DORA pour les éditeurs SaaS : ce que les banques et assureurs vont vous demander

Pourquoi DORA vous concerne

DORA s'applique à une vingtaine de types d'entités financières : établissements de crédit, établissements de paiement et de monnaie électronique, entreprises d'investissement, prestataires de services sur crypto-actifs, assureurs et réassureurs, fonds de pension et bien d'autres. Vous êtes un prestataire tiers de services ICT : toute entreprise qui leur fournit des services numériques et de données, du SaaS à l'hébergement en passant par l'infogérance.

L'article 28, paragraphe 1, point a), est la phrase clé pour vous : une entité financière qui externalise des services ICT « demeure, à tout moment, pleinement responsable » du respect de la conformité. Elle ne peut pas vous transférer cette responsabilité, elle sécurise donc par contrat les droits dont elle a besoin. Avant de signer, elle doit évaluer si votre service soutient une fonction critique ou importante, mener une due diligence et vérifier le risque de concentration (article 28, paragraphe 4). Elle ne peut contracter qu'avec des prestataires qui « respectent des normes appropriées de sécurité de l'information » (article 28, paragraphe 5).

Le registre d'informations

L'article 28, paragraphe 3, oblige chaque entité financière à tenir un registre de tous ses contrats ICT, et les autorités compétentes collectent ces registres chaque année. Le format est fixé par le règlement d'exécution (UE) 2024/2956 de la Commission (modèles pour le registre d'informations). Pour vous, cela signifie :

• Vous serez identifié par un identifiant d'entité juridique (LEI) ou un identifiant unique européen (EUID), et par les deux lorsqu'ils sont disponibles (article 3, paragraphe 5, de l'ITS). Si vous n'avez pas de LEI, en obtenir un coûte peu et évite des frictions.
• Lorsque votre service soutient une fonction critique ou importante, le client doit aussi enregistrer les sous-traitants qui la « sous-tendent effectivement », avec leur LEI ou EUID (article 3, paragraphe 6). Attendez-vous à une demande portant sur vos sous-traitants ultérieurs pertinents et leurs lieux d'exploitation.
• Ils demanderont pour chaque contrat le type de service, les lieux des données, le droit applicable, la substituabilité et les modalités de sortie.

Les AES ont utilisé ces registres pour identifier les prestataires critiques pour l'ensemble du secteur (voir la section CTPP ci-dessous).

Article 30 : les clauses qui apparaîtront dans votre contrat

L'article 30, paragraphe 1, exige que l'ensemble du contrat, SLA compris, figure dans un seul document écrit, sur un support durable et accessible. Le contenu minimal se répartit en deux niveaux.

L'article 30, paragraphe 4, invite les deux parties à envisager les clauses contractuelles types élaborées par les autorités publiques. Les entités financières doivent aussi maintenir une politique écrite sur ces contrats, détaillée dans le règlement délégué (UE) 2024/1773 de la Commission. C'est pourquoi les avenants bancaires se ressemblent tant.

Sous-traitance : règlement délégué 2025/532

Les normes techniques de réglementation sur la sous-traitance des services ICT qui soutiennent des fonctions critiques ou importantes ont été adoptées le 24 mars 2025 et publiées le 2 juillet 2025. Avant d'accepter que vous puissiez sous-traiter, le client doit s'assurer que vous savez sélectionner et surveiller vos sous-traitants, les identifier tous dans la chaîne et leur répercuter les mêmes droits d'accès et d'audit (article 3). Le contrat doit préciser, entre autres (article 4) :

• que vous restez responsable des services fournis par vos sous-traitants et que vous les supervisez ;
• vos obligations de reporting concernant les sous-traitants, et le lieu des données qu'ils traitent ;
• que vos contrats de sous-traitance comportent des plans de continuité d'activité, des normes de sécurité, et les mêmes droits d'audit et d'accès pour l'entité financière et ses autorités ;
• la continuité du service tout au long de la chaîne en cas de défaillance d'un sous-traitant.

Pour les changements substantiels de votre sous-traitance (article 5), vous devez en informer le client « en temps utile », lui accorder un délai de préavis raisonnable, et ne mettre en œuvre le changement qu'une fois que le client l'a approuvé ou ne s'y est pas opposé à la fin de ce délai. Le client peut résilier si vous passez outre une opposition, avant la fin du préavis, ou si vous sous-traitez quelque chose que le contrat n'autorise pas (article 6). Si vous changez de sous-traitants ultérieurs à la légère aujourd'hui, c'est le premier processus à faire évoluer.

