DORA — le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025 — ne traite pas seulement des systèmes mais explicitement aussi des personnes et des prestataires de services : les entités financières doivent former leur personnel et leur organe de direction à la résilience numérique (art. 13, par. 6) et soumettre les prestataires TIC tiers à une due diligence avant la signature du contrat (art. 28). La responsabilité des services TIC externalisés reste toujours à la charge de l’entité financière — elle ne peut pas être sous-traitée.
Le facteur humain : les obligations de formation au titre de l’art. 13, par. 6
DORA ne traite pas la résilience opérationnelle numérique comme une pure question informatique. Au titre de l’art. 13, par. 6 du règlement, les entités financières doivent inclure des programmes de sensibilisation à la sécurité TIC et des formations à la résilience opérationnelle numérique dans leurs schémas de formation du personnel — obligatoires pour tous les salariés et pour les membres de l’organe de direction. C’est remarquable : le niveau dirigeant n’est pas seulement un destinataire de rapports mais lui-même un participant à la formation. L’étendue et la profondeur de la formation peuvent être calibrées selon le poste — quiconque est responsable du risque TIC ou travaille avec des systèmes critiques a besoin de plus qu’un briefing de conformité annuel. Prendre la résilience au sérieux signifie donc commencer par le personnel, pas seulement par la technologie — une idée qui reflète les garde-fous liés au personnel du droit de la surveillance, comme le contrôle de fiabilité au titre du § 6 GwG (la loi allemande sur le blanchiment d’argent).
Risque tiers : due diligence et registre au titre de l’art. 28
La pièce maîtresse du chapitre sur les tiers est l’art. 28. Entre autres, il exige des entités financières de :
- gérer le risque TIC lié aux tiers comme partie intégrante de la gestion du risque TIC — sous leur propre responsabilité, même lorsque les services sont entièrement externalisés,
- tenir et mettre à jour un registre d’informations sur tous les arrangements contractuels avec les prestataires TIC tiers,
- évaluer le prestataire avant la signature du contrat : aptitude, risques, risques de concentration et conflits d’intérêts potentiels,
- ne contracter qu’avec des prestataires qui se conforment à des normes appropriées de sécurité de l’information.
La due diligence précontractuelle n’est donc pas une recommandation mais une obligation. Quiconque la mène sérieusement a besoin du même processus d’examen structuré que pour les individus : données de registre, bénéficiaires effectifs ultimes (UBO), listes de sanctions, adverse media — documenté et traçable plutôt que recherché de manière informelle. Car lors d’un audit ou d’un incident, le superviseur ne demandera pas si le prestataire semblait réputé, mais quels faits l’entité financière a recueillis, évalués et documentés avant la signature du contrat.
Contenu du contrat : ce que prescrit l’art. 30
L’art. 30 du règlement définit le contenu minimal des contrats avec les prestataires TIC tiers — y compris des descriptions claires des services, des règles sur les sous-traitants, les droits d’accès, d’inspection et d’audit, et les droits de résiliation. En pratique, cela signifie que l’examen d’un prestataire ne se termine pas avec la sélection mais se poursuit à travers la rédaction du contrat et la surveillance continue. Un prestataire qui montre des lacunes lors de la due diligence remplira vraisemblablement pas davantage de manière fiable ses obligations contractuelles de coopération.
Individus et entreprises : un processus d’examen, deux objets
À la mise en œuvre, il devient clair que la due diligence DORA et le screening du personnel sont méthodologiquement la même tâche : un examen d’intégrité fondé sur le risque et documenté — appliqué une fois à une entreprise, une fois à une personne. Les entités financières qui font déjà tourner un screening structuré des salariés peuvent étendre le même processus aux prestataires de services et à leurs personnes clés ; quiconque déploie du personnel externe avec un accès étendu devrait aussi lire le screening des managers externes et intérimaires. Indicium couvre les deux objets d’examen dans un rapport vérifiable avec des sources datées et une relecture finale humaine (art. 22 RGPD) — dès 79 € par rapport, détails sous tarifs.
Action recommandée
Commencez par clarifier votre position actuelle : le registre d’informations au titre de l’art. 28 est-il complet et à jour ? Existe-t-il une évaluation précontractuelle documentée pour chaque prestataire TIC important — ou seulement un dossier contractuel ? Définissez ensuite une norme de due diligence reproductible (catégories d’examen, profondeur, fréquence) et appliquez-la aussi bien aux nouveaux contrats qu’aux prestataires existants. En parallèle, rapprochez vos contrats existants du contenu minimal de l’art. 30 — en particulier les droits d’audit et de résiliation, sans lesquels les constats d’examen ne peuvent pas être ensuite imposés. Cela transforme une obligation réglementaire abstraite en un processus vécu qui résiste à l’examen du superviseur. Pour un point de départ sur la mise en œuvre pratique, n’hésitez pas à réserver une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.