Aller au contenu principal
Audact
Explorer un workflow

En vigueur · 17 janvier 2025

DORA : ce qu’un client du secteur financier doit pouvoir dire de ses fournisseurs.

En vigueur depuis le 17 janvier 2025

Dernière révision : 6 octobre 2026

Le règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA), règlement (UE) 2022/2554, s’applique depuis le 17 janvier 2025 aux banques, aux assureurs, aux établissements de paiement et de monnaie électronique, aux entreprises d’investissement, aux prestataires de services sur crypto-actifs et aux autres entités financières énumérées à l’article 2. Presque toutes les obligations qu’il crée pèsent sur l’entité financière, pas sur ses fournisseurs. Si vous exploitez des conversations d’IA pour un client du secteur financier, DORA vous atteint par son contrat, son registre d’informations et sa déclaration des incidents.

Ce qu’exige la loi

DORA s’applique aux entités financières énumérées à l’article 2 et, par leur intermédiaire, aux prestataires tiers de services TIC qu’elles utilisent.
Règlement (UE) 2022/2554, art. 2 ; applicable depuis le 17 janvier 2025 (art. 64)
Une entité financière tient un registre d’informations sur tous les accords contractuels relatifs à l’utilisation de services TIC, au niveau de l’entité, au niveau sous-consolidé et au niveau consolidé.
Règlement (UE) 2022/2554, art. 28, par. 3
Les contrats de services TIC doivent contenir un ensemble fixe de dispositions, notamment des descriptions de niveaux de service, une assistance sans coût supplémentaire en cas d’incident lié aux TIC, des droits d’audit et d’accès, et des stratégies de sortie.
Règlement (UE) 2022/2554, art. 30
Les incidents majeurs liés aux TIC doivent être classifiés et déclarés à l’autorité compétente dans les délais fixés par les normes techniques de réglementation.
Règlement (UE) 2022/2554, art. 18 et art. 19
La désignation comme prestataire tiers critique de services TIC est faite par les autorités européennes de surveillance et entraîne une supervision directe ; tout autre fournisseur est encadré par le contrat propre de l’entité financière.
Règlement (UE) 2022/2554, art. 31
Pour un prestataire critique désigné, le superviseur principal peut imposer des astreintes de 1 % du chiffre d’affaires journalier moyen mondial.
Règlement (UE) 2022/2554, art. 35, par. 8

Ce qu’Audact apporte dans ce cadre

Un reçu est visible dans le produit pour les appels encadrés : l’empreinte de l’entrée, l’empreinte de la sortie et evidence_hash, de sorte qu’une modification ou une réorganisation après coup est détectable. La chaîne de preuves relie chaque événement au précédent. Les trois premiers éléments se contrôlent sans clé ; le quatrième, l’inclusion dans la racine de Merkle, se contrôle par rapport à la racine publiée, avec la preuve d’inclusion issue du rapport de l’article 50 de l’appel.
Opérationnel aujourd’hui
L’information de la personne exigée par l’article 50, prononcée dans le déroulement de l’appel et consignée pour chaque interaction.
En tests contrôlés
Hébergement principal de l’application : Francfort. La liste complète des sous-traitants ultérieurs et la base de transfert figurent dans le Centre de confiance.
Opérationnel aujourd’hui
Des enregistrements d’incident horodatés, avec le contexte de l’appel auquel ils se rattachent, exportables dans le rapport d’incident de votre client.
En développement

À qui incombe l’obligation

DORA s’adresse à votre client, et vous atteint par son contrat.

C’est la distinction qui détermine quelle part de DORA est votre problème. Le registre d’informations, la classification des incidents et les délais de déclaration sont des obligations de l’entité financière. Ce que fait l’article 30, c’est faire entrer dans le contrat que cette entité signe avec vous une liste fixe de dispositions : niveaux de service, assistance lors d’un incident lié aux TIC, droits d’audit et d’accès, stratégies de sortie, et lieux où les données sont traitées.

La conséquence pratique est qu’on demande rarement à un fournisseur de se conformer à DORA. On lui demande si son contrat peut porter l’article 30, et s’il peut remettre des éléments de preuve assez vite pour que l’entité respecte l’article 19. Ce sont des questions auxquelles on peut répondre, et la réponse est meilleure lorsque la trace a été constituée pendant l’appel plutôt que reconstituée après l’arrivée du questionnaire.

La désignation de prestataire critique

Prestataire tiers critique de services TIC est un statut, pas une description.

L’expression revient dans toutes les conversations sur DORA et est souvent employée à la légère. En vertu de l’article 31, c’est une désignation formelle faite par les autorités européennes de surveillance, selon des critères dont l’impact systémique et le caractère substituable, et elle entraîne un superviseur principal ainsi que les pouvoirs d’exécution de l’article 35. Elle concerne une courte liste de très grands prestataires.

Tout autre fournisseur est un prestataire tiers ordinaire de services TIC. Ses obligations sont contractuelles : ce que l’article 30 impose à l’entité financière d’inscrire dans l’accord, et ce dont l’entité a besoin en retour de votre part pour satisfaire à ses propres obligations de déclaration.

Remarque

Une information, pas un conseil juridique.

Cette page expose les règles telles que nous les lisons, avec les numéros d’articles pour que vous puissiez nous contrôler. Elle ne constitue pas un conseil juridique, et votre propre situation dépend de faits que cette page ne peut pas connaître. Prenez l’avis d’un conseil qualifié avant de vous y fier.

Questions

DORA s’applique-t-il à mon agence ?
Pas directement, sauf si votre agence est elle-même une entité financière énumérée à l’article 2. Il vous atteint par le contrat avec un client financier : l’article 30 exige que cet accord comporte un ensemble fixe de dispositions, et le client a besoin d’éléments de preuve de votre part pour satisfaire à ses propres obligations de registre et de déclaration.
Qui décide qu’un prestataire est critique au sens de DORA ?
Les autorités européennes de surveillance, en vertu de l’article 31, selon des critères dont l’impact systémique et le degré de substituabilité du prestataire. Un prestataire désigné se voit attribuer un superviseur principal et relève des pouvoirs de supervision des articles 33 à 35.
DORA remplace-t-il l’AI Act pour un client financier ?
Non. Ils régissent des objets différents : DORA régit la résilience opérationnelle et le risque lié aux prestataires tiers de services TIC, l’article 50 de l’AI Act régit l’information d’une personne qui parle à une IA. Un client financier qui fait tourner des conversations d’IA relève des deux.

La trace est constituée pendant que l’appel se déroule

Ce dont une entité financière a besoin de la part d’un fournisseur, c’est d’une trace de ce qui s’est réellement passé. Audact la constitue pendant l’appel et la montre dans le produit. L’export de production a fonctionné lors du nouveau test du 26 août 2026, après le déploiement, mesuré sur des appels depuis un navigateur plutôt que sur une ligne téléphonique. Le pack de preuves mensuel ne fait pas partie de l’offre ; il est en validation.

Voir un reçu

Pages associées