Depuis l’entrée en application du règlement DORA, les banques, assurances, sociétés de gestion, prestataires de paiement et autres acteurs financiers revoient leurs contrats informatiques. En 2026, cette révision devient plus concrète : l’ACPR annonce un suivi renforcé des risques opérationnels, IT, cyber et d’externalisation, et l’AMF met à disposition des formulaires de notification d’incident pour les acteurs qu’elle supervise.
Pour un éditeur logiciel, une ESN, un hébergeur, un fournisseur cloud, un intégrateur, un prestataire cybersécurité ou un sous-traitant technique, le sujet arrive souvent sous une forme très pratique : un client banque ou assurance transmet une annexe DORA à signer vite, parfois avec des droits d’audit larges, des obligations de notification très courtes, une clause de réversibilité coûteuse, un droit de résiliation renforcé ou une cascade de garanties.
Il ne faut pas signer mécaniquement. DORA impose un cadre de résilience opérationnelle numérique au secteur financier. Il impose aussi une discipline contractuelle dans les relations avec les prestataires TIC. Mais une annexe DORA ne donne pas au client le droit d’imposer n’importe quelle charge, sans limite, sans prix, sans calendrier et sans cohérence avec le service réellement fourni.
Cette négociation relève du droit des affaires autant que de la conformité : elle touche au périmètre du service, au prix, à la responsabilité, à la preuve et à la continuité du contrat.
DORA ne concerne pas seulement les grandes banques
Le règlement européen DORA s’applique aux entités financières visées par le texte : établissements de crédit, entreprises d’assurance, prestataires de services de paiement, établissements de monnaie électronique, entreprises d’investissement, sociétés de gestion, prestataires de services sur crypto-actifs et plusieurs autres catégories.
Le prestataire informatique n’est pas toujours directement soumis à toutes les obligations de l’entité financière. En revanche, il est touché par ricochet lorsque son service est utilisé par un client financier. Le contrat devient alors le point de passage obligatoire : description du service, niveaux de service, sécurité, sous-traitance, localisation des données, assistance en cas d’incident, audit, continuité, sortie et réversibilité.
La difficulté vient du décalage entre deux logiques.
Le client financier doit montrer à son régulateur qu’il maîtrise ses risques. Le prestataire doit, lui, éviter de transformer un contrat standard en engagement illimité de conformité, de disponibilité, d’audit permanent et d’assistance gratuite.
Le bon réflexe consiste donc à traiter l’annexe DORA comme une négociation contractuelle, pas comme une formalité administrative.
Les clauses à vérifier avant signature
La première clause à contrôler est la description du service. Elle doit correspondre au service vendu, et non à l’ensemble du système d’information du client. Une annexe qui décrit le prestataire comme responsable d’une fonction critique globale alors qu’il ne fournit qu’un module, une API ou un support technique crée un risque de responsabilité disproportionné.
La deuxième clause concerne les niveaux de service. Les délais d’intervention, de restauration ou de notification doivent être compatibles avec l’offre, les horaires de support, le prix et les moyens réellement prévus. Un engagement de notification immédiate, 24 heures sur 24, sans astreinte contractuelle, peut devenir intenable dès le premier incident.
La troisième clause vise la sous-traitance. DORA pousse les entités financières à connaître les prestataires et sous-prestataires qui interviennent dans la chaîne TIC. Cela ne signifie pas que chaque changement de fournisseur secondaire doit être bloqué pendant des semaines. Il faut distinguer les sous-traitants critiques, les fournisseurs techniques standardisés, les hébergeurs, les outils de support et les services accessoires.
La quatrième clause porte sur l’audit. Le client peut avoir besoin de droits d’accès, de contrôle ou d’information. Mais ces droits doivent être encadrés : préavis, confidentialité, limitation aux informations nécessaires, protection des autres clients, recours possible à des rapports tiers, durée de l’audit, coût, fréquence, sécurité des locaux et des environnements.
