Le règlement DORA ne s’applique pas directement aux prestataires informatiques, sauf aux rares fournisseurs désignés comme critiques par les autorités européennes. Il s’applique à leurs clients du secteur financier, qui doivent, depuis le 17 janvier 2025, inscrire dans chaque contrat de services informatiques une liste de clauses obligatoires, recenser tous leurs prestataires dans un registre transmis au superviseur, et disposer d’une stratégie de sortie pour les fonctions critiques. Pour une ESN qui travaille avec une banque, un assureur ou un établissement de crédit, DORA arrive donc par le contrat, comme NIS2 arrive par le questionnaire. Et l’ACPR a fait de la conformité de ces contrats l’une de ses trois priorités de supervision pour 2026.
Cet article est écrit du côté du prestataire, parce que c’est le côté que personne ne décrit. Les cabinets d’avocats expliquent DORA aux directions juridiques des banques. Personne n’explique au consultant en régie pourquoi on lui demande soudain de suivre une formation de sécurité du client, ni au dirigeant d’une ESN pourquoi le renouvellement de son contrat-cadre comporte huit pages de plus.
Ce qu’est DORA, en trois dates
DORA, pour Digital Operational Resilience Act, est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier. Il est entré en vigueur le 16 janvier 2023 et s’applique depuis le 17 janvier 2025. Étant un règlement et non une directive, il s’applique directement dans tous les États membres, sans attendre de loi de transposition, contrairement à NIS2.
Il concerne une vingtaine de catégories d’entités financières : établissements de crédit, entreprises d’investissement, établissements de paiement et de monnaie électronique, entreprises d’assurance et de réassurance, gestionnaires d’actifs, et d’autres. Il les oblige à gérer leurs risques informatiques, à notifier leurs incidents majeurs, à tester leur résilience, et à maîtriser le risque lié à leurs prestataires de services informatiques, que le texte appelle les prestataires tiers de services TIC.
Trois textes d’application complètent le règlement sur la question des prestataires. Le règlement délégué (UE) 2024/1773 précise le contenu de la politique contractuelle pour les services qui soutiennent des fonctions critiques ou importantes. Le règlement d’exécution (UE) 2024/2956 fixe le format du registre d’information. Le règlement délégué (UE) 2025/532, publié au Journal officiel le 2 juillet 2025, encadre la sous-traitance de ces services.
Pourquoi une ESN est presque toujours concernée
La question revient dans chaque discussion avec un client financier : un consultant en régie est-il un prestataire tiers de services TIC au sens de DORA ? Aucune autorité n’y a répondu explicitement, et il faut le dire. Mais trois éléments permettent de raisonner.
Le premier est la définition. Le règlement définit les services TIC comme des services numériques et de données fournis de manière continue par l’intermédiaire de systèmes informatiques. L’autorité européenne des assurances a rappelé, dans une réponse publiée sur sa base de questions et réponses, que cette continuité est un critère. Une prestation ponctuelle peut donc sortir du champ. Une régie de plusieurs mois sur un système de la banque y entre beaucoup plus probablement.
Le deuxième est le registre. La nomenclature officielle des types de services, annexée au règlement d’exécution sur le registre d’information, comporte des catégories dédiées à la gestion de projet informatique, au développement informatique et au conseil informatique, défini comme la fourniture de services d’expertise intellectuelle dans le domaine des TIC. Autrement dit, le format même du registre prévoit d’y inscrire des prestations intellectuelles. Une ESN en régie figure très probablement dans le registre de sa banque cliente.
Le troisième est la position du superviseur français. Selon la foire aux questions publiée par l’ACPR en mars 2026, le registre couvre tous les accords contractuels portant sur l’utilisation de services TIC, et l’ensemble de la chaîne de sous-traitance.
La formulation prudente est donc la suivante : la qualification dépend de la nature et de la durée de la prestation, mais le cadre a été conçu pour inclure les prestations intellectuelles informatiques. Une ESN qui travaille dans la durée pour une entité financière doit raisonner comme si elle était concernée.
