Nous remercions Aida Kaloci et Axel Desmet de l'équipe Innovation de Cresco pour leur participation à notre webinaire, Conformité DORA après janvier : quelles sont les prochaines étapes ?.

Le règlement DORA est déjà en vigueur, et bien que les contrôles et sanctions puissent s'intensifier après avril 2025, les entreprises doivent agir dès à présent. La revue, la négociation et la mise en conformité des contrats constituent des démarches clés pour garantir la conformité et prévenir les risques financiers et opérationnels.

Voici les principaux enseignements de cette session d'information. Vous pouvez également visionner le webinaire ici.

L'aggravation de la cybermenace et l'avènement de DORA

En 2024, les cyberattaques ont atteint des niveaux records à l'échelle mondiale, avec une hausse de 75 % au troisième trimestre par rapport à la même période en 2023.  

Parallèlement, nous assistons à une vague de nouvelles réglementations, notamment DORA (Digital Operational Resilience Act), un cadre juridique visant à renforcer la résilience opérationnelle des entités financières dans l'ensemble de l'UE.
‍

Quel est le champ d'application de DORA ?

DORA s'applique aux entités financières traditionnelles, telles que :

• Les établissements de crédit

• Les établissements de paiement

• Les plateformes de négociation

Le règlement vise également les entités financières modernes, notamment :

• Les sociétés de gestion d'investissements

• Les prestataires de services sur crypto-actifs

Point essentiel : les prestataires tiers de services TIC fournissant ces entités financières sont indirectement couverts par DORA.
‍

Calendrier de mise en conformité avec DORA

DORA est entré en application le 17 janvier 2025, marquant une échéance ferme. Néanmoins, une période transitoire informelle court jusqu'au 30 avril 2025, date à laquelle les autorités de régulation nationales doivent soumettre la liste des prestataires tiers critiques de services TIC aux autorités européennes.

D'ici là, l'application coercitive pourrait demeurer mesurée, mais les entreprises ne doivent pas retarder leurs démarches de mise en conformité.
‍

Les enjeux de la conformité à DORA

Le non-respect de DORA peut entraîner :

• Des sanctions pécuniaires pouvant atteindre 2 % du chiffre d'affaires mondial, sur le modèle du RGPD. 

• Des risques prudentiels et d'agrément. Certains observateurs estiment que la non-conformité pourrait affecter les agréments relevant de la DSP2 et d'autres services financiers.

Appréhender les obligations fondamentales et les défis posés par DORA

DORA impose des exigences strictes aux entités financières ainsi qu'à leurs prestataires tiers de services TIC. La mise en conformité requiert une approche structurée articulée autour de quatre piliers : la gestion des risques informatiques (TIC), la notification des incidents, les tests de résilience et la gestion du risque lié aux tiers.

Chacune de ces obligations impose une stratégie de conformité proactive, les entités financières étant tenues de renforcer leurs garanties contractuelles et d'instaurer une surveillance continue. Toutefois, les négociations avec les prestataires de services TIC se heurtent fréquemment à des difficultés, rendant indispensable une démarche fondée sur les risques.
‍

Renforcer la gestion des risques informatiques (TIC)

Les entités financières doivent évaluer et gérer en continu les risques émanant de leurs prestataires de services TIC. Cela implique notamment :

• La définition claire des rôles et responsabilités au sein des stipulations contractuelles.

• La mise en œuvre d'évaluations régulières des risques afin de garantir que les prestataires de services respectent les normes de résilience.

Cette exigence contraint les institutions financières à considérer les prestataires de services TIC comme partie intégrante de leur sécurité opérationnelle, en s'assurant que leurs systèmes et contrôles sont alignés sur les attentes réglementaires.
‍

Notification des incidents 

DORA impose que tout incident majeur lié aux TIC soit notifié sans délai aux autorités compétentes. La conformité exige :

• L'établissement de mécanismes de notification précis dans les contrats.

• La définition des délais d'exécution, des procédures d'escalade et de l'imputabilité des responsabilités en matière de signalement.

Pour les institutions financières, cela requiert une collaboration étroite avec les prestataires de services TIC afin d'assurer un flux d'informations continu en cas d'incident. Les clauses contractuelles doivent exclure toute ambiguïté et formaliser des protocoles d'intervention concrets.
‍

Tests de résilience opérationnelle numérique 

Les tests de résilience constituent une obligation centrale de DORA, imposant aux entités financières de tester périodiquement leurs systèmes TIC. Les contrats doivent préciser :

• La fréquence des tests (au moins annuelle, ou plus fréquente pour les prestataires à haut risque).

• Leur périmètre, incluant les tests d'intrusion et les exercices de reprise d'activité après sinistre.

