Le jour où le Parlement a décidé que céder une SCI, c'était un acte juridique (et pas un...
Le projet de loi de finances pour 2026 instaure une taxe sur les holdings patrimoniales. Vous...
Un nouvel avis du Comité de l’abus de droit fiscal éclaire, dans une affaire n° 2024-10...
La décision rendue par la Cour d’Appel Administrative de Nancy le 5 juin 2025,...
Une récente décision de la Cour administrative d'appel de Versailles apporte des précisions...
La Cour administrative d’appel de Lyon vient de livrer une décision emblématique en matière d’acte...
Dans une essentielle du 15 mai 2025, n°491690, le Conseil d’État affine le régime des revenus...
Le juge fiscal vient de rappeler les conditions strictes d’application de l’amende prévue à...
Assiette ou recouvrement ? La distinction semble technique… mais elle peut tout...
Peut-on échapper à une majoration fiscale simplement parce qu’on a été relaxé au pénal pour fraude...
La vérité n’est pas ce qui se démontre, c’est ce qui simplifie .»
Le 2 juillet 2025, le Journal officiel de l’Union européenne a publié le règlement délégué (UE) 2025/532, pris en application du Digital Operational Resilience Act (DORA) entré en vigueur le 17 janvier 2025.
Ce texte précise les critères d’évaluation des risques et les obligations contractuelles pour les entités financières qui externalisent des services TIC liés à des fonctions critiques ou importantes.
Fini le temps des contrats approximatifs place à une contractualisation renforcée !
Le Digital Operational Resilience Act (DORA) - Règlement (UE) 2022/2554 du 14 décembre 2022 - entré en vigueur le 17 janvier 2025, établit un cadre européen unifié pour la résilience opérationnelle numérique du secteur financier.
L’article 1er du règlement DORA précise son objectif :
Les entités financières tiennent compte de leur taille et de leur profil de risque global ainsi que de la nature, de l’ampleur et des facteurs d’augmentation ou de diminution de la complexité de leurs services, activités et opérations, y compris des éléments relatifs:
a) | au type de services TIC qui soutiennent des fonctions critiques ou importantes couverts par l’accord contractuel entre l’entité financière et le prestataire tiers de services TIC; |
b) | au type de services TIC couverts par l’accord contractuel entre le prestataire tiers de services TIC et ses sous-traitants; |
c) | au lieu où exerce le sous-traitant de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci, ou à la localisation de sa société mère; |
d) | à la longueur et à la complexité de la chaîne des sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci utilisée par le prestataire tiers de services TIC; |
e) | à la nature des données partagées avec les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci; |
f) | à la question de savoir si les services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont fournis par des sous-traitants situés dans un État membre ou dans un pays tiers, y compris le lieu où les services TIC sont effectivement fournis et le lieu où les données sont effectivement traitées et stockées; |
g) | à la question de savoir si les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci appartiennent au même groupe que l’entité financière bénéficiaire de ces services; |
h) | à la question de savoir si les sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont agréés, enregistrés ou soumis à une surveillance ou à une supervision par une autorité compétente d’un État membre, ou sont soumis au cadre de supervision prévu au chapitre V, section II, du règlement (UE) 2022/2554; |
i) | à la question de savoir si les prestataires tiers de services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont agréés, enregistrés ou soumis à une surveillance ou à une supervision par une autorité de surveillance d’un pays tiers; |
j) | à la question de savoir si les services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci sont fournis par un seul sous-traitant d’un prestataire tiers de services TIC ou par un petit nombre d’entre eux; |
k) | à la question de savoir si la sous-traitance de services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci aurait une incidence sur la transférabilité de ces services TIC à un autre prestataire tiers de services TIC; |
l) | à l’incidence potentielle des perturbations sur la continuité et la disponibilité des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci fournis par le prestataire tiers de services TIC, lorsque ce dernier fait appel à un sous-traitant fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci. |
Le Règlement délégué (UE) 2025/532 du 24 mars 2025^6_1, publié au Journal officiel le 2 juillet 2025, vient préciser de manière opérationnelle les critères d’évaluation des risques et les obligations contractuelles pour les entités financières qui externalisent des services TIC liés à des fonctions critiques ou importantes.
Le considérant 1 du règlement délégué souligne l’enjeu majeur des chaînes de sous-traitance complexes :
« La fourniture de services TIC à des entités financières repose souvent sur une chaîne complexe de sous-traitants de TIC, au sein de laquelle les prestataires tiers de services TIC sont susceptibles de conclure un ou plusieurs accords de sous-traitance avec d’autres prestataires tiers de services TIC.
