La conformité « est comme un livre, chaque jour une nouvelle page, chaque chapitre une épreuve »1. Le travail de mise en conformité de la documentation contractuelle au regard des dispositions prévues par DORA s’avère plus délicat qu’anticipé. Les entités financières doivent mener plusieurs chantiers : la réalisation de la cartographie du stock des contrats concernés par DORA2, leur qualification – afin de déterminer notamment si les fonctions concernées sont critiques ou importantes –, puis leur déclinaison contractuelle.
La plupart des entités financières ont bien anticipé les enjeux liés aux obligations prévues par DORA et ont entrepris en conséquence leurs travaux de mise en conformité depuis plusieurs mois. Toutefois, le volet contractuel du chantier DORA ne peut pas encore être complètement finalisé par les établissements car des questions et difficultés demeurent.
Celles-ci sont principalement liées au calendrier (I.) et aux zones d’incertitude concernant certaines obligations prévues par DORA (II.).
DORA entrera en application le 17 janvier 2025. À cette date, toutes les institutions financières entrant dans le champ d’application du règlement3 devront appliquer ses dispositions. Cela signifie que tous les contrats existants devront avoir été modifiés et que tous les nouveaux contrats devront comprendre les stipulations requises.
Or, des questions subsistent concernant le calendrier d’application de DORA pour les entités dont le statut réglementé résulte d’une réglementation locale (e.g., en France : les sociétés de financement, les IOBSP4 ou les CIF5) (1.). En outre, les textes précisant les dispositions de DORA ne sont pas encore tous finalisés ou adoptés (2.), ce qui complexifie le travail de mise en conformité des institutions financières.
Les institutions dont le statut n’est pas européen mais national ne figurent pas parmi la liste des entités soumises à DORA. Pour ces dernières, l’application du dispositif prévu par DORA dépendra de chaque État. En France, les textes permettant de déterminer si ces entités sont soumises aux dispositions de DORA et les dispositions qui leur sont applicables tardent à être finalisées.
À titre d’exemple, le projet de loi de transposition de la directive NIS II6 qui prévoit d’étendre l’application de DORA aux sociétés de financement n’a toujours pas été adopté (compte tenu de la récente dissolution de l’Assemblée nationale). Ce projet a été discuté en conseil des ministres le 15 octobre 2024 (soit seulement trois mois avant l’entrée en application de DORA)7 et n’est pour l‘heure toujours pas adopté8.
Si l’extension du champ d’application de DORA aux sociétés de financement laisse peu de place au doute9, les contours de certains points structurants pour ces entités demeurent flous, comme le délai supplémentaire qui devrait être octroyé aux plus petites sociétés de financement pour se mettre en conformité10. Les incertitudes sur ces aspects ne facilitent pas les travaux de mise en conformité des entités, tant pour les sociétés de financement concernées que pour les groupes bancaires dont certaines filiales peuvent être des sociétés de financement de « petite taille et non complexes »11.
Il est également possible de s’interroger sur l’éventuelle extension de DORA à d’autres entités disposant de statuts réglementés prévus uniquement par le droit français, tels que les IOBSP ou encore les CIF. À ce jour, ce sujet ne semble pas encore avoir été envisagé par le législateur.
Certains projets de normes techniques de réglementation (RTS) et de normes techniques d’exécution (ITS) n’ont été publiés que très récemment12. Parmi eux, certains n’ont pas encore été adoptés par la Commission européenne13 ou ont même été rejetés14. Or les RTS/ITS ont pour objectif d’apporter des précisions substantielles sur les obligations prévues par DORA, notamment en matière contractuelle.
Les institutions financières ont dû effectuer une analyse d’écarts afin d’identifier les éléments additionnels et les précisions apportées par ces RTS/ITS15. Certains RTS/ITS et les clauses types en matière de cloud16 n’ayant pas encore été adoptés par la Commission, une dernière mise à jour est d’ailleurs à anticiper, alors qu’il reste seulement deux mois avant l’entrée en application de DORA !