Ce que votre client doit vous faire signer
L’article 30 du règlement fixe le contenu minimal de tout contrat de services TIC. Pour un prestataire, c’est la partie la plus concrète du texte, parce qu’elle décrit ce qui figurera dans le prochain avenant.
| Clause | Tous les contrats TIC | Fonctions critiques ou importantes |
|---|---|---|
| Description complète des services et conditions de sous-traitance | Oui | Oui |
| Lieux de fourniture du service et de traitement des données | Oui | Oui |
| Protection, accès, récupération et restitution des données, y compris en fin de contrat | Oui | Oui |
| Description des niveaux de service | Oui | Objectifs quantitatifs et qualitatifs précis |
| Assistance en cas d’incident, sans coût supplémentaire ou à un coût fixé à l’avance | Oui | Oui |
| Coopération pleine avec les autorités compétentes | Oui | Oui |
| Droits de résiliation et préavis minimaux | Oui | Oui |
| Participation aux formations et à la sensibilisation sécurité du client | Oui | Oui |
| Plans de continuité et mesures de sécurité | Non requis | Oui, testés |
| Participation aux tests de pénétration fondés sur la menace | Non requis | Oui |
| Droit d’accès, d’inspection et d’audit, par le client ou l’autorité | Non requis | Oui |
| Stratégie de sortie avec période de transition | Non requis | Oui |
Trois de ces clauses changent réellement le quotidien d’une prestation en régie.
La formation de sécurité. Le prestataire doit participer aux programmes de sensibilisation et aux formations de sécurité informatique du client. Pour un consultant, cela signifie suivre les modules de la banque en plus de ceux de son employeur, et pour l’ESN, accepter que ce temps soit pris sur la mission.
La coopération avec les autorités. Le contrat doit prévoir que le prestataire coopère pleinement avec le superviseur de son client. Une ESN qui travaille pour une banque peut donc, en théorie, avoir à répondre aux questions de l’ACPR sur sa prestation.
La sortie. Pour les fonctions critiques, la stratégie de sortie et la période de transition sont obligatoires. C’est la réversibilité qui se signe en trois pages et se paie en trois ans, devenue une obligation réglementaire. Un prestataire qui détient seul la connaissance d’un système critique est désormais, aux yeux du superviseur, un risque à documenter.
L’article 30 prévoyait aussi des clauses contractuelles types, qui auraient simplifié la vie de tout le monde. Selon la foire aux questions de l’ACPR du 20 mars 2026, aucune n’a été publiée à ce jour. Chaque banque rédige donc les siennes, et chaque prestataire négocie autant de versions qu’il a de clients.
La sous-traitance devient visible
Le règlement délégué sur la sous-traitance, publié en juillet 2025, oblige l’entité financière à évaluer les risques et à exercer une diligence sur les sous-traitants qui soutiennent des fonctions critiques ou importantes. Le contrat doit prévoir la notification préalable de tout changement dans la chaîne de sous-traitance, et un droit de résiliation si ce changement n’est pas acceptable. L’article 29 du règlement demande en outre d’évaluer, avant de signer, les chaînes de sous-traitance longues ou complexes.
Pour le secteur des services numériques, c’est une petite révolution. La sous-traitance en cascade, où chaque rang prend sa part et où le client ignore qui intervient réellement, était un usage commercial. Dans le secteur financier, elle devient un risque déclaré, inscrit dans un registre transmis au superviseur. Nous avions écrit, dès notre création, pourquoi nous refusions ce modèle en comparant les façons de vendre du temps d’ingénieur. DORA ne l’interdit pas, mais il le rend coûteux à justifier.
Ce que montrent les premiers bilans
Le cadre n’est plus théorique. Les premiers chiffres publiés en 2026 montrent à la fois son ampleur et ses difficultés.
Selon le bilan présenté par l’ACPR le 15 janvier 2026, 84 % des entités financières françaises ont remis leur registre d’information en 2025, mais le registre n’a pu être traité au niveau européen que pour 39 % d’entre elles. Lors d’un webinaire du 23 janvier 2026, le superviseur a détaillé les rejets fréquents : formats de date, champs manquants, encodage des fichiers. La deuxième remise devait intervenir au plus tard le 31 mars 2026. Le même bilan indique que plus de la moitié des incidents notifiés impliquaient des tiers.
Au niveau européen, le premier rapport des autorités européennes de supervision sur les incidents majeurs, publié le 3 juin 2026, recense 3 383 incidents majeurs liés aux TIC déclarés en 2025. Seuls 10 % d’entre eux relevaient de la cybersécurité. La grande majorité tient donc à des défaillances de systèmes, de processus ou de prestataires, ce qui est exactement le terrain des prestations informatiques ordinaires, et non des attaques spectaculaires.
Le 18 novembre 2025, les autorités européennes ont par ailleurs désigné 19 prestataires tiers critiques, soumis à une surveillance directe. La liste comprend les grands fournisseurs de cloud, des opérateurs de télécommunications, des éditeurs de logiciels, et plusieurs grandes entreprises de services numériques et de conseil. Pour une ESN de taille moyenne, cette désignation ne changera rien directement. Elle montre en revanche que les autorités considèrent désormais certaines prestations de services comme une infrastructure du système financier.
