Le règlement DORA établit une exception sectorielle puisqu’il développe des exigences spécifiques au secteur financier, désormais fortement numérise [1]. Il se distingue ainsi de la récente Directive (UE) 2022/2555 « Network Information Security » dit « NIS2 » qui a vocation à s’appliquer à dix-huit secteurs essentiels et critiques comme l’énergie, la santé ou les infrastructures numériques [2].
Le règlement DORA érige la résilience opérationnelle numérique en norme de conduite prudentielle pour les entités financières. La justification de cette réglementation repose sur l’analyse que les risques liés aux TIC sont susceptibles de constituer une vulnérabilité systémique. Le secteur financier qui est sujet à de nombreuses cyber-menaces, doit associer opérationnellement les logiques préventives de la cybersécurité aux logiques proactives de la cyber-résilience afin de prendre en considération les risques de contagion en raison de ses interconnexions.
L’objectif affiché du règlement est de renforcer la résilience opérationnelle qui est définie par le texte « comme la capacité d’une entité financière à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelle (…) y compris en cas de perturbation » [3]. En renforçant un ensemble d’exigence tel que les tests de résilience, le reporting des incidents en plus de la gestion du risque informatique et des prescriptions techniques et organisationnelles de protection, il ne s’agit plus seulement pour l’entité financière de se préparer aux cybermenaces, mais surtout de se mettre véritablement en capacité de poursuivre ses activités en dépit de la réalisation d’une cyberattaque pouvant entraîner l’altération, la destruction ou le chiffrement de tout ou partie de ses données.
Le règlement DORA s’insère ainsi dans la continuité des mesures relatives à la finance numérique prises en Europe dans le cadre du « Digital finance package » comme le « moyen le plus approprié de garantir une application homogène et cohérente de toutes les composantes de la gestion du risque lié aux TIC par le secteur financier de l’Union » « afin de favoriser la convergence en matière de surveillance et d’accroître la sécurité juridique, limiter les coûts de mise en conformité et à réduire les distorsions de concurrence » [4]. L’Autorité des marché financier (AMF) a récemment rappelé l’importance de ce règlement lors de sa série de contrôles SPOT (« Supervision des Pratiques Opérationnelles et Thématiques ») portant sur les dispositifs de cybersécurité [5].
Le cadre de gestion global et contractuel du risque lié aux « prestataires tiers de services TIC » occupe désormais une place centrale au sein du règlement qui est identifié comme le « risque lié aux TIC auquel une entité financière peut être exposée du fait de son recours à des services TIC fournis par des prestataires tiers de services TIC ou par des sous-traitants, y compris au moyen d’accords d’externalisation » [6].
Le règlement DORA définit les principes clés pour la gestion des risques liés au prestataire TIC à travers cinq piliers. Le présent article revient sur le dispositif contractuel à adopter par les acteurs du secteur financier pour se mettre en conformité avec ce nouveau règlement.
I/ Retour sur les articles obligatoires à intégrer au sein des contrats TIC conclus avec les prestataires de services TIC au sein du secteur financier.
A/ Le champ d’application large du règlement DORA.
Le règlement DORA s’applique aux accords contractuels conclus entre les entités financières et prestataires tiers de services TIC. L’une des caractéristiques du règlement et son champ d’application particulièrement large. Le texte liste, en effet, vingt-et-une (21) catégories d’entreprises concernées.
Les vingt premières catégories identifiées aux points a) à t) de l’article 2, visent la quasi-majorité des entités systémiques du secteur financier, bancaire et assurantiel [7].
La dernière catégorie concerne quant à elle les « tiers prestataires de services informatiques » [8]. Le Règlement s’applique largement à tous les prestataires informatiques de « fourniture », de « saisie », « de stockage » et « de traitement de données » au sein du secteur financier [9]. Autrement dit, tout prestataire en tant que fournisseur ou sous-traitant de service TIC dans le secteur financier est tenu d’appliquer les règles organisationnelles et techniques de cybersécurité issues de ce règlement afin de garantir la résilience opérationnelle de l’entité financière concernée. Concrètement, le règlement a vocation à s’appliquer à un très grand nombre des prestataires de services TIC intervenant au sein du secteur financier tels que les services de fourniture ou d’analyse de données, les éditeurs de logiciels installés « on premise » et/ou déployés sur le cloud (« Saas », « Paas » ou « Iaas ») mais encore plus généralement les hébergeurs comme Amazon Web Services, Microsoft Azure, OVH cloud ou Google Cloud Platform.
