Depuis l’entrée en application de DORA, les acteurs du secteur financier doivent encadrer beaucoup plus précisément leurs relations avec leurs prestataires de services TIC.
Pour les fournisseurs IT, SaaS ou cloud, cette évolution se traduit très concrètement dans les négociations contractuelles : nouvelles annexes DORA, exigences renforcées en matière de sécurité et de continuité, droits d’audit, encadrement de la sous-traitance, obligations d’assistance ou encore dispositifs de sortie.
Certaines de ces demandes peuvent sembler particulièrement contraignantes au prestataire.
Elles répondent pourtant, pour partie, à une réalité simple : DORA impose directement aux entités financières d’intégrer certaines dispositions dans leurs contrats avec leurs prestataires TIC.
L’enjeu consiste donc à distinguer ce que le client doit effectivement obtenir au titre de DORA de ce qui relève de ses propres choix contractuels — puis à négocier les modalités de mise en œuvre de ces exigences.
DORA impose aux entités financières de gérer le risque lié aux prestataires tiers de services TIC comme une composante de leur propre risque informatique.
Le recours à un prestataire ne transfère pas cette responsabilité : l’entité financière reste responsable du respect de ses obligations réglementaires.
Avant même de conclure le contrat, elle doit notamment évaluer les risques associés au service, la criticité ou l’importance de la fonction concernée, la concentration éventuelle des prestations auprès d’un même fournisseur et l’aptitude du prestataire à fournir le service dans des conditions de sécurité appropriées.
Le contrat intervient ensuite comme l’un des instruments permettant d’organiser cette maîtrise du risque.
C’est ce qui explique que les exigences DORA apparaissent désormais directement dans les négociations menées avec les prestataires IT.
Contrairement à des réglementations qui fixent principalement des objectifs de sécurité, DORA va assez loin dans la détermination du contenu des contrats.
Les contrats portant sur l’utilisation de services TIC doivent notamment organiser :
Pour les services TIC qui soutiennent une fonction critique ou importante, les exigences sont renforcées.
Le contrat doit alors prévoir des mécanismes plus précis concernant notamment les niveaux de service, les obligations d’information du prestataire, ses dispositifs de continuité et de sécurité, les droits d’accès, d’inspection et d’audit ainsi que les conditions permettant d’organiser la sortie de la relation.
Pour le prestataire, la première étape de la négociation consiste donc à identifier la nature du service fourni et sa qualification chez le client.
Toutes les prestations TIC ne justifient pas le même niveau d’exigence contractuelle.
Le fait qu’une exigence trouve son origine dans DORA ne signifie pas nécessairement que la rédaction proposée par le client doit être acceptée telle quelle.
DORA impose un résultat ou la présence de certains mécanismes contractuels. Il ne détermine pas toujours dans le détail la manière dont ceux-ci doivent être organisés entre les parties.
Il reste donc souvent possible de négocier leur périmètre et leurs modalités pratiques.
Un droit d’audit peut être nécessaire sans pour autant justifier un accès permanent et sans condition aux systèmes du prestataire.
Une obligation de coopération avec les autorités peut être requise sans permettre des demandes étrangères au service concerné.
Une obligation d’assistance en cas d’incident peut être imposée tout en précisant les prestations concernées et, lorsque DORA le permet, leur régime financier.
La question n’est donc pas seulement de savoir si l’exigence est imposée par DORA, mais jusqu’où DORA impose réellement d’aller.
La distinction entre une prestation TIC ordinaire et une prestation soutenant une fonction critique ou importante est déterminante.
Dans le cas d'une fonction critique, DORA renforce notamment les exigences relatives aux niveaux de service, aux incidents susceptibles d’affecter la fourniture du service, à la continuité d’activité, aux mesures de sécurité et aux droits d’audit.
La sous-traitance fait également l’objet d’une attention particulière.
Pour le prestataire, il est donc important de comprendre dès la négociation si le service est considéré par le client comme soutenant une fonction critique ou importante.
Cette qualification peut avoir des conséquences très concrètes sur les engagements demandés et sur les contraintes opérationnelles associées au contrat.
Les droits d’accès, d’inspection et d’audit constituent l’un des sujets les plus sensibles pour les fournisseurs de services mutualisés, notamment SaaS et cloud.
DORA prévoit effectivement des droits de contrôle renforcés, particulièrement lorsque le service soutient une fonction critique ou importante.
