Répondez aux questionnaires DORA comme à des clauses contractuelles

Un questionnaire DORA est d'autant plus efficace que chaque réponse constitue un engagement que vos équipes juridiques, de sécurité et de service peuvent tenir. En vertu du règlement européen sur la résilience opérationnelle numérique, nombre de ces réponses alimentent l'un des deux éléments suivants : le contrat écrit que votre client doit conclure avec vous ou le registre d'informations qu'il tient pour chaque contrat TIC. Une réponse formulée pour impressionner peut donc vous engager sur un droit d'audit, un niveau de service ou un délai de préavis que personne n'a approuvé. Ce guide aborde chaque étape dans l'ordre : définir le périmètre de votre service, préparer vos identifiants, associer chaque question à la clause contractuelle correspondante, répondre au nom de vos sous-traitants, utiliser les certifications comme preuves et ne vous engager que sur des opérations que vous pouvez assurer.

Qui y répond et quels éléments réunir en premier

C’est à vous, en tant que fournisseur, d’y répondre. DORA définit un prestataire tiers de services TIC comme toute entreprise qui fournit des services TIC. Ce questionnaire permet à une banque, un assureur ou une société d’investissement de l’UE de vous évaluer avant de signer ou de renouveler un contrat avec vous. Attendez-vous désormais à recevoir ces questions aussi bien lors des renouvellements que pour les nouveaux contrats.

Il s'ajoute aux autres questionnaires de due diligence que votre équipe traite. Il recoupe également la due diligence fournisseur plus large menée par un client du secteur financier. Ce qui le distingue, c'est la destination finale des réponses. Avant toute rédaction, rassemblez les documents qui serviront à vérifier les réponses :

• le projet de contrat ou l’avenant DORA que vous signeriez avec ce client
• une liste à jour de tous les sous-traitants qui contribuent au service, avec le rôle de chacun
• vos certifications et rapports d’audit en cours de validité, avec leur périmètre et leurs dates
• votre procédure de réponse aux incidents, notamment les modalités et délais de notification des clients
• votre grille de niveaux de service ainsi que votre procédure de sortie et de restitution des données

Désignez ensuite un responsable par sujet avant de répartir le questionnaire. Le service juridique prend en charge tout ce qui relève d’une clause contractuelle, et la sécurité, les questions relatives aux contrôles et aux éléments de preuve. L’équipe chargée de la prestation de services prend en charge les niveaux de service, la gestion des incidents et la sortie. La personne qui gère vos propres fournisseurs prend en charge les réponses concernant les sous-traitants. Le bid manager est responsable de l’ensemble de la réponse et donne son approbation finale.

Déterminez si votre service soutient une fonction critique ou importante

Avant de rédiger votre réponse, demandez à votre client si votre service soutient l’une de ses fonctions critiques ou importantes. Ce seul élément détermine quelle part du questionnaire devient une clause contractuelle.

Une réponse affirmative déclenche un deuxième niveau d'obligations. DORA impose des clauses contractuelles supplémentaires pour tout service qui soutient une fonction critique ou importante. Elles comprennent une description complète des niveaux de service, assortie d'objectifs précis. Elles prévoient également des droits d'accès, d'inspection et d'audit sans restriction pour trois parties : le client, un tiers qu'il désigne et son autorité de surveillance. Une réponse affirmative entraîne aussi l'application du règlement délégué (UE) 2025/532 de la Commission relatif à la sous-traitance, qui impose à votre chaîne de sous-traitants des conditions auxquelles un service non critique n'est pas soumis.

Une erreur de classification vous pénalise dans les deux cas. Traitez un service critique comme s’il ne l’était pas et vous aurez décrit un contrat que le client ne peut pas signer. Traitez un service non critique selon les exigences applicables aux services critiques et vous risquez d’accorder des droits d’audit et de fournir un niveau de détail sur les niveaux de service dont personne n’avait besoin.

Lorsque le questionnaire ne précise pas la classification, posez la question par le canal de clarification du client. Formulez-la de manière à permettre une réponse par oui ou par non, par exemple : le service fourni dans le cadre de ce contrat soutient-il une fonction critique ou importante, ou une partie substantielle de celle-ci ? Si vous ne recevez aucune réponse avant l’échéance, indiquez dans votre réponse l’hypothèse sur laquelle vous vous êtes fondé. Chaque engagement sera alors interprété sur cette base.

Un « non » ne vous exclut pas du périmètre. Un service qui ne soutient aucune fonction critique figure tout de même dans le registre d’informations du client. La section suivante s’applique donc dans les deux cas.

Préparez vos identifiants pour le registre d’informations

Munissez-vous de l’identifiant de votre entité juridique avant de commencer. DORA impose à chaque entité financière de tenir un registre d’informations sur l’ensemble de ses accords contractuels relatifs aux services TIC, et vos réponses servent à le renseigner. C’est pourquoi le questionnaire vous demande qui vous êtes, quelle entité juridique conclut le contrat, quel service vous fournissez et qui en assure le support.

Le registre ne couvre pas uniquement les services critiques. Même un service limité et non critique nécessite une réponse d’identification claire.

