Risque lié aux tiers dans le domaine des TIC dans le cadre de la directive DORA : obligations et mise en œuvre
Ce texte a été généré par l'intelligence artificielle (IA).
Le règlement (UE) 2022/2554, dit « DORA », s'applique directement dans tous les États membres de l'UE depuis le 17 janvier 2025. Pour les responsables informatiques, les RSSI et les dirigeants d’entreprises financières, la gestion des risques liés aux tiers dans le domaine des TIC figure parmi les obligations les plus contraignantes du règlement. DORA exige la tenue d’un registre d’informations mis à jour en permanence sur les contrats TIC, des évaluations des risques documentées avant la conclusion des contrats, des clauses contractuelles adaptées, une surveillance continue et des stratégies de sortie testées. Cet article présente les exigences concrètes des articles 28 à 30 et explique comment les mettre en œuvre de manière pratique à l’aide de notations automatisées et d’une gestion des risques liés aux fournisseurs. Mise à jour des informations : août 2026.
Les termes suivants sont également courants : Risques liés aux tiers dans le domaine des TIC, DORA : gestion des risques liés aux tiers et Gestion des tiers dans le domaine des TIC. Il s'agit des risques liés aux services TIC fournis par des prestataires externes ou internes au groupe, auxquels une entreprise financière a recours.
L'essentiel en bref
La loi DORA est directement applicable depuis le 17 janvier 2025. Les articles 28 à 30 régissent la gestion des risques liés aux tiers dans le domaine des TIC.
Les établissements financiers tiennent un registre contenant des informations sur l'ensemble de leurs relations contractuelles dans le domaine des TIC. La BaFin a demandé pour la première fois la communication de ces informations en avril 2025 ; depuis 2026, les entreprises les transmettent chaque année au mois de mars.
Avant toute conclusion de contrat, une évaluation des risques, une diligence raisonnable et une analyse du risque de concentration sont obligatoires.
Les contrats portant sur des fonctions critiques ou essentielles doivent comporter des clauses supplémentaires, notamment des droits d'audit, des indicateurs de performance et une aide à la sortie.
Le 18 novembre 2025, les autorités de surveillance de l'UE ont désigné les 19 premiers prestataires de services TIC tiers d'importance critique et les ont placés sous surveillance directe.
Ce qu'exige DORA en matière de risques liés aux tiers dans le domaine des TIC
Selon les informations fournies par l'Autorité européenne des marchés financiers (AEMF), DORA couvre 21 types d'entités financières, parmi lesquelles les banques, les assureurs, les établissements de paiement et de monnaie électronique, les établissements de valeurs mobilières et les sociétés de gestion de capitaux. La gestion du risque de tiers lié aux TIC est régie par le chapitre V du règlement. L'article 28 énonce les principes généraux, l'article 29 traite de l'évaluation du risque de concentration et l'article 30 définit les éléments minimaux que doit comporter le contrat.
Le principe fondamental est énoncé à l'article 28, paragraphe 1 : les entreprises financières restent à tout moment pleinement responsables du respect du règlement, même lorsqu'elles sous-traitent des services TIC à des tiers. L'externalisation transfère des tâches, mais pas la responsabilité. Les exigences s’appliquent de manière proportionnée. L’étendue et la portée des mesures dépendent de la taille et du profil de risque de l’entreprise, ainsi que du caractère critique des services sous-traités.
En outre, le règlement exige la mise en place d'une stratégie relative au risque lié aux tiers dans le domaine des TIC, dont la responsabilité incombe à l'organe de direction et qui doit être régulièrement réexaminée. Notre article consacré à ce sujet offre une vue d'ensemble de tous les domaines d'obligations : Règlement DORA.
Le registre d'informations : fondement de la surveillance
L'article 28, paragraphe 3, oblige les entreprises financières à tenir un registre contenant des informations sur tous les accords contractuels conclus avec des prestataires de services TIC tiers, tant au niveau individuel qu'aux niveaux partiellement consolidé et consolidé. Ce registre indique si un accord concerne des fonctions critiques ou importantes.