Audit, accès et audits mutualisés

L'article 30, paragraphe 3, point e), parle de « droits d'accès, d'inspection et d'audit sans restriction ». Pour un SaaS multi-locataire, un accès physique sans restriction à une infrastructure partagée est rarement envisageable, et la loi le reconnaît avec « le droit de convenir de niveaux d'assurance alternatifs si les droits d'autres clients sont affectés ». Le règlement délégué 2024/1773 (article 8) énumère les méthodes qu'une entité financière peut utiliser : ses propres audits ou ceux de tiers, des audits mutualisés organisés avec d'autres clients, des certifications de tiers et les rapports d'audit que vous mettez à disposition. Mais elle ne peut pas se fier uniquement aux certifications ou aux rapports dans la durée, et conserve le droit contractuel de réaliser des audits individuels et mutualisés.

Approche pratique : proposez en première ligne la certification ISO 27001 et/ou un rapport SOC 2 Type II, un dossier de preuves structuré, et une procédure claire pour les audits sur site ou à distance (préavis, périmètre, confidentialité, fréquence, coût). Des audits mutualisés entre vos clients financiers permettent de maîtriser la charge. Une entité financière qui est une microentreprise peut convenir que ses droits d'audit sont délégués à un tiers indépendant désigné par vous (article 30, paragraphe 3, dernier alinéa).

Assistance en cas d'incident et délai de notification de la banque

Votre client doit notifier les incidents majeurs liés aux ICT à son autorité de contrôle. En vertu du règlement délégué (UE) 2025/301, la notification initiale est due dans les 4 heures suivant la classification d'un incident comme majeur et au plus tard 24 heures après en avoir pris connaissance. Le rapport intermédiaire suit dans les 72 heures et le rapport final dans le mois. Si votre panne ou votre violation est l'incident, ils ne peuvent respecter ce délai que si vous les prévenez rapidement. Attendez-vous à des clauses exigeant une notification dans un délai de quelques heures, des contacts nommés joignables en permanence, et une coopération à l'analyse des causes profondes. L'article 30, paragraphe 2, point f), exige une assistance en cas d'incident sans coût supplémentaire ou à un prix convenu à l'avance.

Tests d'intrusion fondés sur la menace (TLPT)

Les entités financières importantes doivent réaliser des tests d'intrusion fondés sur la menace sur des systèmes de production en conditions réelles au moins tous les trois ans (articles 26 et 27, détaillés dans le règlement délégué (UE) 2025/1190, fondé sur TIBER-EU). Lorsque votre service soutient une fonction critique ou importante entrant dans le périmètre, vous devez « participer et coopérer pleinement » (article 30, paragraphe 3, point d). Lorsque votre participation pourrait nuire à la qualité ou à la sécurité des services fournis à des clients hors DORA, ou à la confidentialité de leurs données, vous et le client pouvez convenir par écrit que vous engagez directement un testeur externe pour un TLPT mutualisé couvrant plusieurs entités financières, dirigé par l'une d'elles (article 26, paragraphe 4). Convenez à l'avance des règles d'engagement, des fenêtres sûres, de la protection des données et de la répartition des coûts. La plupart des éditeurs de taille PME ne seront jamais concernés par un TLPT, mais la clause figurera tout de même au contrat.

Stratégies de sortie

Les entités financières doivent disposer de plans de sortie testés pour chaque service qui soutient des fonctions critiques ou importantes (article 28, paragraphe 8). Elles doivent pouvoir partir sans perturber leur activité, leur conformité réglementaire ni leurs clients. Votre contrat comportera donc une période de transition pendant laquelle vous poursuivez le service pendant leur migration (article 30, paragraphe 3, point f), ainsi que la restitution des données dans un format accessible (30(2)(d)). Préparez un export documenté (format, exhaustivité, délais), une procédure de désengagement et un prix de transition. « Nous supprimons tout 30 jours après la résiliation » ne passera pas.

Supervision des CTPP, et pourquoi vous n'en êtes probablement pas un

DORA crée aussi une supervision directe au niveau de l'UE des prestataires tiers critiques de services ICT (CTPP). Les AES les désignent sur la base de l'impact systémique, du nombre d'établissements d'importance systémique qui en dépendent, de la dépendance pour des fonctions critiques et de la substituabilité (article 31, paragraphe 2). Pour le critère d'impact systémique, le règlement délégué (UE) 2024/1502 commence par un test quantitatif : le prestataire soutient des fonctions critiques ou importantes d'au moins 10 % d'une catégorie d'entités financières, à la fois en nombre et en total d'actifs.

