DORA : quelles clauses imposer aux prestataires TIC ?
L'article 30 du règlement (UE) 2022/2554 fixe les éléments contractuels clés de tout accord avec un prestataire tiers de services TIC (paragraphe 2), et des éléments supplémentaires quand le service soutient une fonction critique ou importante (paragraphe 3). Ces clauses figurent dans un document écrit unique, accessible à l'entité financière.
Pour tout prestataire de services TIC (article 30, paragraphe 2)
- une description claire et complète des fonctions et des services TIC fournis ;
- les lieux où les services sont fournis et où les données sont traitées ;
- des dispositions sur la disponibilité, l'authenticité, l'intégrité et la confidentialité des données ;
- l'accès, la récupération et la restitution des données en cas d'insolvabilité, de résolution ou de fin du contrat ;
- des descriptions des niveaux de service ;
- l'assistance à l'entité financière en cas d'incident TIC lié au service fourni ;
- la coopération pleine et entière avec les autorités compétentes ;
- les droits de résiliation et les délais de préavis correspondants ;
- la participation du prestataire aux programmes de sensibilisation et aux formations de l'entité financière.
Quand le service soutient une fonction critique ou importante (article 30, paragraphe 3)
Le contrat comporte en plus, notamment :
- des descriptions précises des niveaux de service, avec des objectifs de performance quantitatifs et qualitatifs ;
- des délais de préavis et des obligations de déclaration du prestataire envers l'entité financière ;
- l'obligation de mettre en œuvre et de tester des plans d'urgence et des mesures de sécurité ;
- la participation aux tests de pénétration fondés sur la menace de l'entité financière ;
- des droits d'accès, d'inspection et d'audit ;
- des stratégies de sortie, avec une période de transition adéquate.
Des normes techniques de réglementation précisent le contenu de la politique relative à l'utilisation de services TIC soutenant des fonctions critiques ou importantes.
Et ensuite
DORA demande aux entités financières de tenir un registre d'informations sur tous leurs accords portant sur des services TIC fournis par des prestataires tiers (article 28, paragraphe 3). Si vous êtes soumis à DORA et que votre messagerie et vos documents sont dans Microsoft 365, ce service a sa place dans ce registre : le registre dit que vous y recourez, pas comment il est configuré chez vous. SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera cette configuration et vous donnera des faits utiles pour votre gestion du risque lié aux TIC. Ce diagnostic ne sera ni une certification ni une garantie de conformité, et il ne couvrira pas à lui seul les obligations du règlement.
SYAGA Audit pour votre Microsoft 365 : diagnostic gratuit, ouverture prochaine
Votre entreprise est-elle concernée ?
Si vous êtes une PME qui fournit des services informatiques à une entité financière, ces clauses vous seront demandées par votre client. Voir aussi : DORA s'applique-t-il aux PME ?
Analyse gratuite de votre domaine : syaga.eu/scan. L'outil gratuit « Mon Microsoft 365, suis-je attaqué ? » arrive.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Faits relus le 14/10/2026 sur les sources officielles citées (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.