Sous-traitance en cascade des TIC (DORA)

Définition

La sous-traitance en cascade des TIC désigne, dans le cadre du règlement DORA, la situation où un prestataire tiers contracté par une entité financière recourt lui-même à d'autres prestataires pour exécuter tout ou partie des services fournis, créant une chaîne de sous-traitants successifs souvent difficile à appréhender dans son ensemble. Le règlement impose aux entités financières d'identifier, dans la mesure du raisonnablement possible, les sous-traitants de rang ultérieur intervenant dans la fourniture de fonctions critiques ou importantes, et d'évaluer les risques qu'ils font peser sur la continuité et la sécurité du service, notamment lorsqu'un sous-traitant est situé dans un pays tiers ou lorsqu'il concentre lui-même des dépendances critiques pour plusieurs prestataires de premier rang. Les contrats conclus avec les prestataires de premier rang doivent prévoir des clauses encadrant leur droit de recourir à la sous-traitance, incluant une obligation d'information préalable de l'entité financière en cas de changement significatif dans la chaîne de sous-traitance. Cette exigence répond à une réalité opérationnelle fréquente dans le secteur du cloud computing, où un fournisseur peut lui-même s'appuyer sur des infrastructures ou des services tiers sans que son client final en ait toujours une visibilité complète.