L’ACPR a annoncé que 2026 serait une année de supervision, avec trois priorités : les incidents, le cadre de gestion des risques informatiques, et la conformité des contrats TIC. C’est la troisième qui concerne les prestataires. Les banques qui n’ont pas encore mis leurs contrats à niveau le feront dans les mois qui viennent, et les renouvellements de contrats-cadres en porteront la trace.
Ce qu’un prestataire peut préparer dès maintenant
Les clauses de l’article 30 étant publiques, un prestataire peut préparer ses réponses avant que l’avenant n’arrive. Six informations suffisent à traiter l’essentiel d’une négociation, et chacune correspond à une clause du règlement.
- La liste des intervenants et leur employeur, avec la règle appliquée si un indépendant ou un partenaire intervient. C’est la clause sur la sous-traitance, et c’est la première ligne du registre du client.
- Les lieux de traitement des données, y compris les postes de travail et les outils du prestataire. Un consultant qui travaille depuis un poste du client, sur le réseau du client, simplifie considérablement la réponse.
- Le délai de signalement d’un incident, exprimé en heures et non en jours ouvrés, avec le nom de l’interlocuteur. Le client a ses propres délais de notification au superviseur, et le vôtre doit tenir à l’intérieur.
- Le plan de remplacement d’un intervenant sur une fonction critique : sous quel délai, avec quel transfert de connaissance. C’est la forme que prend la continuité d’activité dans une prestation en régie.
- Les conditions d’audit acceptées : préavis, périmètre, prise en charge du coût, et acceptation d’un audit mené par l’autorité.
- Le plan de sortie : ce qui est documenté, ce qui est restitué, et combien de temps dure la transition. Pour une régie, c’est d’abord une question de documentation tenue à jour pendant la mission, et non au dernier mois.
Un prestataire qui arrive en négociation avec ces six réponses écrites ne gagne pas seulement du temps. Il change la nature de la discussion : le client n’impose plus une clause type, il vérifie un engagement déjà formulé.
Ce que DORA coûte, et à qui
Il n’existe pas, à notre connaissance, d’étude publique et indépendante sur le coût de la mise en conformité DORA en France. Les chiffres qui circulent viennent d’éditeurs de logiciels qui vendent des solutions de conformité, et doivent être lus comme tels. Une enquête menée par Veeam auprès de 404 décideurs au Royaume-Uni, en France, en Allemagne et aux Pays-Bas, publiée en juillet 2025, indique que 37 % des entités financières paient plus cher leurs prestataires informatiques depuis DORA, et que la gestion du risque lié aux tiers est l’exigence la plus difficile pour 34 % d’entre elles.
Le coût réel pour un prestataire est moins dans la conformité elle-même que dans sa répétition. Une ESN qui travaille pour cinq entités financières négocie cinq versions des mêmes clauses, remplit cinq questionnaires, suit cinq formations, et doit tenir cinq engagements de signalement d’incident aux délais parfois différents. Pour un grand groupe, c’est une fonction juridique de plus. Pour une entreprise de quelques dizaines de personnes, c’est une part significative du temps de direction.
Le risque, pour le secteur, est une concentration silencieuse. Si la conformité contractuelle devient trop coûteuse pour les petits prestataires, les banques réduiront leur panel aux acteurs capables d’absorber cette charge, alors même que l’article 29 du règlement leur demande de surveiller leur risque de concentration. C’est l’un des paradoxes du texte : il pousse à diversifier les prestataires tout en rendant chaque prestataire supplémentaire plus coûteux à référencer.
Ce que nous en tirons
Nous intervenons dans le secteur du crédit, notamment chez Oney sur Snowflake, et c’est de cette pratique que vient cet article. Notre position tient en trois points.
D’abord, un prestataire n’a aucune raison d’attendre que son client lui envoie l’avenant. C’est la logique qui nous a conduits à publier nos réponses au questionnaire sécurité fournisseur : une réponse écrite une fois, publique et tenue à jour, vaut mieux que cinq réponses négociées en privé.
Ensuite, l’absence de sous-traitance en cascade n’est plus seulement un argument éthique. Dans le secteur financier, c’est un argument de conformité : une chaîne courte se déclare en une ligne dans le registre, une chaîne longue se justifie devant le superviseur.
