Prestataires TIC critiques

Une entité financière peut disposer d'un cadre de gestion du risque TIC irréprochable en interne et rester exposée si elle ne maîtrise pas ce qui se passe chez ses prestataires. DORA consacre l'intégralité de son chapitre V à cette question, avec une logique simple : un fournisseur cloud, un éditeur de cœur bancaire ou un prestataire de connectivité réseau qui tombe en panne produit le même impact opérationnel qu'une défaillance interne, mais l'entité financière n'a sur lui qu'un contrôle contractuel, jamais un contrôle direct.

Ce chapitre couvre les cinq mécanismes que le règlement impose pour combler cet écart : le registre des informations, la due diligence préalable, les clauses contractuelles obligatoires, l'évaluation du risque de concentration, et la stratégie de sortie. Il aborde également le cadre de surveillance directe que les autorités européennes exercent sur une poignée de prestataires jugés critiques pour l'ensemble du secteur.

Le registre des informations : la colonne vertébrale de la conformité

L'article 28 de DORA impose à chaque entité financière de tenir un registre des informations relatif à l'ensemble de ses accords contractuels portant sur l'utilisation de services TIC fournis par des tiers. Ce registre n'est pas un simple tableau de suivi interne : il doit être transmis à l'autorité compétente, dans un format structuré défini par les normes techniques d'exécution (ITS) publiées par les autorités européennes de surveillance, au minimum une fois par an, et sur demande en dehors de ce cycle.

Le registre distingue plusieurs niveaux d'information. Au niveau de l'entité, il recense l'ensemble des contrats TIC en cours, qu'ils portent ou non sur des fonctions critiques ou importantes. Au niveau de chaque contrat, il détaille l'identité du prestataire (y compris sa structure actionnariale et sa juridiction), la nature du service rendu, sa criticité, les donnéesdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire traitées, la localisation des traitements, et l'existence éventuelle d'une chaîne de sous-traitance. Au niveau consolidé, pour les groupes, il agrège ces informations pour donner une vision globale de l'exposition du groupe à chaque prestataire.

Le registre doit couvrir tous les contrats TIC, pas seulement ceux jugés critiques. La classification de criticité détermine l'intensité des obligations contractuelles et de surveillance applicables à chaque contrat, mais l'obligation de recensement dans le registre est générale. Une entité qui ne recense que ses prestataires « critiques » a, par construction, un registre incomplet — et incapable de démontrer que la classification elle-même a été correctement appliquée à l'ensemble du périmètre.

En pratique, la difficulté du registre n'est pas de le créer une fois, mais de le maintenir synchronisé avec la réalité contractuelle : un avenant signé sans mise à jour du registre, un sous-traitant remplacé sans traçabilité, ou une fonction migrée d'un prestataire à un autre sans changement du niveau de criticité déclaré sont des écarts qui se révèlent presque systématiquement lors d'un contrôle.

La due diligence avant contractualisation

L'article 28 impose également, avant la signature de tout contrat portant sur une fonction critique ou importante, une évaluation préalable du prestataire couvrant plusieurs dimensions : sa solidité financière et opérationnelle, sa réputation, sa capacité technique et organisationnelle à fournir le service dans la durée, l'existence et la solidité de ses propres dispositifs de sécurité, sa localisation et celle de ses sous-traitants éventuels, et son exposition à des juridictions susceptibles de compliquer l'accès aux données ou l'exercice d'un droit d'audit.

Cette évaluation doit également apprécier si le contrat envisagé accroît le risque de concentration de l'entité — question traitée plus loin — et si le prestataire dispose d'une politique de sous-traitance transparente, condition indispensable pour que l'entité financière puisse elle-même cartographier sa chaîne de dépendance réelle, souvent plus longue qu'il n'y paraît au moment de la négociation commerciale.