Le 18 novembre 2025, les AES ont publié la première liste de 19 CTPP, dont Amazon Web Services, Microsoft, Google Cloud, Oracle, SAP, IBM, Accenture, Capgemini, Bloomberg, Equinix et Deutsche Telekom. Certains prestataires sont exclus par la loi, notamment ceux qui ne servent des entités financières que dans un seul État membre (article 31, paragraphe 8). Les prestataires peuvent aussi demander à être désignés volontairement (article 31, paragraphe 11).

Pour un éditeur de taille PME typique, cela signifie : vous n'êtes pas un CTPP et n'êtes pas directement supervisé par un superviseur principal. Vos obligations découlent de vos contrats. Mais si vous êtes hébergé chez un CTPP désigné, cette dépendance apparaîtra dans les registres de vos clients au titre de votre chaîne de sous-traitance.

Checklist des clauses contractuelles

• Description du service et liste des sous-traitants ultérieurs conformes à la réalité (30(2)(a))
• Régions d'hébergement et de traitement nommées, avec préavis en cas de changement (30(2)(b))
• Annexe de sécurité couvrant disponibilité, intégrité, authenticité et confidentialité (30(2)(c))
• Restitution et format d'export des données, y compris en cas d'insolvabilité (30(2)(d))
• SLA dans le contrat, avec des objectifs quantitatifs si le service est critique (30(2)(e), 30(3)(a))
• Délai de notification des incidents que vous pouvez réellement tenir, et tarification de l'assistance en cas d'incident (30(2)(f))
• Coopération avec les autorités de contrôle et de résolution (30(2)(g))
• Motifs de résiliation et délais de préavis alignés sur l'article 28, paragraphe 7 (30(2)(h))
• Conditions de participation aux formations (30(2)(i))
• Obligations de préavis en cas d'évolution significative (30(3)(b))
• PCA/PRA testés et preuves sur demande (30(3)(c))
• Coopération aux TLPT, y compris tests mutualisés et répartition des coûts (30(3)(d))
• Clause d'audit : méthodes, audits mutualisés, préavis, fréquence, confidentialité, assurance alternative (30(3)(e))
• Période de transition de sortie et assistance à la transition (30(3)(f))
• Conditions de sous-traitance, délai de préavis en cas de changement substantiel et droit d'opposition (RTS 2025/532)
• LEI ou EUID fourni pour vous et pour les sous-traitants qui sous-tendent les services critiques (ITS 2024/2956)

Ce que votre client bancaire vous demandera

1. Votre LEI ou EUID, votre entité juridique, la structure de votre groupe et votre actionnariat.
2. Quelles fonctions votre service soutient, et votre avis sur sa criticité.
3. Où les données sont traitées et stockées, par région, y compris les sauvegardes et l'accès du support.
4. Toute votre chaîne de sous-traitants pour le service, avec lieux et LEI, ainsi que votre processus pour la modifier.
5. Certifications et rapports : certificat ISO 27001 et déclaration d'applicabilité, SOC 2 Type II, synthèses de tests d'intrusion.
6. Votre plan de réponse aux incidents, vos délais de notification et un contact nommé joignable 24 h/24, 7 j/7.
7. PCA/PRA : RTO et RPO, date et résultats du dernier test.
8. Délais de gestion des vulnérabilités et des correctifs.
9. Contrôle d'accès et MFA pour votre personnel, vérifications d'antécédents et gestion des accès à privilèges.
10. Sortie : formats d'export, assistance à la transition, conservation après résiliation.
11. Solidité financière et assurance, surtout pour les services critiques.
12. Acceptation de l'audit et de l'inspection, y compris par leur autorité de contrôle.

FAQ

À lire aussi

Sources (situation au 1er octobre 2026)

• Règlement (UE) 2022/2554 (DORA), articles 26 à 31.
• Règlement d'exécution (UE) 2024/2956 de la Commission : modèles du registre d'informations.
• Règlement délégué (UE) 2025/532 de la Commission : sous-traitance de services ICT soutenant des fonctions critiques ou importantes.
• Règlement délégué (UE) 2024/1773 de la Commission : politique relative aux accords contractuels.
• Règlement délégué (UE) 2025/301 de la Commission : délais de notification des incidents majeurs.
• Règlement délégué (UE) 2025/1190 de la Commission : tests d'intrusion fondés sur la menace.
• Règlement délégué (UE) 2024/1502 de la Commission : critères de désignation des CTPP.
• AES : désignation des prestataires tiers critiques de services ICT, 18 novembre 2025.

Ce guide explique DORA au 1er octobre 2026 à l'attention des prestataires ICT et ne constitue pas un avis juridique. Les clauses contractuelles dépendent de la classification de votre client et de son autorité de contrôle.