Le caractère tardif de ces publications nuit à la bonne préparation des institutions financières en les empêchant d’avancer efficacement dans leurs négociations avec les différents prestataires17. Ainsi, même si la plupart des institutions financières soumises à DORA ont engagé le travail de mise en conformité très en amont18 sur le volet contractuel, l’objectif d’une conformité parfaite au moment de l’entrée en application de DORA semble difficile à tenir.
Enfin, on relèvera que les institutions financières soumises aux dispositions de DORA n’ont pas toutes le même niveau de maturité et d’expérience. Les entités qui sont soumises aux Orientations et à l’Arrêté disposent déjà des procédures et de l’expérience contractuelle sur lesquelles s’appuyer dans le cadre de la mise en œuvre de DORA, contrairement à d’autres institutions financières auxquels ces textes ne sont pas applicables (e.g., les prestataires de services de financement participatif ou les prestataires de services sur crypto-actifs). Or ces entités ont des ressources plus limitées que les institutions plus importantes et, pour certaines, sont également en cours de mise en conformité avec d’autres textes structurants pour leurs activités (e.g., le Règlement MiCA19, le Règlement PSFP20, etc.). Si le régulateur a pu indiquer que le principe de proportionnalité serait mis en œuvre21, on peut s’interroger sur les modalités pratiques d’application de ce principe, en particulier sur les aspects contractuels.
Alors que la documentation contractuelle des institutions financières devrait déjà être finalisée pour servir de socle à la négociation avec les prestataires, certaines obligations prévues par DORA sont peu claires, abstraites ou complexes à mettre en œuvre (1.)22. L’articulation de DORA avec les textes préexistants ajoute par ailleurs une strate de complexité à un millefeuille réglementaire déjà conséquent (2.).
Certaines dispositions de DORA soulèvent des difficultés d’interprétation. À titre d’exemple, on peut citer l’obligation de prévoir, dans les contrats relatifs à l’utilisation de services TIC soutenant des fonctions critiques ou importantes (FCI) :
« le droit [pour l’entité soumise à DORA] d’assurer un suivi permanent des performances du prestataire tiers de services TIC, qui comprend [...] le droit de convenir d’autres niveaux d’assurance si les droits d’autres clients sont affectés »23.
Aucune précision ne figure dans DORA sur la signification des termes « niveaux d’assurance » ni sur les cas couverts par l’expression « si les droits d’autres clients sont affectés ». Dans ces conditions, on peut se demander comment les établissements assujettis pourront négocier avec les prestataires tiers une clause précise et pertinente sur ce point.
En outre, certaines dispositions de DORA couvrent des situations insuffisamment définies. Par exemple, les institutions financières :
– doivent avoir le « droit de prendre des copies des documents pertinents sur place s’ils sont essentiels aux activités du prestataire tiers de services TIC » 24 ; ou
– doivent être en mesure de résilier les accords contractuels en cas de « circonstances susceptibles d’altérer l’exécution des fonctions »25, ou encore de « faiblesses avérées liées à [leur] gestion globale du risque lié aux TIC »26.
Encore une fois, on peut s’interroger sur les situations concrètes visées par ces textes, sur lesquelles DORA n’apporte aucune précision.
Ni les travaux préparatoires de DORA ni les questions soulevées par les institutions financières auprès des AES27 n’ont pu apporter les éléments de clarification nécessaires28. Par exemple, concernant le point relatif aux « niveaux d’assurance » mentionné ci-dessus, deux questions ont été posées à l’autorité européenne de supervision du secteur assurantiel. Ces deux questions ont été rejetées et aucune réponse n’a été apportée à ce jour.
DORA s’ajoute à un millefeuille réglementaire existant, ce qui constitue une source de complexité supplémentaire pour les institutions financières29.
En matière contractuelle, se pose plus particulièrement la question de l’articulation de DORA avec les Orientations et l’Arrêté. L’absence de clarification sur ce point de la part du régulateur a amené les institutions financières à opérer des choix pour préparer leur documentation contractuelle avec leurs prestataires.