Le recours indirect à des sous-traitants de TIC peut avoir une incidence sur la capacité d’une entité financière à identifier, évaluer et gérer ses risques, notamment les risques liés aux lacunes que présentent les informations fournies par les prestataires tiers de services TIC ainsi qu’à la capacité de cette entité à obtenir des informations auprès des sous-traitants de TIC fournissant des services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci.
À cet égard, lorsque la fourniture de services TIC à des entités financières repose sur une chaîne potentiellement longue ou complexe de sous-traitants de TIC, il est essentiel que ces entités financières identifient toute la chaîne des sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes. »^6_1
Cette complexité génère des risques systémiques que le règlement entend encadrer rigoureusement.
Pour rappel le champ d’application du règlement DORA est étendu : Le règlement s’applique à 21 catégories d’entités financières^6_2, incluant :
A RETENIR :
L’innovation majeure du règlement délégué 2025/532 réside dans la codification précise des éléments d’évaluation.
L’article 1er établit que les entités financières doivent tenir compte de leur profil de risque global selon 12 critères explicites^6_1 :
L’article 1er, paragraphe a) à l) du règlement délégué précise^6_1 :
Éléments relatifs à la localisation et à la structure :
Éléments relatifs aux données et à la sécurité :
Éléments relatifs à la supervision et au contrôle :
Le considérant (3) insiste sur la proportionnalité de l’évaluation^6_1 :
« Dans un souci de proportionnalité, les éléments qu’une entité financière doit déterminer et évaluer en cas de sous-traitance de services TIC qui soutiennent des fonctions critiques ou importantes devraient être définis en tenant compte de cette diversité »
La réglementation DORA introduit une ambiguïté sémantique majeure avec deux définitions distinctes du terme « critique » qui créent une confusion opérationnelle considérable :
1. Services TIC critiques ou importants (Article 28 DORA)
Il s’agit d’une qualification contextuelle effectuée par chaque entité financière. L’article 28 du règlement DORA précise :
« Les entités financières identifient et classifient les services TIC qui soutiennent les fonctions critiques ou importantes »
Cette qualification dépend de l’impact sur :
Enjeu pratique : Un même prestataire peut être qualifié de critique par une entité et non critique par une autre, selon leur organisation interne.
2. Prestataires tiers critiques de services TIC (Article 31 DORA)
Il s’agit d’une désignation officielle par les autorités européennes de supervision basée sur l’article 31 du règlement DORA :
« Les AES peuvent conjointement désigner un prestataire tiers de services TIC comme critique si ce prestataire présente un risque systémique pour la stabilité, la continuité ou la qualité des services financiers »
Cette double qualification génère des enjeux opérationnels majeurs que le règlement délégué 2025/532 tente de clarifier.
Obligations contractuelles renforcées
L’article 4 du règlement délégué 2025/532 établit des conditions précises de sous-traitance^6_1. L’accord contractuel doit spécifier :
« que le prestataire tiers de services TIC est responsable de la fourniture des services fournis par les sous-traitants »^6_1
« que le prestataire tiers de services TIC est tenu de surveiller tous les services TIC qui soutiennent des fonctions critiques ou importantes »^6_1
Obligations de transparence géographique :
L’article 4, paragraphe e) impose de préciser^6_1 :
« Le lieu de traitement et de stockage des données par le sous-traitant, le cas échéant »
Continuité de service obligatoire :
L’article 4, paragraphe g) exige^6_1:
« que le prestataire tiers de services TIC doit, tout au long de la chaîne de sous-traitance, assurer la continuité des services TIC qui soutiennent des fonctions critiques ou importantes en cas de non-respect par un sous-traitant TIC de ses obligations contractuelles »
L’innovation majeure du règlement délégué réside dans l’article 5 qui codifie les obligations de notification^6_1
Délai de préavis obligatoire :
« L’accord contractuel prévoit un délai de préavis raisonnable dans lequel l’entité financière doit approuver les changements ou s’y opposer »^6_1
Droit d’opposition formalisé :
« Le prestataire tiers de services TIC ne met en œuvre les changements significatifs apportés à ses accords de sous-traitance qu’après que l’entité financière a approuvé ces changements »^6_1
Droits de résiliation élargis
L’article 6 du règlement délégué établit des motifs précis de résiliation^6_1:
Obligations de diligence renforcée : Évaluation préalable obligatoire
L’article 3 du règlement délégué impose une diligence renforcée avant toute conclusion de contrat^6_1. L’entité financière ne peut conclure un accord que si toutes les conditionssuivantes sont remplies.