Cela ne dispense toutefois pas les parties d’organiser leur exercice de manière opérationnelle.
Fréquence des audits, préavis, confidentialité, sécurité des autres clients, recours à des auditeurs indépendants, utilisation de certifications ou de rapports d’audit existants : les modalités doivent être adaptées au service concerné.
DORA lui-même s’inscrit d’ailleurs dans une approche fondée sur les risques pour la détermination de la fréquence et du périmètre des audits.
Le droit d’audit doit donc permettre au client de satisfaire à ses obligations de contrôle tout en tenant compte des contraintes opérationnelles, de sécurité et de confidentialité propres aux services mutualisés.
Les services SaaS et cloud reposent fréquemment sur une chaîne de prestataires : hébergeurs, infrastructures cloud, services techniques, support ou composants tiers.
DORA oblige les entités financières à prendre en compte les risques associés à ces chaînes de sous-traitance, notamment lorsqu’elles concernent des fonctions critiques ou importantes.
Le contrat peut dès lors prévoir des obligations d’information, des conditions applicables au recours à certains sous-traitants ou des mécanismes permettant au client d’évaluer les conséquences d’une modification de cette chaîne.
Pour le fournisseur, l’enjeu consiste à préserver un dispositif compatible avec son modèle industriel.
Une obligation d’autorisation individuelle préalable pour chaque évolution de la chaîne de sous-traitance, par exemple, peut être difficilement conciliable avec un service SaaS standardisé.
Il faut donc rechercher un mécanisme permettant au client de maîtriser son risque réglementaire tout en laissant au prestataire la capacité de faire évoluer son infrastructure et son organisation.
La capacité à sortir d’une relation avec un prestataire TIC fait partie intégrante de la gestion du risque prévue par DORA.
Pour les fonctions critiques ou importantes, les entités financières doivent disposer de stratégies de sortie permettant notamment d’éviter une interruption de leurs activités et de préserver la continuité et la qualité des services.
Cette exigence peut se traduire dans le contrat par des dispositions relatives à la restitution des données, à l’assistance à la transition, à la continuité du service pendant une période déterminée ou encore à la coopération avec un prestataire successeur.
Ces mécanismes doivent cependant être articulés avec les autres stipulations du contrat, notamment sa durée, ses conditions de résiliation et les éventuelles prestations d’assistance à la migration.
L’existence d’une exigence réglementaire de sortie ne signifie pas que l’ensemble des conséquences commerciales de cette sortie disparaissent.
L’un des principaux risques pour un prestataire consiste à accepter une annexe DORA standardisée sans vérifier qu’il est effectivement capable de respecter les engagements qu’elle contient.
Localisation des données, délais d’information, audits, continuité, tests, sous-traitance, assistance en cas d’incident : ces obligations impliquent souvent plusieurs équipes du fournisseur.
La négociation juridique doit donc être confrontée aux pratiques réelles des équipes sécurité, techniques et opérationnelles.
Un engagement contractuel présenté comme réglementaire reste un engagement contractuel du prestataire.
La conformité du client ne doit pas conduire son fournisseur à accepter des obligations qu’il ne pourra pas exécuter.
DORA modifie profondément la négociation de certains contrats IT dans le secteur financier parce que le règlement intervient directement dans leur contenu.
Pour l’entité financière, il s’agit d’obtenir les droits et garanties nécessaires pour gérer le risque lié à ses prestataires et satisfaire à ses propres obligations réglementaires.
Pour le fournisseur IT, SaaS ou cloud, il s’agit d’identifier les exigences effectivement imposées par DORA, de comprendre celles qui dépendent de la criticité du service et de négocier des modalités compatibles avec son modèle opérationnel.
DORA ne supprime donc pas la négociation contractuelle. Il en déplace en partie le terrain : certaines exigences ne peuvent plus être écartées dans leur principe, mais leur périmètre et leurs modalités de mise en œuvre restent souvent à construire entre les parties.
Withlaw accompagne les acteurs du secteur financier et leurs prestataires IT dans la prise en compte de DORA dans leurs relations contractuelles, notamment pour :
L’objectif est de permettre à l’entité financière de satisfaire à ses obligations DORA tout en construisant avec son prestataire un dispositif contractuel proportionné, opérationnel et compatible avec la réalité du service fourni.