Il faut souligner que le règlement DORA prévoit des dispositions particulières les prestataires identifiés comme fournissant des prestations « critiques ou importantes » selon les modalités précisées par l’article 31 du règlement et dans un règlement délégué de la Commission européenne [10], lorsque ces prestataires sont susceptibles d’avoir un impact systémique sur la stabilité, la continuité ou la qualité de la fourniture de services TIC financiers au sein de l’Union européenne. D’une part, ils seront soumis à la supervision des autorités européennes de supervision [11], à savoir l’ESMA, l’ABE et l’EIOPA, et d’autre part les contrats les concernant sont particulièrement encadrés comment décrits ci-après.
Enfin, le règlement introduit un principe de proportionnalité en vertu duquel les entités financières de petite taille ainsi que les micro-entreprises [12] pourront bénéficier d’un cadre simplifié de gestion des risques liés au TIC.
Un premier point d’attention doit donc porter sur le travail de qualification des prestataires afin d’identifier ceux concernés par le règlement DORA.
B/ Les clauses obligatoires à insérer dans les contrats TIC pour la résilience numérique des entités du secteur financier.
Le règlement DORA exige des institutions financières et des prestataires de services TIC qu’ils intègrent dans leur contrat une série de clauses obligatoires. Ces mesures figurent au sein de la section I « Principes clés pour une bonne gestion des risques liés aux prestataires tiers de services TIC » du chapitre V du règlement. Le texte reprend certains des principes contractuels cardinaux prévus dans les orientations de l’Autorité bancaire européenne (ABE) concernant l’externalisation [13], mais de manière plus prescriptive en les ajustant par ailleurs selon les risques TIC.
De ce point de vue, le règlement DORA présente l’intérêt bien compris d’équilibrer les négociations contractuelles des entités financières avec certains prestataires TIC parfois récalcitrants, notamment avec les plus grands acteurs du marché du numérique.
Plus précisément, l’article 30 du règlement DORA précise les clauses devant obligatoirement être insérées dans tous les contrats relatifs à des services TIC [14], ainsi que les clauses additionnelles à insérer lorsque ces services portent sur des fonctions critiques ou importantes [15].
Ainsi, l’ensemble des contrats relatifs à l’utilisation de services TIC doivent comporter, a minima, les exigences suivantes :
- une description claire et exhaustive de tous les services TIC et fonctions qui seront fournis par le prestataire tiers de services TIC, indiquant si la sous-traitance d’un service TIC qui soutient une fonction critique ou importante, ou de parties significatives de celle-ci, est autorisée et, le cas échéant, les conditions applicables à cette sous-traitance ;
- les lieux, notamment les régions ou les pays, où les services TIC et fonctions visés par le contrat ou la sous-traitance seront fournis et où les données seront traitées, y compris le lieu de stockage, et l’obligation pour le prestataire tiers de services TIC d’informer au préalable l’entité financière si celui-ci envisage de changer ces lieux ;
- des dispositions sur la disponibilité, l’authenticité, l’intégrité et la confidentialité en ce qui concerne la protection des données, y compris les données à caractère personnel ;
- des dispositions sur la garantie de l’accès, de la récupération et de la restitution, dans un format facilement accessible, des données à caractère personnel et autres traitées par l’entité financière en cas d’insolvabilité, de résolution, de cessation des activités du prestataire tiers de services TIC ou de résiliation des accords contractuels ;
- des descriptions des niveaux de service, y compris leurs mises à jour et révisions ;
- l’obligation pour le prestataire tiers de services TIC de fournir à l’entité financière, sans frais supplémentaires ou à un coût déterminé ex-ante, une assistance en cas d’incident lié aux TIC en rapport avec le service TIC fourni à l’entité financière ;
- l’obligation pour le prestataire tiers de services TIC de coopérer pleinement avec les autorités compétentes et les autorités de résolution de l’entité financière, y compris les personnes nommées par eux ;
- les droits de résiliation et les délais de préavis minimaux correspondants pour la résiliation des accords contractuels, conformément aux attentes des autorités compétentes et des autorités de résolution ;
- les conditions de participation des prestataires tiers de services TIC aux programmes de sensibilisation à la sécurité des TIC et aux formations à la résilience opérationnelle numérique. Cette disposition est loin d’être négligeable, car elle répond directement à l’objectif de résiliation numérique affiché par le texte, le facteur humain demeure encore l’une des principales sources de vulnérabilité des systèmes d’information.
