte sur les prestataires TIC et sur les contrats qui les lient à l'entité. Le règlement (UE) 2022/2554 est applicable depuis le 17 janvier 2025, sans période transitoire : les obligations sont opposables en totalité. Sila détermine votre assujettissement au titre de l'article 2, construit le registre d'information de l'article 28.3 et reprend vos contrats de prestation TIC au regard de l'article 30.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Qui est assujetti

L'article 2.1 énumère limitativement les catégories d'entités financières concernées. Y figurent notamment les établissements de crédit, les établissements de paiement et les prestataires de services d'information sur les comptes, les établissements de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs agréés au titre du règlement (UE) 2023/1114 et les émetteurs de jetons se référant à des actifs, les dépositaires centraux de titres, les contreparties centrales, les plates-formes de négociation, les référentiels centraux, les gestionnaires de fonds d'investissement alternatifs, les sociétés de gestion d'OPCVM, les entreprises d'assurance et de réassurance, les intermédiaires d'assurance, les institutions de retraite professionnelle, les agences de notation de crédit, les administrateurs d'indices de référence critiques, les prestataires de services de financement participatif et les référentiels de titrisation.

Le règlement s'applique également aux prestataires tiers de services TIC, et de manière renforcée à ceux que les autorités européennes de surveillance désignent comme critiques au titre de l'article 31, lesquels entrent alors dans le cadre de supervision des articles 31 à 44.

Exclusions, article 2.3

Sont notamment exclus du champ les gestionnaires de fonds d'investissement alternatifs visés à l'article 3.2 de la directive 2011/61/UE, les entreprises d'assurance et de réassurance visées à l'article 4 de la directive 2009/138/CE, les institutions de retraite professionnelle gérant des régimes qui ne comptent pas plus de quinze affiliés au total, ainsi que les personnes physiques ou morales exemptées en vertu des articles 2 et 3 de la directive 2014/65/UE.

Principe de proportionnalité, article 4

Les entités financières mettent en œuvre le chapitre II en tenant compte de leur taille et de leur profil de risque global, ainsi que de la nature, de l'ampleur et de la complexité de leurs services, activités et opérations.

Cadre simplifié, article 16

Un cadre simplifié de gestion du risque lié aux TIC s'applique notamment aux petites entreprises d'investissement non interconnectées, aux établissements de monnaie électronique exemptés, aux petites institutions de retraite professionnelle et aux entités financières visées à l'article 2.3 sous certaines conditions. La microentreprise est définie à l'article 3.60 comme l'entité financière, autre qu'une plate-forme de négociation, une contrepartie centrale, un référentiel central ou un dépositaire central de titres, qui emploie moins de dix personnes et dont le chiffre d'affaires annuel ou le total du bilan annuel n'excède pas 2 millions d'euros.

Obligations concrètes et échéances

Le règlement étant applicable depuis le 17 janvier 2025 sans mesure transitoire, l'échéance pertinente n'est plus une date d'entrée en application mais la périodicité des obligations récurrentes et les délais de notification.

Gouvernance et gestion du risque TIC, articles 5 à 15

L'article 5.2 place la responsabilité finale de la gestion du risque lié aux TIC sur l'organe de direction, qui définit et approuve la stratégie de résilience opérationnelle numérique et en supervise la mise en œuvre. Le cadre de gestion du risque de l'article 6 fait l'objet d'un réexamen au moins une fois par an, ainsi qu'à la suite d'incidents majeurs liés aux TIC. Pour les entités relevant du cadre simplifié de l'article 16, le réexamen est périodique et intervient également après un incident majeur.

Gestion et notification des incidents, articles 17 à 23

Les entités mettent en place un processus de gestion des incidents liés aux TIC et les classent selon les critères de l'article 18. L'article 19 impose la notification des incidents majeurs à l'autorité compétente, en trois temps, dont les délais sont fixés par l'article 5 du règlement délégué (UE) 2025/301 : la notification initiale intervient dès que possible et en tout état de cause dans les quatre heures suivant la classification de l'incident comme majeur, sans dépasser vingt-quatre heures à compter du moment où l'entité en a eu connaissance ; le rapport intermédiaire au plus tard soixante-douze heures après la notification initiale ; et le rapport final au plus tard un mois après le rapport intermédiaire ou, le cas échéant, après sa dernière mise à jour. Le règlement délégué prévoit un aménagement pour les week-ends et jours fériés, dont sont exclus les établissements de crédit, les contreparties centrales et les opérateurs de plates-formes de négociation.

Tests de résilience, articles 24 à 27

L'article 25 impose un programme de tests comprenant un éventail d'évaluations, de tests et de méthodologies, réalisés au moins une fois par an sur les systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes. L'article 26.1 impose aux entités désignées de réaliser au moins tous les trois ans des tests avancés fondés sur la menace, dits TLPT, portant sur plusieurs ou sur la totalité des fonctions critiques ou importantes.