Le règlement d'exécution (UE) 2024/2956 du 29 novembre 2024 définit la structure que doit avoir le registre. Il établit des modèles standard obligatoires assortis de formulaires de déclaration liés, qui prennent également en compte les sous-traitances. En Allemagne, selon son propre communiqué, la BaFin a reçu pour la première fois les registres entre le 14 et le 28 avril 2025 via sa plateforme de déclaration et de publication (MVP), avec des données à la date du 31 mars 2025. Depuis 2026, selon la BaFin, les entreprises financières soumettent leur registre chaque année entre le 9 et le 30 mars, avec des données à la date du 31 décembre de l'année précédente.
À cela s'ajoutent des obligations de déclaration. Les entreprises financières doivent communiquer à l'autorité compétente, au moins une fois par an, le nombre de nouveaux accords relatifs aux TIC et l'informer au préalable des contrats prévus qui concernent des fonctions critiques ou importantes. Ceux qui tiennent à jour le registre manuellement dans des tableaux sous-estiment souvent la charge de travail que cela représente. Les modèles exigent des informations cohérentes sur plusieurs formulaires de déclaration liés entre eux, jusqu’à la chaîne des sous-traitants.
Évaluation des risques avant la conclusion du contrat
Avant qu’une entreprise financière ne conclue un contrat informatique, l’article 28, paragraphe 4, exige une évaluation documentée. Celle-ci permet de déterminer si le contrat soutient une fonction critique ou importante, si les conditions prudentielles sont respectées et quels risques l’accord comporte. Cela inclut expressément le risque de concentration visé à l’article 29 : le prestataire peut-il être remplacé, existe-t-il déjà plusieurs contrats avec le même prestataire et quels risques découlent des chaînes de sous-traitance, y compris vers des pays tiers ?
Une partie de l'évaluation consiste en une vérification préalable (due diligence) du prestataire. Les établissements financiers évaluent si le prestataire est apte à remplir sa mission et s'il respecte des normes adéquates en matière de sécurité de l'information. Dans la pratique, cette évaluation repose souvent uniquement sur les déclarations du prestataire et sur des certificats. Un Note de sécurité complète ces documents par un élément d'information objectif et mesurable de manière externe. Il donne un aperçu de l'état des systèmes informatiques accessibles au public du prestataire, depuis les services ouverts jusqu'aux logiciels exposés, en passant par la configuration des serveurs de certificats et de messagerie. L'examen de la situation financière, des certificats et de la conformité contractuelle ne remplace pas une notation. Il rend toutefois la sélection des prestataires plus fiable et facilite leur comparaison.
Exigences contractuelles prévues à l'article 30
L'article 30 définit les éléments minimaux que doit comporter tout contrat relatif aux TIC. Des exigences plus strictes s'appliquent aux contrats qui concernent des fonctions critiques ou essentielles. Le tableau suivant résume les points essentiels (sélection, mise à jour : août 2026) :
Exigence contractuelle
Base juridique
Champ d'application
Description claire des fonctionnalités et des services TIC convenus
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Indication des lieux de prestation et de traitement des données, y compris la notification des modifications
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Dispositions relatives à la disponibilité, à l'authenticité, à l'intégrité et à la confidentialité des données
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Accès, restitution et récupération des données en cas d'insolvabilité ou de résiliation du contrat
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Assistance en cas d'incidents informatiques, sans frais supplémentaires ni frais prédéfinis
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Droits de résiliation et délais de préavis minimaux
Art. 30, al. 2, de la DORA
Tous les contrats relatifs aux TIC
Description des prestations avec des objectifs quantitatifs et qualitatifs
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Obligations de déclaration du prestataire de services en cas d'évolutions ayant des répercussions significatives
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Plans d'urgence et mesures de sécurité informatique, y compris les tests
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Participation à des tests d'intrusion axés sur les menaces (TLPT)
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Droits d'accès, d'inspection et d'audit sans restriction
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Accompagnement à la sortie avec une période de transition appropriée
Art. 30, al. 3, de la DORA
Fonctions critiques ou importantes
Pour de nombreux contrats existants, cela implique des renégociations. Il est judicieux de procéder à une analyse des écarts entre tous les contrats en cours et les exigences de l'article 30, en les classant par ordre de priorité en fonction de la criticité de la fonction prise en charge.