Lorsque les prestations TIC portent sur des fonctions considérées comme critiques ou importantes pour les entités financières, le règlement DORA impose d’inclure dans ces mêmes contrats les dispositions additionnelles suivantes :
- des descriptions complètes des niveaux de service, y compris leurs mises à jour et révisions, assorties d’objectifs de performance quantitatifs et qualitatifs précis dans le cadre des niveaux de service convenus ;
- les délais de préavis et les obligations de notification du prestataire tiers de services TIC à l’entité financière, y compris la notification de tout développement susceptible d’avoir une incidence significative sur sa capacité à fournir les services TIC qui soutiennent des fonctions critiques ou importantes de manière efficace conformément aux niveaux de service convenus ;
- l’obligation pour le prestataire tiers de services TIC de mettre en œuvre et de tester des plans d’urgence et de mettre en place des mesures, des outils et des politiques de sécurité des TIC qui fournissent un niveau approprié de sécurité ;
- l’obligation pour le prestataire tiers de services TIC de participer et de coopérer pleinement au test de pénétration fondé sur la menace effectué par l’entité financière ;
- le droit d’assurer un suivi permanent des performances du prestataire tiers de services TIC, ce qui se traduit par un droit d’audit renforcé au bénéfice des entités financières et des autorités compétentes ;
- les stratégies de sortie, en particulier la fixation d’une période de transition adéquate obligatoire, afin de réduire le risque de perturbation et permettre à l’entité financière de migrer vers un autre prestataire tiers de services TIC ou de recourir à des solutions en interne adaptées.
Par conséquent, le travail de mise en conformité des contrats au règlement DORA nécessite l’identification préalable des prestataires TIC et des contrats concernés, avant de procéder à l’ajustement de la documentation contractuelle pertinente et à la remédiation contractuelle exigée.
II/ Définition de la gouvernance en matière de gestion des prestations TIC et déploiement du registre d’information.
A/ La définition de la stratégie en matière de risques liés aux prestataires TIC.
Le règlement DORA oblige les entités financières à disposer d’une stratégie pertinente et proportionnée [16] en matière de risques liés aux prestataires tiers de services TIC ainsi qu’une politique liée aux services TIC. Pour ce faire, ils doivent définir un cadre de gestion solide, complet et bien documenté, faisant partie de leur système global de gestion des risques afin de garantir un niveau élevé de résilience opérationnelle numérique [17].
Concrètement, il appartient aux entités financières de définir sa stratégie de résilience opérationnelle numérique et des moyens alloués pour la mettre en œuvre [18], mais également d’ajuster ses politiques et procédures de gestion du risque lié aux TIC et à l’organisation du cadre de gestion du risque lié aux TIC [19].
Pour atteindre un niveau de résilience opérationnel adéquat, les organes de direction doivent se doter des compétences opérationnelles, et des outils de contrôles internes, mais également recevoir des informations complètes et actualisées, afin d’optimiser les décisions prises au plus haut niveau de l’entité financière.
Les organes de direction doivent en effet examiner régulièrement les risques attachés aux prestataires tiers de services TIC et accords contractuels. Cette stratégie doit par ailleurs intégrer une politique relative à l’utilisation des services, notamment pour ceux qui soutiennent des fonctions critiques ou importantes [20]. Les organes de direction occupent ainsi un rôle déterminant dans la définition de cette stratégie puisqu’ils assument « la responsabilité ultime » de la gestion du risque lié aux TIC de l’entité financière [21].
Dès la phase de sélection des Prestataires, les entités financières doivent faire preuve de diligence en réalisation des audits des contrats et en sélectionnant des prestataires qui respectent les « normes adéquates en matière de sécurité de l’information » [22], tout en anticipant les éventuels risques de concentrations avec les mêmes prestataires.
L’article 28, § 1, a du règlement DORA oblige par ailleurs que :
« les entités financières qui ont conclu des accords contractuels pour l’utilisation de services TIC dans le cadre de leurs activités restent à tout moment pleinement responsables du respect et de l’exécution de toutes les obligations découlant du présent règlement et du droit applicable aux services financiers ».
C’est pourquoi l’entité financière doit rester vigilante à ce qu’un contrat puisse être résilié dans certaines circonstances définies au sein de l’article 28 du règlement DORA, notamment lorsque le prestataire tiers de service TIC présente des insuffisances en matière de gestion des risques liés aux TIC ou en matière de coopération avec les autorités de régulation, mais également si le suivi des risques révèle l’existence de circonstances susceptibles d’altérer l’exécution des fonctions prévues par le contrat [23]. Pour ce faire, les entités financières et leurs prestataires doivent veiller soigneusement à intégrer ces cas de résiliation lors du travail de rédaction contractuelle de leurs contrats TIC.
B/ Le suivi des prestataires et des services TIC externalisés par le Registre d’information.
Le Règlement DORA oblige les entités financières à maintenir à jour un « registre d’information des accords contractuels » conclus avec les prestataires TIC sur la base individuelle, consolidée et sous-consolidée [24]. Ce registre distinguera les contrats TIC qui portent sur des fonctions critiques ou importantes des autres contrats TIC. Par ailleurs, seuls les contrats « en cours » à compter de l’entrée en application du règlement sont répertoriés au sein du registre d’information.