Registre d’information, article 28.3

Les entités financières tiennent et actualisent, au niveau de l'entité ainsi qu'aux niveaux sous-consolidé et consolidé, un registre d'information relatif à l'ensemble des accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Ce registre est communiqué aux autorités compétentes à leur demande, et l'entité les informe en temps utile de tout projet d'accord portant sur l'utilisation de services TIC soutenant des fonctions critiques ou importantes.

Clauses contractuelles obligatoires, article 30

L'article 30.2 énumère les clauses devant figurer dans tout accord de services TIC, dont la description complète des services, les lieux de prestation et de traitement des données, les dispositions relatives à la protection des données, les droits d'accès, d'inspection et d'audit, les délais de préavis et obligations de signalement, l'assistance en cas d'incident, et les conditions de résiliation avec stratégies de sortie. L'article 30.3 ajoute, pour les services soutenant des fonctions critiques ou importantes, des exigences renforcées : niveaux de service précis avec objectifs quantitatifs, obligations de coopération aux tests TLPT, plans d'urgence, et périodes de transition obligatoires en cas de sortie.

Sanctions et autorité compétente

À la différence du règlement (UE) 2016/679 et de la directive (UE) 2022/2555, DORA ne fixe pas lui-même de plafond chiffré d'amende applicable aux entités financières. L'article 50 impose aux autorités compétentes de disposer de pouvoirs de surveillance, d'enquête et de sanction et laisse aux États membres le soin de déterminer les sanctions administratives et mesures correctives, qui doivent être effectives, proportionnées et dissuasives. L'article 52 ouvre en outre aux États membres la faculté de prévoir des sanctions pénales. Les autorités compétentes sont, pour chaque catégorie d'entité, celles désignées à l'article 46, soit en France l'Autorité de contrôle prudentiel et de résolution et l'Autorité des marchés financiers selon le statut de l'entité.

Le règlement chiffre en revanche les astreintes applicables aux prestataires tiers critiques placés sous supervision.

Astreintes sur les prestataires critiques, article 35.8

Le superviseur principal peut infliger au prestataire tiers critique de services TIC des astreintes dont le montant journalier s'élève à 1 % du chiffre d'affaires journalier moyen réalisé au niveau mondial au cours de l'exercice précédent, appliquées jusqu'à l'obtention du respect de la décision et pour une durée maximale de six mois à compter de la notification de la décision.

Publication des sanctions, article 54

Les autorités compétentes publient sur leur site internet officiel, sans retard indu, toute décision imposant une sanction administrative contre laquelle il n'existe pas de recours, après notification à la personne sanctionnée.

Responsabilité de l’organe de direction, article 5.2

L'organe de direction assume la responsabilité finale de la gestion du risque lié aux TIC. Il est notamment tenu, au titre de l'article 5.4, de suivre régulièrement une formation spécifique pour acquérir et tenir à jour des connaissances et des compétences suffisantes afin de comprendre et d'évaluer le risque lié aux TIC et son incidence sur les opérations de l'entité.

Intervention de Sila : analyse d'écart DORA et audit des prestataires TIC

L'assujettissement se vérifie d'abord catégorie par catégorie sur la liste de l'article 2.1, puis par examen des exclusions de l'article 2.3 et de l'éligibilité au cadre simplifié de l'article 16, la qualification de microentreprise au sens de l'article 3.60 étant appréciée sur les seuils de dix personnes et de 2 millions d'euros.

Le registre d'information de l'article 28.3 constitue le poste le plus lourd pour les entités qui partent d'une cartographie contractuelle incomplète : il suppose d'inventorier l'ensemble des accords TIC, d'identifier les fonctions critiques ou importantes qu'ils soutiennent, et de remonter la chaîne de sous-traitance.

La reprise contractuelle porte ensuite sur les clauses de l'article 30.2 pour l'ensemble des accords, et sur les exigences renforcées de l'article 30.3 pour les accords soutenant des fonctions critiques ou importantes, avec les stratégies de sortie et périodes de transition correspondantes.

Restent la formalisation du processus de gestion et de classification des incidents des articles 17 et 18, la procédure de notification de l'article 19, et le programme de tests de l'article 25, avec le cas échéant le cycle triennal de tests fondés sur la menace de l'article 26.

La méthode, en quatre étapes

  1. 01Diagnostic d'écart

    Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.

  2. 02Cartographie

    Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.

  3. 03Mesures techniques et organisationnelles

    Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.

  4. 04Dossier de preuves

    Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.

Devis personnalisé sous 48 h

Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.

La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.

Questions fréquentes

Depuis quand le règlement DORA est-il applicable ?