Une société de gestion contractualise avec un fournisseur cloud pour l'hébergement de sa plateforme de gestion d'ordres, jugée fonction critique. La due diligence initiale se limite à la certification ISO 27001 du fournisseur direct. Six mois plus tard, un incident de disponibilité révèle que le service repose en réalité sur un sous-traitant de second rang assurant l'interconnexion réseau entre deux centres de données, non identifié lors de l'évaluation initiale et non couvert par les mêmes exigences contractuelles. Une due diligence correctement menée aurait exigé du fournisseur direct la liste de ses sous-traitants critiques avant la signature, condition que l'article 30 permet précisément d'imposer contractuellement.

Les clauses contractuelles obligatoires (article 30)

L'article 30 fixe le contenu minimal que doit comporter tout contrat portant sur des services TIC, avec un socle applicable à tous les contrats et des exigences renforcées pour ceux qui couvrent une fonction critique ou importante.

Le socle commun comprend une description claire et complète des services fournis, les lieux où les services sont rendus et où les données sont traitées, des dispositions garantissant l'accessibilité, la disponibilité, l'intégrité, la sécurité et la protection des données à caractère personnel, des délais de notification par le prestataire en cas d'incident ou d'évolution susceptible d'affecter significativement le service, et un droit de résiliation dans des cas définis — violation de la réglementation applicable, détérioration de la capacité du prestataire, faiblesses substantielles dans sa gestion du risque TIC.

Pour les fonctions critiques ou importantes, le contrat doit en outre prévoir des niveaux de service précis et mesurables assortis d'objectifs quantifiés, une obligation de coopération avec les autorités de résolution et de surveillance, un droit d'accès, d'inspection et d'audit complet et illimité pour l'entité financière ou un tiers mandaté, des plans de continuité d'activité chez le prestataire testés et communiqués, une clause encadrant la sous-traitance en chaîne (autorisation préalable, information systématique des changements), et une obligation d'assistance à la sortie couvrant une période de transition suffisante.

Un droit d'audit théorique, non assorti d'un accès réel aux données de sécurité et de performance du prestataire, ne satisfait pas l'exigence de l'article 30. Certains prestataires, notamment les grands fournisseurs cloud en position de force commerciale, tentent de limiter ce droit à des rapports d'audit tiers standardisés (SOC 2, ISO 27001) sans accès direct. Ces rapports sont un complément utile, pas un substitut : l'entité financière reste responsable de démontrer qu'elle dispose d'un accès effectif, y compris via un droit d'inspection sur site exercé directement ou par un tiers mandaté.

Le risque de concentration TIC (article 29)

Le risque de concentration se manifeste à deux niveaux distincts. Au niveau de l'entité, il s'agit de la dépendance excessive à un seul prestataire pour plusieurs fonctions critiques différentes — un même fournisseur cloud hébergeant à la fois le système de paiement, le système de gestion des risques et l'infrastructure de sauvegarde crée un point de défaillance unique dont la matérialisation affecterait simultanément plusieurs fonctions vitales. Au niveau sectoriel, il s'agit de la dépendance de l'ensemble ou d'une large part du secteur financier européen à un nombre restreint de très grands prestataires d'infrastructure — essentiellement quelques fournisseurs cloud hyperscale — dont la défaillance produirait un effet systémique dépassant le cadre d'une seule entité.

L'article 29 impose à l'entité financière d'évaluer ce risque avant toute nouvelle contractualisation portant sur une fonction critique, et de le documenter dans son analyse de risque globale. Cette évaluation doit considérer la substituabilité du prestataire — existe-t-il des alternatives réalistes et à quel coût de transition — et l'impact d'une défaillance simultanée sur plusieurs fonctions critiques de l'entité.

Avant toute évaluation de concentration, croisez le registre des informations avec la classification de criticité des fonctions. Un tableau simple — prestataire en ligne, fonctions critiques supportées en colonne — révèle immédiatement les concentrations les plus problématiques, souvent invisibles quand chaque contrat est examiné isolément par la direction métier qui l'a négocié.