Les entités financières communiquent au moins une fois par an aux autorités compétentes le nombre de nouveaux contrats relatifs à l’utilisation de services TIC, les catégories de prestataires tiers de services TIC, le type d’accords contractuels et les services et fonctions de TIC qui sont fournis [25]. Si l’autorité compétente en fait la demande, les entités financières mettent à sa disposition l’ensemble du registre d’informations complété ou, le cas échéant, des sections spécifiques de celui-ci, ainsi que toute information jugée nécessaire pour garantir une surveillance efficace de l’entité financière.
Le Règlement d’exécution adopté par la Commission européenne le 29 novembre 2024 précise les normes techniques de mise en œuvre (ITS) et ajuste les modèles type pour le registre d’information [26].
Pour l’identification des services, dix-neuf types de services TIC ont été listés dans l’annexe III de ce Règlement d’Exécution, parmi lesquels l’identifiant « S01 » pour les services portant sur la gestion de projet TIC à l’identifiant « S19 » pour les services en nuage.
Un identifiant unique est requis en vertu de ce document afin d’identifier les prestataires. La Commission européenne sollicite désormais d’utiliser l’identifiant unique européen (EUID) qui relève d’un système d’identification numérique de l’UE pour l’identification des fournisseurs de services TIC tiers. Il y est toutefois précisé que « Les entités financières utilisent un identifiant d’entité juridique (LEI) valide et actif ou l’identifiant unique européen visé à l’article 16 de la directive (UE) 2017/1132 (« EUID »), et si possible ces deux identifiants, pour identifier tous leurs fournisseurs de services TIC tiers qui sont des personnes morales, à l’exception des personnes physiques agissant à titre professionnel ».
Dans leur avis du 15 octobre 2024, les AES avaient précisé que, si le LEI et l’EUID coexistent, les entités financières préféreront utiliser le LEI, en particulier lorsque les deux identifiants sont disponibles.
Des informations sur l’EUID sont disponibles dans le système d’interconnexion du registre des entreprises : Portail européen de l’e-Justice - Registres du commerce - recherche d’une entreprise dans l’UE. Pour faciliter la mise en œuvre de l’EUID dans les registres d’information, le modèle « B_05.01 » a été ajusté avec l’ajout de champs de données additionnelles.
Ce registre d’informations, qui doit être régulièrement tenu à jour, peut être sollicité par le régulateur à compter de l’entrée en application du règlement DORA.
Pour les sanctions :
Le règlement DORA autorise les États membres à adopter « tout type de mesure, y compris de nature pécuniaire, propre à garantir que les entités financières continueront à respecter leurs obligations légales » [27] .
Le règlement DORA prévoit pour les Prestataires tiers de services TIC supportant des fonctions importantes ou critiques la possibilité de leur imposer une astreinte « sur une base journalière » pendant six mois égale à « 1% au maximum de son chiffre d’affaires quotidien moyen réalisé au niveau mondial » afin de se conformer aux exigences du texte[DORA, art. 35(7) et (8).]].
Ce qu’il faut retenir :
- Tous les types d’entités financières européennes sont tenus d’appliquer le Règlement et être conformes à ces exigences dès le 17 janvier 2025 ;
- La résilience opérationnelle numérique visée par le règlement DORA va au-delà de la seule sécurité des systèmes d’information ;
- Le règlement a vocation à s’appliquer aux prestataires tiers de services TIC intervenant au sein du secteur financier, à l’exception des « opérateurs de communication électroniques » au sens de la Directive 2018/1972 du 11 décembre 2018 expressément exclus du champ d’application du règlement DORA ;
- Le travail de mise en conformité au règlement DORA l’identification préalable des prestataires et des contrats TIC concernés, avant de procéder à l’ajustement rédactionnel de la documentation contractuelle concernée ;
- L’article 4 du règlement DORA place le principe proportionnalité au cœur des actions à déployer en tenant compte de leur taille et de leur profil de risque global ainsi que de la nature, de l’ampleur et de la complexité de leurs services, activités et opérations ;
- L’article 30 (2) du règlement DORA liste les clauses devant impérativement figurer dans tous les contrats relatifs à des services TIC ;
- L’article 30 (3) du règlement DORA liste les clauses additionnelles à ajouter lorsque les services portent une fonction critique ou importante ;
- Les normes techniques de réglementation (RTS) et d’exécution (ITS) élaborées par les autorités européennes de supervision qui précisent l’application des obligations issues du règlement DORA permettent d’harmoniser es exigences de gestion du risque lié aux TIC au niveau européen [28] ;
- L’article 28 (7) du règlement DORA prévoit quatre cas de résiliation obligatoire d’un contrat de service TIC.