Capacités d’évaluation du prestataire :
« les processus de diligence requise à l’égard du prestataire tiers de services TIC garantissent que ce dernier est en mesure de sélectionner et d’évaluer les capacités opérationnelles et financières des sous-traitants de TIC potentiels »^6_1
Identification complète de la chaîne :
« le prestataire tiers de services TIC est en mesure d’identifier tous les sous-traitants fournissant des services TIC qui soutiennent des fonctions critiques ou importantes »^6_1
Droits d’audit équivalents :
« le sous-traitant accorde à l’entité financière ainsi qu’aux autorités compétentes et aux autorités de résolution les mêmes droits contractuels d’accès et d’inspection que ceux que leur accorde le prestataire tiers de services TIC »^6_1
Responsabilité ultime maintenue
Le considérant (4) rappelle un principe fondamental^6_1 :
« le recours à des services TIC soutenant des fonctions critiques ou importantes sous-traités par les prestataires tiers de services TIC ne peut décharger les organes de direction des entités financières de la responsabilité ultime de la gestion de leurs risques »
Application à l’échelle des groupes (Article 2)
Cohérence intra-groupe obligatoire
L’article 2 du règlement délégué impose une application uniforme^6_1 :
« l’entreprise mère qui est chargée de fournir les états financiers consolidés ou sous-consolidés pour le groupe fait en sorte que les conditions de sous-traitance […] soient mises en œuvre de manière cohérente au sein de toutes les entités financières appartenant au groupe »
Le considérant (6) précise cette exigence^6_1 :
« dans le contexte d’un groupe, l’entreprise mère des entités financières devrait veiller à l’application uniforme et cohérente, au sein du groupe, de la politique de recours à des sous-traitants de TIC »
L’article 50 (intitulé “Sanctions administratives et mesures correctives”) prévoit que les États membres doivent instaurer des sanctions administratives efficaces, proportionnées et dissuasives. Contrairement à ce que certaines interprétations secondaires pourraient suggérer, DORA ne fixe pas de montants maximaux uniformes au niveau européen pour les entités financières.
L’article 35 du règlement DORA dispose que les prestataires désignés comme critiques s’exposent à des astreintes journalières :
« Les AES peuvent imposer des astreintes […] d’un montant maximal de 1% du chiffre d’affaires quotidien moyen mondial de l’exercice précédent »
Suggestions de clauses contractuelles à insérer :
Pour faciliter la mise en conformité, voici des suggestions de clauses types inspirées directement des exigences du règlement délégué 2025/532 et du règlement DORA. Chez Altij Avocats, réseau Baher Tilly, nous proposons des modèles personnalisés et un accompagnement pour leur intégration, en tenant compte de votre contexte spécifique.
Clause suggérée :
« Le Prestataire s’engage à identifier et à lister exhaustivement tous les sous-traitants impliqués dans la fourniture des services TIC couverts par le présent contrat, y compris leur localisation géographique, la nature des données traitées et leur rôle dans la chaîne de sous-traitance. Le Prestataire est responsable de la surveillance continue de ces sous-traitants et doit assurer leur conformité aux obligations du présent contrat. Toute modification de la chaîne doit être notifiée à l’Entité Financière au moins [30 jours] à l’avance. »
Raison : Cette clause assure la transparence et la responsabilité du prestataire principal, conformément à l’article 4 qui exige la surveillance de toute la chaîne.
Clause suggérée :
« En cas de changement significatif dans les accords de sous-traitance (tels que l’ajout d’un nouveau sous-traitant, modification de la localisation des données ou altération des services), le Prestataire doit notifier l’Entité Financière par écrit au moins [60 jours] avant la mise en œuvre, en fournissant une évaluation des risques associés selon les 12 critères de l’article 1er du Règlement délégué (UE) 2025/532. L’Entité Financière dispose d’un droit d’opposition motivé dans un délai de [30 jours] suivant la notification. En cas d’opposition, le changement ne peut être implémenté. »
Raison : Directement tirée de l’article 5, cette clause formalise le délai de préavis et le droit d’opposition pour prévenir les risques non évalués.