Règlement d’exécution (UE) 2024/2956 de la Commission constitue la norme d’exécution applicable au registre. Il définit la manière dont vous y êtes identifié :

• Son LEI ou son EUID identifie un fournisseur établi dans l’UE.
• Un fournisseur établi en dehors de l'UE est identifié uniquement par son LEI.

Trois points pratiques en découlent :

• Utilisez l’identifiant de l’entité de votre groupe qui signera ce contrat, et non celui de la société mère.
• Si cette entité est établie hors de l'UE et ne dispose pas de LEI, obtenez-en un avant de répondre, car aucun autre identifiant ne permet de la retrouver dans le registre.
• Conservez exactement le même nom enregistré et le même identifiant de l’entité dans le questionnaire et le contrat. Toute divergence crée un problème de données que le client doit résoudre avant de pouvoir vous enregistrer.

Classez chaque question selon la clause contractuelle qu’elle alimente

Associez chaque question à la clause contractuelle DORA qu’elle alimente et à la personne qui la valide. DORA exige que les droits et obligations des deux parties soient clairement répartis et consignés par écrit, avec les SLA réunis dans un seul document écrit. Le questionnaire permet à votre client de recueillir les éléments qui figureront dans ce document. Une réponse sur le lieu d’hébergement de vos données constitue une première version de la clause relative aux lieux d’hébergement. Une réponse sur l’assistance en cas d’incident constitue une première version de la clause d’assistance.

Un questionnaire est généralement structuré selon les thèmes définis par son auteur, et non selon le contrat. Classer les questions par disposition remplit trois fonctions. Cela indique quelles réponses doivent être examinées par le service juridique. Cela distingue les clauses qui ne s'appliquent qu'à un service critique. Enfin, cela attribue à chaque engagement un approbateur qui en répond.

Une cartographie des clauses à réutiliser

Pour tout ce que la matrice ne couvre pas, appliquez un seul critère :

• Si une réponse fixe un chiffre, accorde un droit, désigne un lieu ou établit un coût, considérez-la comme une clause contractuelle. Transmettez-la à l’équipe qui devra la respecter.
• S'il décrit uniquement votre façon de travailler actuelle, le responsable du sujet peut l'approuver.

Dans tous les cas, le bid manager valide l’ensemble de la réponse et assume la responsabilité des engagements qu’elle fait prendre à l’entreprise.

Dans SEQUESTO : chaque question d’un projet SEQUESTO aOS a son propre réviseur et approbateur. Le service juridique approuve les réponses qui deviennent des clauses contractuelles, et l’équipe sécurité approuve les réponses relatives aux contrôles avant la validation du bid manager.

Répondez aux questions sur les sous-traitants à partir de votre chaîne réelle

Dressez la liste de tous les sous-traitants qui contribuent effectivement au service. Pour une fonction critique ou importante, votre client ne peut contracter avec vous que si vous êtes en mesure de remplir trois conditions : identifier tous ces sous-traitants, en informer le client et lui fournir les informations nécessaires à leur évaluation. Cette exigence découle de la réglementation relative à la sous-traitance. Une réponse vague, faisant par exemple référence à des partenaires de confiance, donne au client une raison de ne pas signer.

Deux autres règles du même règlement déterminent ce que vous pouvez affirmer en toute sincérité :

• Droits d’audit. Lorsque la sous-traitance est autorisée, le contrat doit imposer à chaque sous-traitant d’accorder à votre client et à ses autorités de contrôle les mêmes droits d’accès, d’inspection et d’audit que ceux que vous accordez.
• Modifications. Vous ne pouvez apporter une modification substantielle à la sous-traitance qu'après son approbation par le client, ou après l'expiration d'un délai de préavis raisonnable sans objection de sa part.

Vérifiez donc ce que vos propres contrats de sous-traitance autorisent avant de répondre par l’affirmative à une question d’audit. Par exemple, si les conditions d’un hébergeur ne répercutent pas les droits d’audit, vous vous engageriez sur quelque chose que vous ne pouvez pas tenir.

Pour chaque sous-traitant de votre liste, vérifiez trois points avant de répondre :

1. Prend-il en charge le service que vous proposez à ce client, ou une partie substantielle de celui-ci ?
2. Les conditions que vous avez convenues avec lui prévoient-elles les mêmes droits d’accès, d’inspection et d’audit ?
3. Pouvez-vous informer ce client de toute modification le concernant et attendre son approbation ou l'absence d'objection avant que cette modification ne prenne effet
   ?

Une réponse négative à la deuxième ou à la troisième question révèle un écart à signaler dès maintenant au service juridique. Ce n’est pas un détail à minimiser dans la réponse.

Utilisez les certifications comme preuves, pas comme réponse

Un certificat ISO 27001 ou un rapport SOC 2 étaye votre réponse, mais ne suffit pas à la compléter. Votre client ne peut pas s'appuyer uniquement sur des certifications ou des rapports d'audit dans la durée. Cette règle découle du règlement délégué (UE) 2024/1773 de la Commission, relatif à la politique de l'entité financière concernant le recours à des prestataires tiers de services TIC. Ce même règlement impose au client de vérifier que le périmètre du rapport couvre ses systèmes et ses contrôles clés, et que le rapport n'est pas obsolète.

