DORA : quelles clauses imposer aux prestataires TIC ?
L'article 30 du règlement (UE) 2022/2554 fixe les éléments contractuels clés de tout accord avec un prestataire tiers de services TIC (paragraphe 2), et des éléments supplémentaires quand le service soutient une fonction critique ou importante (paragraphe 3). Ces clauses figurent dans un document écrit unique, accessible à l'entité financière.
Pour tout prestataire de services TIC (article 30, paragraphe 2)
- une description claire et complète des fonctions et des services TIC fournis ;
- les lieux où les services sont fournis et où les données sont traitées ;
- des dispositions sur la disponibilité, l'authenticité, l'intégrité et la confidentialité des données ;
- l'accès, la récupération et la restitution des données en cas d'insolvabilité, de résolution ou de fin du contrat ;
- des descriptions des niveaux de service ;
- l'assistance à l'entité financière en cas d'incident TIC lié au service fourni ;
- la coopération pleine et entière avec les autorités compétentes ;
- les droits de résiliation et les délais de préavis correspondants ;
- la participation du prestataire aux programmes de sensibilisation et aux formations de l'entité financière.
Quand le service soutient une fonction critique ou importante (article 30, paragraphe 3)
Le contrat comporte en plus, notamment :
- des descriptions précises des niveaux de service, avec des objectifs de performance quantitatifs et qualitatifs ;
- des délais de préavis et des obligations de déclaration du prestataire envers l'entité financière ;
- l'obligation de mettre en œuvre et de tester des plans d'urgence et des mesures de sécurité ;
- la participation aux tests de pénétration fondés sur la menace de l'entité financière ;
- des droits d'accès, d'inspection et d'audit ;
- des stratégies de sortie, avec une période de transition adéquate.
Des normes techniques de réglementation précisent le contenu de la politique relative à l'utilisation de services TIC soutenant des fonctions critiques ou importantes.
Votre entreprise est-elle concernée ?
Si vous êtes une PME qui fournit des services informatiques à une entité financière, ces clauses vous seront demandées par votre client. Voir aussi : DORA s'applique-t-il aux PME ?
Gratuit: votre score + vos écarts. Le rapport détaillé et la déclaration étayée : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures alignées sur ISO/IEC 27001, sans certification à ce jour.
Faits relus le 14/10/2026 sur les sources officielles citées (EUR-Lex). Cette page informe ; elle ne constitue pas un conseil juridique.