Clause suggérée :
« Le Prestataire accorde à l’Entité Financière, à ses auditeurs internes/externes, ainsi qu’aux autorités compétentes et de résolution, un droit illimité d’accès, d’audit et d’inspection sur tous les aspects des services TIC, y compris chez les sous-traitants. Ce droit inclut l’accès aux locaux, systèmes, données et documents, avec un préavis de [10 jours] au minimum. Les coûts d’audit sont à la charge du Prestataire si des non-conformités sont détectées. Les droits d’audit s’étendent à l’ensemble de la chaîne de sous-traitance. »
Raison : Cette clause garantit l’équivalence des droits d’audit pour les sous-traitants, comme exigé par l’article 3, et renforce la supervision réglementaire.
Clause suggérée :
« L’Entité Financière peut résilier le présent contrat de plein droit, sans indemnité ni préavis supplémentaire, en cas de : (i) mise en œuvre d’un changement significatif sans notification préalable ou approbation ; (ii) non-respect des obligations de surveillance de la chaîne de sous-traitance ; (iii) défaillance d’un sous-traitant impactant la continuité des services critiques. Une période de transition de [6 mois] sera assurée pour transférer les services à un nouveau prestataire, avec maintien des niveaux de service. »
Raison : Alignée sur l’article 6, cette clause élargit les motifs de résiliation pour couvrir les risques spécifiques à la sous-traitance, tout en incluant une stratégie de sortie pour minimiser les disruptions.
Clause suggérée :
« Le Prestataire s’engage à assurer la continuité des services TIC critiques en cas de défaillance d’un sous-traitant, en activant des plans d’urgence prédéfinis et testés annuellement. Ces plans incluent des mécanismes de basculement automatique, la récupération des données dans un délai de [24 heures], et une compensation pour toute interruption excédant [4 heures]. Le Prestataire reste pleinement responsable vis-à-vis de l’Entité Financière, indépendamment des sous-traitants impliqués. »
Raison : Cette clause opérationnalise l’exigence de continuité de l’article 4, en intégrant des éléments quantifiables pour une résilience accrue.
Ces suggestions ne sont pas exhaustives et doivent être complétées par une analyse personnalisée. Altij & Oratio Avocats peut vous assister dans la rédaction et la négociation de ces clauses pour une conformité optimale.
Audit contractuel immédiat basé sur les 12 critères :
Négociation renforcée selon les nouveaux standards
Cartographie des dépendances selon le règlement délégué
Plans de continuité conformes
Mise en conformité proactive au règlement délégué :
Chez Altij Avocats, nous accompagnons nos clients dans cette transformation réglementaire majeure depuis l’entrée en vigueur de DORA.
Notre expertise reconnue en droit des nouvelles technologies et cybersécurité nous permet de proposer un accompagnement sur mesure face aux nouveautés du règlement délégué 2025/532, incluant la rédaction de clauses contractuelles adaptées.
Notre atout : Notre équipe en soutien de RSSI externalisés avec nos Avocats délégués à la protection des données
France Charruyer, récemment auditionnée au Sénat sur les infrastructures critiques, souligne : “Le règlement délégué 2025/532 marque un tournant décisif. Les entreprises qui maîtrisent ces exigences et intègrent des clauses robustes prennent une longueur d’avance considérable sur leurs concurrents.”
Le règlement délégué 2025/532, publié le 2 juillet 2025, marque une étape décisive dans l’opérationnalisation de DORA^6_1. Ses 12 critères d’évaluation précis, ses obligations contractuelles codifiées et les clauses suggérées à insérer transforment radicalement les relations entre entités financières et prestataires TIC.
L’enjeu de maîtrise de ces nouvelles exigences représente un défi majeur pour les praticiens, nécessitant une expertise juridique pointue pour éviter les sanctions et optimiser la résilience opérationnelle.
La réussite de cette transition repose sur une compréhension fine des apports techniques du règlement délégué, soutenue par un accompagnement juridique spécialisé dans les nuances opérationnelles de DORA et la rédaction de clauses adaptées.
Besoin d’un accompagnement expert ? Contactez dès aujourd’hui nos spécialistes DORA pour transformer ces nouvelles obligations en avantage concurrentiel durable.
La formation « IA & CYBERSÉCURITÉ : L’impact des obligations de sécurité et de la réglementation sectorielle sur un projet IA (NIS 2, DORA, CRA, etc.) » de notre legaltech Trust by Design vous permettra d’intégrer les exigences réglementaires et de cybersécurité tout au long d’un projet IA, en alliant conformité, gestion des risques et approche opérationnelle.