Enfin, une limite à ne pas cacher. Une jeune entreprise de services n’a pas la capacité juridique d’un groupe pour négocier chaque clause, et elle accepte parfois des engagements qu’un grand prestataire refuserait. Nous préférons le dire, et poser les questions avant de signer, plutôt que découvrir après coup qu’un engagement de délai ou d’audit était intenable. Si vous êtes une entité financière et que vous voulez savoir comment nous travaillons avant de nous référencer, notre page infrastructure est un point de départ, et la conversation suivante peut commencer par vos clauses plutôt que par notre plaquette.
Questions fréquentes
DORA s’applique-t-il aux prestataires informatiques ?
DORA s’applique directement aux entités financières, pas à leurs prestataires, à l’exception des prestataires tiers critiques désignés par les autorités européennes de supervision, au nombre de 19 depuis le 18 novembre 2025. Les autres prestataires sont concernés par la voie contractuelle : l’article 30 du règlement impose à l’entité financière d’inscrire dans chaque contrat de services TIC des clauses obligatoires sur les données, les niveaux de service, la coopération avec les autorités, la formation, la résiliation et, pour les fonctions critiques, l’audit et la sortie.
Un consultant en régie dans une banque est-il concerné par DORA ?
Très probablement, mais aucune autorité ne l’a affirmé explicitement. Le règlement vise les services TIC fournis de manière continue, et la nomenclature officielle du registre d’information prévoit des catégories pour la gestion de projet informatique, le développement et le conseil informatique. Une régie durable sur un système de la banque a donc vocation à figurer dans son registre et à être couverte par un contrat conforme à l’article 30. Une prestation ponctuelle peut en revanche sortir du champ.
Quelle est la différence entre DORA et NIS2 pour un prestataire ?
DORA est un règlement européen qui s’applique directement au secteur financier depuis le 17 janvier 2025, sans transposition nationale. NIS2 est une directive qui concerne une quinzaine de secteurs et dont la loi française de transposition n’est pas encore promulguée. Pour une entité financière soumise aux deux, DORA prévaut sur les exigences équivalentes de NIS2. Pour un prestataire, les deux textes produisent le même effet : des exigences de sécurité qui arrivent par le contrat et le questionnaire du client, et non par une obligation légale directe.
Sources
- Règlement (UE) 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (article 3 sur les définitions, article 28 sur les principes et la stratégie de sortie, article 29 sur le risque de concentration et les chaînes de sous-traitance, article 30 sur les clauses contractuelles, article 64 sur l’application au 17 janvier 2025).
- Règlement délégué (UE) 2024/1773 du 13 mars 2024 (politique contractuelle pour les services TIC soutenant des fonctions critiques ou importantes).
- Springlex, annexe III du règlement d’exécution (UE) 2024/2956 (nomenclature des types de services TIC du registre d’information, dont la gestion de projet, le développement et le conseil informatique).
- Jones Day, Uniform standards for ICT subcontracting in EU financial sector, juillet 2025 (règlement délégué (UE) 2025/532, publication au JOUE le 2 juillet 2025, notification préalable des changements de sous-traitance, droit de résiliation).
- Directive (UE) 2022/2555 dite NIS 2, article 4 (primauté des actes sectoriels de l’Union, dont DORA, lorsque leurs exigences sont au moins équivalentes).
- EIOPA, question et réponse DORA130-3174 (critère de fourniture continue des services TIC).
- ACPR, FAQ sur la directive et le règlement DORA et FAQ du webinaire DORA, 20 mars 2026 (périmètre du registre incluant la chaîne de sous-traitance, absence de clauses contractuelles types publiées).
- ACPR, bilan DORA huit mois après l’entrée en application, 15 janvier 2026 (84 % de remises de registres, 39 % traités au niveau européen, plus de la moitié des incidents impliquant des tiers).
- ACPR, webinaire DORA, 23 janvier 2026 (causes de rejet des registres, remise 2026 au 31 mars, 2026 année de supervision et priorité donnée à la conformité des contrats TIC).
- Autorités européennes de supervision, premier rapport sur les incidents majeurs liés aux TIC, 3 juin 2026 (3 383 incidents majeurs en 2025, 10 % liés à la cybersécurité).
- EIOPA, désignation des prestataires tiers critiques, 18 novembre 2025, et liste des prestataires désignés (19 prestataires).
- Infosecurity Magazine, European financial firms struggle with DORA compliance, 17 juillet 2025, d’après une enquête Veeam auprès de 404 décideurs (37 % paient plus cher leurs prestataires, 34 % citent le risque lié aux tiers comme l’exigence la plus difficile ; étude d’un éditeur).
