Ce qui a changé en 2025
Le Digital Operational Resilience Act s’applique aux entités financières de l’UE à partir de janvier 2025 et définit la manière dont elles doivent gérer le risque ICT, y compris le risque lié aux prestataires tiers. Elles doivent tenir un registre de chaque prestataire ICT, évaluer chacun d’eux avant de contractualiser, inclure des clauses spécifiques dans chaque contrat et appliquer des règles plus strictes lorsque le prestataire soutient une fonction critique ou importante. Le questionnaire que vous recevez constitue l’évaluation ; l’avenant contractuel qui le suit contient les clauses.
Ce que demande un questionnaire DORA
Au-delà des questions de sécurité habituelles, attendez-vous à des sections que vous n’avez peut-être encore jamais vues :
- Votre gestion des risques ICT : comment vous identifiez, protégez, détectez, répondez et récupérez, et qui est responsable au niveau de la direction.
- Déclaration des incidents : votre classification, vos délais de notification, et votre capacité à soutenir les propres déclarations du client auprès de son autorité.
- Tests de résilience : les tests que vous réalisez, leur fréquence, et si vous participeriez aux tests d’intrusion pilotés par la menace du client.
- Continuité d’activité et sortie : objectifs de reprise, plans de continuité testés, et la manière dont le client pourrait quitter votre service ou migrer vers une autre solution, avec quelle aide et dans quels délais.
- Sous-traitance : qui sont vos propres fournisseurs, où ils se trouvent, et comment vous préviendriez le client avant d’en changer.
- Emplacement : où les données sont traitées et stockées, et depuis où le service est exploité.
- Audit et droits d’accès : si le client, ses auditeurs et son autorité peuvent vous auditer, et comment.
Répondre en tant que fournisseur
La plupart des lignes reçoivent une réponse à partir de la même bibliothèque que tout questionnaire de sécurité. Celles propres à DORA nécessitent une décision, pas seulement un fait : le délai de notification auquel vous vous engagez, l’assistance à la sortie que vous fournissez, si vous acceptez les droits d’audit et à quelles conditions, ainsi que le préavis que vous donnez avant de changer de sous-traitant ultérieur. Décidez de ces points une seule fois, avec la personne qui signe vos contrats, consignez-les par écrit et répondez à chaque questionnaire DORA à partir du même texte. Un fournisseur qui répond à ces lignes de manière cohérente pour tous ses clients traverse plus facilement l’étape contractuelle, car l’avenant correspond alors au questionnaire.
Les preuves qu’ils demanderont
Un rapport d’assurance sur vos contrôles (ISAE 3000, ISAE 3402 ou SOC 2 Type II) raccourcit considérablement la relecture et fait souvent la différence entre un questionnaire et un audit sur site. Les résultats des tests de continuité, le plan de réponse aux incidents et la liste des sous-traitants ultérieurs sont demandés presque à chaque fois. Tenez-les à jour avec des dates ; les personnes qui relisent pour DORA vérifient les dates. Responsemate garde les preuves à côté des réponses, avec une expiration pour chacune, et rédige les lignes du questionnaire à partir des décisions que vous avez consignées une seule fois. Comment les fichiers et les preuves restent à jour.
Questions fréquentes
DORA s’applique-t-il aux fournisseurs de logiciels ?
Pas directement, sauf si vous êtes désigné comme fournisseur tiers critique de services ICT. Mais cela s’applique à vos clients financiers, et leur indique en détail ce qu’ils doivent savoir sur vous et ce que leur contrat avec vous doit prévoir. Le questionnaire et l’avenant contractuel sont les moyens par lesquels ils se mettent en conformité.
Qu’est-ce qu’une fonction critique ou importante au sens de DORA ?
Une fonction dont la défaillance compromettrait de manière significative la performance, les obligations ou l’agrément de l’entité financière. Si votre service en soutient une, attendez-vous au questionnaire le plus long, à des plans de sortie, à des droits d’audit et à une inscription dans un registre avec vos informations.