Suivi continu et stratégies de sortie
C'est avec la signature du contrat que commence le véritable travail. La norme DORA exige de surveiller en permanence les performances et le profil de risque des prestataires tiers de services TIC et de tenir à jour le registre d'informations. L'article 28, paragraphe 7, énumère en outre les cas dans lesquels les établissements financiers doivent pouvoir résilier les contrats, par exemple en cas de violations graves de la loi par le prestataire, de faiblesses avérées dans sa gestion des risques liés aux TIC ou lorsque l'autorité de contrôle n'est plus en mesure d'exercer une surveillance efficace sur l'établissement en raison de cet accord.
Pour les fonctions critiques ou importantes, l'article 28, paragraphe 8, exige la mise en place de stratégies de sortie documentées. Celles-ci comprennent des plans de transition, des alternatives validées et une approche réaliste permettant de récupérer ou de transférer les données et les fonctions sans interruption de l'activité.
Pour la surveillance continue, la combinaison de deux points de vue s'est avérée efficace. Les questionnaires et les justificatifs fournissent le point de vue interne du prestataire de services, tandis que les mesures techniques continues apportent le point de vue externe. Gestion de la surface d'attaque externe recense les systèmes d'un prestataire accessibles au public sans installation d'agent et sans intervention de sa part. Si la notation d'un prestataire se détériore, cela constitue un motif documenté justifiant des demandes de précisions bien avant la date d'échéance du prochain questionnaire annuel.
Du point de vue technique, il est également important de savoir dans quels délais les nouvelles alertes de vulnérabilité sont prises en compte. LocateRisk utilise Intelligence préemptive, afin de recouper les signalements provenant de plusieurs sources avec la surface d'attaque d'un prestataire de services TIC avant même une évaluation finale par le NVD. Cela fournit un motif supplémentaire et documentable pour adresser une demande fondée sur les risques au prestataire.
Les prestataires tiers de services TIC critiques placés sous la surveillance de l'UE
Une nouveauté de DORA est le cadre de surveillance des prestataires tiers de services TIC critiques. Les trois autorités de surveillance financière de l’UE, l’ABE, l’AEAPP et l’AEMF, désignent les prestataires dont la défaillance aurait des conséquences graves pour le secteur financier et les placent sous la surveillance directe d’une autorité de surveillance chef de file (Lead Overseer). Le 18 novembre 2025, les autorités ont publié la première liste comprenant 19 prestataires désignés, parmi lesquels figurent de grands fournisseurs de services cloud, des exploitants de centres de données et de réseaux, ainsi que des éditeurs de logiciels destinés au secteur financier.
Le responsable principal peut demander des informations, mener des enquêtes et des inspections, et formuler des recommandations. Si un prestataire de services TIC tiers d'importance critique ne respecte pas ses obligations de coopération, l'article 35 du règlement prévoit des astreintes pouvant atteindre 1 % du chiffre d'affaires quotidien moyen réalisé à l'échelle mondiale au cours de l'exercice précédent, infligées quotidiennement pendant une durée maximale de six mois.
Important pour les établissements financiers : le fait de désigner un prestataire comme « critique » n'entraîne aucun transfert d'obligations. L'évaluation des risques, les clauses contractuelles, la tenue des registres et la surveillance restent de la responsabilité de chaque établissement financier, y compris vis-à-vis des prestataires désignés.
Mise en œuvre en cinq étapes
Les cinq étapes suivantes ont fait leurs preuves pour la mise en place d'un système de gestion des risques liés aux tiers dans le domaine des TIC conforme à la directive DORA :
Étape 1 : Recenser le stock. Recenser tous les contrats relatifs aux TIC, attribuer les fonctions critiques ou importantes et établir le registre des informations conformément aux modèles prévus par le règlement d'exécution (UE) n° 2024/2956.
Étape 2 : Définir le processus d'évaluation. Intégrer de manière systématique la « due diligence », l'analyse de concentration et l'évaluation des risques avant la conclusion du contrat, en incluant une notation externe pour chaque prestataire à des fins de comparaison.