La stratégie de sortie

Pour chaque prestataire couvrant une fonction critique ou importante, l'entité financière doit disposer d'une stratégie de sortie documentée, couvrant à la fois un scénario de sortie volontaire (fin de contrat planifiée, changement de fournisseur) et un scénario de sortie contrainte (défaillance du prestataire, résiliation pour manquement, décision d'une autorité de surveillance).

Cette stratégie doit identifier des solutions alternatives réalistes — un autre prestataire, une réinternalisation, ou une combinaison des deux — et prévoir une période de transition suffisante pour basculer sans interruption de service inacceptable. Elle doit également couvrir la portabilité effective des données : format d'export, délai de mise à disposition, effacement sécurisé chez l'ancien prestataire une fois la migration achevée.

Une stratégie de sortie qui n'a jamais été testée reste une hypothèse. Les entités les plus avancées organisent des exercices de simulation de sortie, au moins pour leurs fonctions les plus critiques, afin de vérifier que le délai de transition théorique est tenable en conditions réelles et que les clauses d'assistance à la sortie négociées avec le prestataire sont effectivement mobilisables au moment où elles deviennent nécessaires.

Le cadre de surveillance directe des prestataires critiques

Au-delà de la relation contractuelle bilatérale, DORA instaure un cadre de surveillance directe pour une catégorie restreinte de prestataires : les prestataires TIC critiques (CTPP), désignés par les autorités européennes de surveillance (EBA, ESMA, EIOPA agissant collectivement via leur comité mixte) sur la base de critères tels que l'impact systémique d'une défaillance, le nombre d'entités financières dépendantes, le degré de substituabilité, et l'interconnexion avec le système financier.

Pour chaque prestataire désigné critique, une autorité de surveillance principale (lead overseer) est nommée parmi les trois autorités européennes. Elle dispose de pouvoirs d'information, d'inspection et de recommandation directement vis-à-vis du prestataire, sans passer par chaque entité financière cliente individuellement.

Ce cadre de surveillance directe ne dispense en rien l'entité financière de ses propres obligations contractuelles et de due diligence. La désignation d'un prestataire comme critique par les autorités européennes est un dispositif macro-prudentiel qui s'ajoute à la responsabilité de chaque entité, il ne la remplace pas. Une entité financière reste seule responsable, vis-à-vis de son autorité nationale, de la conformité de ses propres contrats — y compris avec un prestataire par ailleurs soumis à la surveillance directe.

Checklist opérationnelle

1. Vérifier que le registre des informations couvre l'intégralité des contrats TIC, pas seulement les fonctions critiques.
2. Documenter la due diligence pour chaque nouveau contrat portant sur une fonction critique, avec cartographie de la chaîne de sous-traitance.
3. Vérifier la présence des clauses obligatoires de l'article 30 dans chaque contrat, avec un modèle de clauses différencié standard / critique.
4. Croiser le registre avec la classification de criticité pour identifier les concentrations à un seul prestataire.
5. Documenter et, pour les fonctions les plus critiques, tester la stratégie de sortie.
6. Vérifier annuellement si un prestataire utilisé a été désigné critique par les autorités européennes et adapter le niveau de vigilance en conséquence.

Pièges fréquents

• Un registre des informations tenu par la direction des achats, déconnecté de la classification de criticité tenue par la fonction risque TIC.
• Des clauses contractuelles standardisées appliquées uniformément, sans distinction entre fonction critique et fonction non critique.
• Une évaluation du risque de concentration réalisée contrat par contrat, sans vision consolidée par prestataire.
• Une stratégie de sortie rédigée mais jamais confrontée à un exercice de simulation réel.
• Une confiance excessive dans la surveillance directe des prestataires critiques par les autorités européennes, perçue à tort comme un transfert de responsabilité.

Le chapitre suivant s'appuie sur cette cartographie des prestataires pour détailler comment les fonctions critiques identifiées ici, et les dépendances externes qu'elles impliquent, sont mises à l'épreuve dans le cadre des tests de résilience opérationnelle numérique.