ICT Third-Party Risk DORA

Cadre de gestion des risques tiers ICT

Les articles 28 à 30 de DORA établissent un cadre complet pour la gestion des risques liés aux prestataires ICT tiers. Les entités financières doivent adopter une stratégie documentée, incluant une politique et des procédures formelles, couvrant la sélection, le suivi et la sortie des prestataires ICT pour les fonctions importantes.

La classification des prestataires selon la criticité de leurs services est la première étape : fonctions importantes (pertinentes pour les activités financières régulées) vs non importantes, et prestataires critiques (désignés par les autorités européennes) vs non critiques. Les exigences de due diligence, de contractualisation et de monitoring sont graduées selon cette classification.

Due diligence et clauses contractuelles minimales

Avant tout contrat pour une fonction importante, une due diligence documentée est requise (art. 28 §2) : évaluation des pratiques de sécurité ICT du prestataire, de sa solidité financière et opérationnelle, de sa conformité avec les lois applicables (dont DORA), et de sa capacité à respecter les SLA en toutes circonstances. Les certifications (ISO 27001, SOC 2) et rapports d'audit du prestataire constituent des éléments de due diligence.

Les clauses contractuelles minimales (art. 30) imposent : description détaillée des services, SLA complets avec métriques mesurables, dispositions sur la sous-traitance (liste des sous-traitants, approbation préalable), droit d'audit direct par l'entité et ses régulateurs, obligation de notification des incidents ICT dans des délais définis, garanties de portabilité et d'accès aux données, et plans de sortie/migration clairs avec assistance au transfert.

Risque de concentration et stratégie de sortie

DORA attache une importance particulière au risque de concentration : une entité financière trop dépendante d'un seul prestataire (ex. : un seul hyperscaler cloud pour l'ensemble de ses opérations critiques) est vulnérable à la défaillance ou à l'indisponibilité de ce prestataire. Les entités doivent évaluer leur exposition au risque de concentration et développer des stratégies de diversification.

Les plans de sortie (exit strategies) sont obligatoires pour les prestataires de fonctions importantes. Ces plans documentent comment l'entité peut migrer les services vers un autre prestataire ou les internaliser en cas de besoin. La testabilité de ces plans est attendue : une stratégie de sortie non testée est peu crédible lors d'un contrôle.