Le règlement (UE) 2022/2554 est entré en vigueur le 16 janvier 2023 et est applicable depuis le 17 janvier 2025. Il ne comporte pas de période transitoire : l'ensemble de ses obligations, dont le registre d'information de l'article 28.3 et les clauses contractuelles de l'article 30, sont opposables depuis cette date.

Quelles entités relèvent du règlement DORA ?

L'article 2.1 du règlement (UE) 2022/2554 énumère limitativement les catégories concernées, dont les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les prestataires de services sur crypto-actifs agréés au titre du règlement (UE) 2023/1114, les dépositaires centraux de titres, les contreparties centrales, les plates-formes de négociation, les gestionnaires de fonds d'investissement alternatifs, les sociétés de gestion d'OPCVM, les entreprises d'assurance et de réassurance, les intermédiaires d'assurance, les institutions de retraite professionnelle et les agences de notation de crédit. Le règlement s'applique également aux prestataires tiers de services TIC, et de façon renforcée à ceux désignés comme critiques au titre de l'article 31.

Qu'est-ce que le registre d'information exigé par DORA ?

L'article 28.3 du règlement (UE) 2022/2554 impose à chaque entité financière de tenir et d'actualiser, au niveau de l'entité et aux niveaux sous-consolidé et consolidé, un registre d'information relatif à tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers, en distinguant ceux qui soutiennent des fonctions critiques ou importantes. Ce registre est communiqué aux autorités compétentes à leur demande, et l'entité informe l'autorité en temps utile de tout projet d'accord portant sur des services TIC soutenant des fonctions critiques ou importantes.

Quelles clauses DORA impose-t-il dans les contrats de prestation informatique ?

L'article 30.2 du règlement (UE) 2022/2554 impose dans tout accord de services TIC la description complète des services, les lieux de prestation et de traitement des données, les dispositions relatives à la protection des données, les droits d'accès, d'inspection et d'audit, les délais de préavis et obligations de signalement, l'assistance en cas d'incident et les conditions de résiliation assorties de stratégies de sortie. L'article 30.3 ajoute pour les services soutenant des fonctions critiques ou importantes des niveaux de service assortis d'objectifs quantitatifs précis, l'obligation de participer aux tests de pénétration fondés sur la menace, des plans d'urgence, et des périodes de transition obligatoires en cas de sortie.

À quelle fréquence les tests de résilience doivent-ils être réalisés ?

L'article 25 du règlement (UE) 2022/2554 impose un programme de tests réalisés au moins une fois par an sur l'ensemble des systèmes et applications TIC qui soutiennent des fonctions critiques ou importantes. L'article 26.1 impose en outre aux entités financières désignées par les autorités compétentes de réaliser, au moins tous les trois ans, des tests avancés fondés sur la menace, dits TLPT, portant sur plusieurs ou sur la totalité de leurs fonctions critiques ou importantes.

Aller plus loin sur une question précise

Le socle applicable à tous les contrats TIC, le bloc supplémentaire pour les fonctions critiques, le registre d'information de l'article 28, et la superposition avec l'article 28 du RGPD.

DORA article 30 : clauses obligatoires des contrats TIC

Ce que l'article 28.3 impose de recenser, la qualification des fonctions critiques ou importantes, et l'évaluation préalable de l'article 28.4.

DORA article 28.3 : le registre d'information TIC

Ce que ce régime déclenche ailleurs

L'article 4 de la directive (UE) 2022/2555 organise le retrait de ses propres obligations au profit d'un acte sectoriel au moins équivalent. Cela ne dispense pas de vérifier le périmètre : une entité peut relever de DORA pour son activité financière et de NIS2 pour une autre.

Comprendre ce que NIS2 n'impose plus à une entité financière

La surveillance des prestataires critiques imposée par le règlement (UE) 2022/2554 croise les obligations de contrôle des sous-traitants de l'article 28 du RGPD : les mêmes flux de données sont examinés deux fois, sous deux régimes. Le délégué à la protection des données est la fonction qui tient déjà l'inventaire de ces flux.

Confier le mandat de DPO externalisé et la conformité des flux de données

Le même contrat de prestation TIC doit satisfaire l'article 30 du règlement (UE) 2022/2554 et, dès lors que le prestataire traite des données à caractère personnel pour le compte de l'entité, l'article 28.3 du règlement (UE) 2016/679. Renégocier l'un sans l'autre conduit à rouvrir le contrat deux fois.

Superposer les clauses de l'article 28 du RGPD

Le périmètre d'assujettissement à DORA se détermine par la nature de l'entité au sens de l'article 2, laquelle découle de la forme retenue lors de l'implantation. L'arbitrage se fait donc avant l'immatriculation, non après.

Structurer une entité financière s'implantant en Europe

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.