Certaines institutions financières ont fait le choix de se doter à la fois (i) de clausiers (FCI/non FCI) couvrants DORA et les Orientations/l’Arrêté (lorsque le service concerné est à la fois une externalisation au sens des Orientations et de l’Arrêté et un service entrant dans le champ de DORA) et (ii) de clausiers (FCI/non FCI) ne contenant que les obligations prévues par DORA (pour le cas où le service confié entre dans le champ de DORA mais ne constitue pas une externalisation au sens des Orientations et de l’Arrêté). D’autres établissements ont privilégié un seul lot de clausiers (FCI/non FCI), qui sera utilisé pour tous les services TIC confiés à un prestataire tiers, qu’il s’agisse ou non d’une externalisation au sens des Orientations et de l’Arrêté. Quel que soit le choix opéré, l’articulation de ces différents textes pose un certain nombre de questions, en particulier d’un point de vue pratique.
Par ailleurs, les institutions financières se sont interrogées sur la nécessité de disposer de plusieurs registres d’information et de devoir les communiquer aux autorités à des temporalités différentes, notamment :
– un registre d’information permettant de se conformer aux Orientations et/ou à l’Arrêté (e.g., lorsque le service confié au prestataire est externalisé mais ne constitue pas un service TIC) ;
– un registre d’information complet (sur base individuelle et/ou sous-consolidée/consolidée) permettant de se conformer à DORA ; et
– un registre d’information simplifié (sur base individuelle et/ou sous-consolidée/consolidée) permettant de se conformer à DORA.
Enfin, la date de première communication du registre « complet » n’a pas encore été fixée et ne devrait pas pouvoir l’être tant que la Commission européenne n’aura pas adopté les ITS relatifs aux registres30.
Certaines obligations seront difficiles à mettre en œuvre. On peut citer par exemple les exigences très strictes de surveillance des sous-traitants qui fournissent des services TIC soutenant des FCI31. Même si les obligations des institutions financières en la matière ont été réduites à la suite de leur opposition au régime initialement prévu, les règles applicables dans cette hypothèse restent néanmoins contraignantes32.
Cela a amené les AES à indiquer : « The choice to use subcontracted services supporting its critical or important functions is a choice of the financial entity for which it should bear responsibility33. »
La supervision des sous-traitants est complexe à mettre en œuvre, en particulier car les institutions financières n’ont pas de relation contractuelle directe avec ces sous-traitants. Or ceux-ci peuvent être nombreux dans la chaîne de sous-traitance. On peut donc se demander si certaines institutions financières ne préféreront pas réinternaliser certains services TIC plutôt que de mobiliser des ressources importantes pour se conformer à ces obligations34. La question se posera d’autant plus si les prestataires décident d’augmenter leurs tarifs afin de répercuter les coûts de leur mise en conformité avec les dispositions de DORA.
Les contrôles des régulateurs (notamment de l’ACPR et de la BCE) en lien avec l’externalisation se sont intensifiés ces dernières années. Les griefs très précis soulevés lors des procédures disciplinaires témoignent de l’attention toute particulière accordée à ce sujet. On peut anticiper que cette attention sera également portée sur le recours à des prestataires tiers de services TIC. Par ailleurs, les publications des régulateurs en lien avec DORA ou des sujets connexes35 ainsi que les réunions de place se multiplient, et témoignent de l’importance du sujet. Si une période de tolérance durant la première partie de l’année 2025 a été annoncée par certains régulateurs, bien conscients des difficultés pour les entités financières36, il convient de rappeler que, d’un point de vue strictement juridique, DORA est un règlement directement applicable dans tous les États membres.
La finalisation de la mise en conformité avec DORA est d’autant plus nécessaire que les institutions financières, mais aussi les régulateurs, doivent également se préparer à l’entrée en application de l’IA Act37, dont les effets seront principalement déployés à compter de la seconde moitié de l’année 2026. n