La cinquième clause concerne la réversibilité. C’est souvent le point le plus sous-estimé. Une obligation de sortie doit préciser les formats, les données concernées, la durée d’assistance, le prix, les limites techniques, les conditions de transfert et les responsabilités du client. Sans cela, le prestataire peut se retrouver à financer une migration longue et complexe qui n’avait jamais été intégrée au contrat initial.
Une annexe DORA peut déplacer le risque financier
Certains avenants contiennent une logique simple : le client transfère au prestataire une grande partie de son propre risque réglementaire.
On retrouve alors des clauses qui imposent au prestataire de garantir la conformité DORA du client, d’indemniser toute sanction administrative, de répondre à toute demande du régulateur, d’accepter des audits sans limite, ou de prendre en charge des obligations de notification et de reporting sans rémunération spécifique.
Ces clauses doivent être relues avec attention.
Le prestataire peut s’engager sur son périmètre : sécurité de son service, disponibilité convenue, coopération raisonnable, information en cas d’incident connu, documentation, assistance à la sortie. Il doit éviter de garantir la conformité globale de l’entité financière, surtout lorsqu’il ne connaît ni l’architecture complète, ni les processus internes, ni les autres prestataires, ni les décisions de gouvernance du client.
La distinction est essentielle. Une obligation de coopération est acceptable. Une garantie générale de conformité peut être dangereuse.
Que faire si le client exige une signature rapide ?
La pression commerciale est fréquente. Le client explique que l’avenant est imposé par le régulateur, que tous les prestataires signent, ou que le contrat sera suspendu en cas de refus.
Il faut répondre vite, mais pas signer sans méthode.
La première étape consiste à demander le classement du service. Le client considère-t-il que la prestation soutient une fonction critique ou importante ? S’agit-il d’un service essentiel, d’un outil accessoire, d’une prestation ponctuelle ou d’une brique technique substituable ? Ce classement conditionne le niveau d’exigence.
La deuxième étape consiste à vérifier le contrat existant : responsabilité, plafond d’indemnisation, force majeure, sécurité, sous-traitance, confidentialité, propriété des données, réversibilité, audit, suspension, résiliation. L’annexe DORA ne doit pas contredire ces clauses sans le dire.
La troisième étape consiste à identifier les engagements nouveaux. Un tableau simple suffit : obligation demandée, clause concernée, impact opérationnel, coût, délai, responsable interne, point à négocier.
La quatrième étape consiste à répondre par amendements ciblés. Il n’est pas toujours utile de refuser tout le document. Il est souvent plus efficace de limiter les clauses excessives : audit encadré, notification « sans délai excessif » après qualification de l’incident, assistance facturable au-delà d’un volume prévu, réversibilité selon un plan convenu, responsabilité plafonnée sauf faute lourde ou violation de confidentialité.
Incidents TIC : attention aux délais et aux mots utilisés
L’AMF prévoit des formulaires de notification d’incident et de cybermenace pour les entités relevant de sa supervision. L’ACPR centralise également des ressources DORA, notamment sur les incidents, le registre d’information et les obligations de déclaration.
Pour le prestataire, la clause d’incident est sensible.
Il faut éviter les formulations trop vagues. « Tout incident » ne veut pas dire la même chose qu’un incident majeur lié aux TIC. Une alerte de supervision, une indisponibilité mineure, une tentative bloquée, une vulnérabilité corrigée, une cybermenace significative et une fuite de données ne déclenchent pas les mêmes conséquences.
Le contrat doit donc préciser :
- le type d’événement à notifier ;
- le moment à partir duquel le délai court ;
- le canal de notification ;
- les informations minimales à transmettre ;
- les réserves lorsque l’analyse technique est en cours ;
- l’articulation avec le RGPD, les obligations de cybersécurité et les engagements de confidentialité ;
- la personne habilitée à qualifier l’incident.
Sans ces précisions, le prestataire risque de notifier trop tard, trop tôt, trop largement, ou avec des informations incertaines qui seront ensuite utilisées contre lui.
Sous-traitants, cloud et outils standard : ne pas promettre l’impossible
Beaucoup de prestataires utilisent eux-mêmes des outils tiers : cloud, messagerie, ticketing, supervision, stockage, CDN, outil de signature, outil de support, solution de sauvegarde.