Ces réponses ont un poids réel. DORA n’autorise les entités financières à conclure des contrats qu’avec des prestataires de services TIC qui respectent des normes appropriées en matière de sécurité de l’information. Vos réponses sur la sécurité déterminent si le contrat peut être signé.

Rédigez chaque réponse au contrôle de façon à ce qu’elle se suffise à elle-même sans la pièce jointe :

• Indiquez en quoi consiste le contrôle et comment il est appliqué à ce service.
• Indiquez où le client peut le vérifier dans le rapport.
• Indiquez dans la réponse le périmètre et la date du rapport, afin que le client n’ait pas à déterminer s’il s’applique.

Deux vérifications permettent de déterminer si un rapport étaye la réponse ou la fragilise :

• son périmètre couvre le service, les systèmes et les sites que ce client utilisera
• sa période de validité est en cours, et vous savez quand le prochain est attendu

Si l’un de ces contrôles échoue, indiquez-le et expliquez ce qui permet de combler l’écart. Ne vous contentez pas de joindre le rapport en espérant que cela suffira. Pour une fonction critique ou importante, le client dispose également de droits d’audit sans restriction. S’il ne peut pas vérifier un élément à partir du rapport, il peut le vérifier sur place. Pour en savoir plus sur la rédaction de réponses de sécurité qui résistent à l’examen lorsque le rapport seul ne suffit pas.

Dans SEQUESTO : vous joignez un rapport, tel que votre rapport SOC 2, à la réponse qu’il étaye. Lorsqu’une nouvelle version est importée, chaque réponse qui citait l’ancienne est signalée pour révision.

Ne vous engagez que sur des niveaux de service et des modalités de gestion des incidents et de sortie que vous pouvez assurer

Ne vous engagez que sur les niveaux de service, les conditions de gestion des incidents et les conditions de sortie que vos équipes appliquent déjà, car chacun de ces engagements devient une obligation écrite dont votre client peut exiger le respect. Il arrive qu’une question demande davantage que vos conditions standard. Dans ce cas, indiquez-le dans la réponse et précisez la condition que vous proposez, plutôt que d’accepter une exigence plus élevée pour simplifier la réponse. La négociation du contrat permettra ensuite de régler cet écart, avec l’équipe juridique autour de la table.

Niveaux de service et incidents

Pour une fonction critique ou importante, les descriptions des niveaux de service doivent être suffisamment précises pour permettre au client de prendre des mesures correctives si vous n’atteignez pas un objectif. Indiquez les données déjà mesurées par votre dispositif de suivi et précisez comment vous les mesurez.

Vos réponses sur les incidents indiquent au client sous quel délai vous le contacterez. Répondez en précisant les délais de notification prévus dans votre runbook. Demandez à l'équipe commerciale de confirmer si l'assistance en cas d'incident est gratuite ou facturée selon un tarif que vous pouvez indiquer dès maintenant.

Sortie et restitution des données

Tout contrat TIC doit prévoir l’accès aux données du client, leur récupération et leur restitution dans un format facilement accessible. Cette obligation s’applique en cas d’insolvabilité, de procédure de résolution, de cessation d’activité ou de fin du contrat. Précisez le format et le processus que vous utiliseriez. Demandez à l’équipe chargée de la prestation de services de confirmer que votre équipe a déjà mis ce processus en œuvre.

Changements que vous devez notifier

Le contrat doit préciser les lieux où vous fournissez le service, traitez et stockez les données, et imposer un préavis avant toute modification. Les changements importants concernant la sous-traitance dépendent également du client, afin que chacun puisse définir ses propres modalités de notification. Consignez chaque engagement pour le client auprès duquel il a été pris, dans une bibliothèque de réponses qui conserve les responsables et les dates de révision. Le questionnaire suivant reprend alors ce que vous avez convenu, au lieu d'inventer une nouvelle réponse.

Checklist pour répondre à un questionnaire DORA

Passez cette checklist en revue avant de donner votre validation. Chaque ligne doit s'appliquer à la réponse que vous êtes sur le point de remettre.

• Le client a confirmé si le service soutient une fonction critique ou importante, ou la réponse précise les éléments sur lesquels vous vous êtes fondé.
• Le LEI de l’entité contractante, ou son EUID si elle est établie dans l’UE, figure dans la réponse et correspond à l’entité qui signera.
• Chaque question indique la disposition DORA à laquelle elle contribue ainsi que le nom de l'approbateur.
• Chaque sous-traitant contribuant au service est répertorié et transmet les mêmes droits d'accès, d'inspection et d'audit.
• Chaque certification ou rapport cité couvre le service concerné et est à jour.
• Chaque engagement relatif aux niveaux de service, aux incidents, à la réversibilité et aux notifications est approuvé par l’équipe qui en assure l’exécution et consigné pour ce client.

Pour votre prochain questionnaire DORA, commencez par la première ligne. Tant que le périmètre n'est pas défini, toutes les autres réponses ne sont que des suppositions sur le contrat concerné.