Étape 3 : Mettre à jour les contrats. Vérifier les contrats existants au regard de l'article 30 et hiérarchiser les renégociations en fonction de leur importance.
Étape 4 : Automatiser la surveillance. Regrouper les questionnaires, les justificatifs et les notations continues au sein d'un système de gestion des risques fournisseurs, avec des rappels, des procédures d'escalade et une documentation conforme aux exigences d'audit.
Étape 5 : Tester les stratégies de sortie. Documenter les plans de reprise après sinistre pour les fonctions critiques, les tester régulièrement et tenir le registre à jour en permanence.
Avec le Gestion des risques liés aux tiers par LocateRisk Les étapes 2 et 4 sont en grande partie automatisées. La plateforme établit des notes de sécurité basées sur des indicateurs clés de performance (KPI) pour vos prestataires de services sans installation d’agent ; une première analyse est disponible dans les 48 heures. Les processus liés aux questionnaires, aux invitations et aux justificatifs sont regroupés au sein d’un même système, hébergé dans des centres de données allemands certifiés. Pour contextualiser : l’analyse rend visibles de l’extérieur l’exposition aux risques et les logiciels utilisés. Il n’est toutefois pas toujours possible de déterminer de manière définitive depuis l’extérieur si une version concrètement vulnérable est utilisée. Le registre lui-même et les adaptations contractuelles restent du ressort de vos services juridiques et d’externalisation ; la plateforme fournit les données relatives aux risques ainsi que la documentation correspondante.
Pour toutes les entreprises financières relevant du champ d'application du règlement. L'AEMF en recense 21 types, allant des banques aux assureurs en passant par les sociétés de gestion de capitaux. Les obligations s'appliquent de manière proportionnée à la taille et au profil de risque, mais ne sont pas supprimées pour autant.
Oui. Le registre recense tous les accords contractuels relatifs aux services TIC, que le prestataire fasse partie ou non du groupe. Les exigences en matière d'évaluation et de contrats s'appliquent également aux prestataires internes au groupe.
Chaque établissement financier évalue lui-même ses fonctions critiques ou importantes. Cette classification détermine les exigences contractuelles et de sortie les plus strictes. En revanche, ce sont les autorités de surveillance de l'UE qui désignent de manière centralisée les prestataires de services TIC tiers jugés critiques. Ces prestataires sont placés sous la surveillance directe de l'UE ; cette mesure s'appliquera dans un premier temps à 19 prestataires en novembre 2025.
Non. Un certificat constitue un élément utile dans le cadre de la diligence raisonnable. Il ne remplace toutefois ni l'évaluation des risques effectuée par l'entreprise financière elle-même, ni les dispositions contractuelles minimales, ni la surveillance continue. La directive DORA exige une évaluation distincte et documentée de la part de l'entreprise financière.
Les établissements financiers tiennent ce registre à jour en permanence. Conformément aux directives de la BaFin, ce registre est transmis chaque année via la plateforme MVP ; la première transmission a eu lieu en avril 2025 avec les données au 31 mars 2025, puis, depuis 2026, entre le 9 et le 30 mars avec les données au 31 décembre de l'année précédente. Les entreprises financières communiquent à l'autorité le nombre de nouveaux accords relatifs aux TIC au moins une fois par an et signalent à l'avance les contrats prévus concernant des fonctions critiques ou importantes.
La gestion des risques liés aux tiers dans le domaine des TIC dans le cadre de la directive DORA est une mission permanente, et non un exercice ponctuel. En intégrant dès le début les registres, les évaluations et la surveillance dans des processus structurés, vous réduisez à la fois la charge de travail et le risque d'audit. LocateRisk vous accompagne dans cette démarche grâce à des notations de sécurité automatisées et à une gestion des risques liés aux fournisseurs qui regroupe les questionnaires, les justificatifs et une vision externe continue de vos prestataires. Pour savoir comment mettre en place votre surveillance des prestataires conformément à la réglementation DORA, rendez-vous sur notre page La gestion des risques liés aux fournisseurs en toute simplicité.
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English