• Les mesures correctives pour remédier aux vulnérabilités identifiées lors des tests.

Cette obligation permet aux entités financières d'anticiper les cybermenaces et d'y répondre avant qu'elles ne dégénèrent en perturbations majeures.
‍

Gérer les risques liés aux tiers prestataires de TIC par voie contractuelle

DORA étend sa portée au-delà des seules entités financières en régissant indirectement les tiers prestataires de services TIC. À des fins de conformité, les contrats doivent intégrer :

• Des clauses de réversibilité et de sortie assurant une transition fluide en cas de remplacement du prestataire de services.

• Des conditions régissant la sous-traitance, précisant si une autorisation préalable est requise avant toute sous-traitance ultérieure des services.

Les autorités de régulation attendent des entités financières qu'elles conservent une visibilité intégrale et une maîtrise effective de leurs prestataires, garantissant ainsi qu'une défaillance chez un fournisseur ne se propage pas en cascade à l'ensemble de l'écosystème financier.

Défis dans la négociation contractuelle : 
Identifier les zones de résistance

En dépit de la clarté des exigences de DORA, de nombreux prestataires de services TIC expriment des réticences quant à la modification de leurs contrats, invoquant notamment :

• Les coûts de mise en conformité, le respect des normes réglementaires imposant des investissements supplémentaires.

• Des contraintes de ressources, certains prestataires ne disposant pas des capacités nécessaires pour déployer les contrôles requis.

• Des désaccords de qualification, certains prestataires contestant le fait qu'ils soutiennent des fonctions financières « critiques ».

Une approche fondée sur les risques permet de surmonter ces obstacles. Il convient de se concentrer sur :

• La cartographie de l'ensemble des prestataires de services TIC soutenant des opérations critiques.

• L'audit des contrats existants afin d'identifier les écarts de conformité.

• La négociation de stipulations garantissant que les prestataires satisfont aux obligations de DORA sans leur imposer de charges disproportionnées.

À titre d'illustration, une institution financière exigeait initialement d'un prestataire de services TIC la réalisation de trois tests d'intrusion par an, excédant ainsi le seuil minimal imposé par DORA (un test annuel). À l'issue d'une analyse des risques, il a été établi que les services en cause ne revêtaient pas un caractère critique pour la mission, permettant à l'institution d'ajuster son exigence sans compromettre le niveau de résilience requis.

L'audit manuel des contrats : un défi d'envergure pour la conformité à DORA

La mise en conformité avec DORA constitue un processus complexe comportant des enjeux critiques. En raison de l'exposition substantielle aux risques, ce sujet est désormais porté au niveau des organes de direction. La conformité ne représente pas seulement une problématique juridique : elle exige un alignement transversal entre les directions juridiques, des achats, commerciales et les autres parties prenantes.

Pourtant, la majorité des équipes juridiques s'appuie encore sur une revue manuelle des contrats, une démarche chronophage exigeant des milliers d'heures de lecture, de renégociation et de rédaction. Cette méthode ralentit le processus de conformité, alourdit les coûts par le recours accru à des conseils externes et majore le risque d'erreur humaine, en particulier face à des volumes contractuels importants.

L'IA au service d'une conformité proactive

LEGALFLY rationalise la mise en conformité avec DORA en automatisant l'audit des contrats, l'identification des risques et l'alignement réglementaire continu. La solution accélère l'audit contractuel en analysant des milliers de conventions en quelques minutes, réduisant les délais de revue de plusieurs semaines à quelques jours. En détectant les clauses non conformes et en proposant des formulations adaptées à DORA, LEGALFLY permet aux juristes d'appliquer instantanément des modifications en mode révision, garantissant ainsi cohérence et rigueur.

En savoir plus : Faciliter la conformité à DORA grâce à l'IA juridique

Grâce à des playbooks de conformité personnalisés, LEGALFLY accompagne des institutions telles que KBC Bank dans l'élaboration de lignes directrices structurées, optimisant ainsi l'analyse contractuelle pour les directions juridiques comme pour les services achats. Ces playbooks garantissent l'application uniforme des standards de conformité à l'ensemble des contrats. LEGALFLY assure également une veille continue, actualisant automatiquement les playbooks pour intégrer les évolutions réglementaires, réduisant d'autant les mises à jour manuelles et le recours aux cabinets d'avocats externes.

Au-delà des gains d'efficacité, LEGALFLY permet aux institutions financières de gérer les risques de manière proactive, en minimisant les erreurs humaines et en prévenant les sanctions réglementaires ou les ruptures d'activité. En transformant la conformité en un processus fluide et automatisé, la solution permet aux organisations d'anticiper les exigences de DORA et les futures réglementations avec une maîtrise et une sécurité juridique accrues.