Le client financier peut demander une transparence renforcée. Mais le prestataire ne peut pas toujours obtenir un droit d’audit direct chez un hyperscaler, imposer une localisation nouvelle en quelques jours, ou modifier seul les conditions standard d’un fournisseur mondial.
La clause doit donc distinguer ce qui est maîtrisé directement et ce qui dépend de tiers. Elle peut prévoir la communication de certifications, rapports d’audit, attestations, politiques de sécurité, mesures organisationnelles et engagements contractuels disponibles. Elle peut aussi prévoir une information en cas de changement significatif de sous-traitant critique.
En revanche, une clause qui impose une autorisation préalable pour tout outil technique, tout changement de version, tout prestataire accessoire ou tout composant standard peut bloquer l’exploitation normale du service.
Les pièces à préparer avant de négocier
Un prestataire qui répond à une annexe DORA sans dossier interne perd du temps. Il faut préparer les documents utiles avant la discussion.
Les pièces les plus importantes sont les suivantes :
- contrat principal, conditions générales, annexes sécurité et niveaux de service ;
- description fonctionnelle et technique du service ;
- liste des sous-traitants essentiels ;
- politique de sauvegarde, continuité et reprise ;
- procédure de gestion des incidents ;
- registre des traitements RGPD si des données personnelles sont concernées ;
- attestations, certifications ou rapports disponibles ;
- plan de réversibilité ou, à défaut, note technique sur l’export des données ;
- historique des incidents significatifs si le client le demande légitimement ;
- grille des coûts pour support renforcé, audit, migration ou astreinte.
Ces pièces permettent de négocier sur des faits. Elles évitent une réponse abstraite du type « nous sommes conformes », qui n’apporte aucune protection si un incident survient.
Paris et Île-de-France : pourquoi le sujet se traite vite
À Paris et en Île-de-France, beaucoup de prestataires tech travaillent avec des banques, assurances, fintechs, sociétés de gestion, courtiers, cabinets de conseil ou plateformes régulées. Les avenants DORA circulent donc dans des délais courts, souvent au moment d’un renouvellement, d’un appel d’offres ou d’un audit fournisseur.
Le risque n’est pas seulement juridique. Il est commercial. Un refus brutal peut bloquer un client important. Une signature trop rapide peut créer une responsabilité disproportionnée. La bonne stratégie consiste à répondre dans le délai demandé, mais avec une note claire : points acceptés, points à préciser, clauses à plafonner, prestations additionnelles à facturer, calendrier réaliste.
Pour un prestataire francilien, il est aussi utile de centraliser les demandes DORA. Si chaque commercial ou chef de projet répond séparément, l’entreprise finit avec plusieurs versions d’engagements incompatibles. Un modèle de réponse, validé juridiquement et techniquement, permet de préserver la relation client tout en gardant une ligne contractuelle cohérente.
Ce qu’il faut refuser, négocier ou accepter
Certaines demandes peuvent être acceptées si elles restent proportionnées : coopération en cas d’incident, transmission d’informations raisonnables, mise à jour d’une liste de sous-traitants essentiels, engagement de confidentialité, description des mesures de sécurité, assistance à la réversibilité selon un plan convenu.
D’autres doivent être négociées : audit sans limite, astreinte non prévue, délais de notification irréalistes, droit de résiliation immédiat pour tout incident mineur, pénalités automatiques, obligation de supporter tous les coûts du client, responsabilité non plafonnée, garantie de conformité globale du client.
Enfin, certaines formulations doivent être refusées ou réécrites : transfert intégral du risque réglementaire, indemnisation de toute sanction sans faute du prestataire, accès illimité aux systèmes mutualisés, interdiction générale de sous-traiter, obligation de résultat absolue sur l’absence d’incident.
La ligne de conduite est simple : accepter la coopération, refuser l’illimité, documenter le périmètre.
Réagir avant la rupture du contrat
Si le client menace de suspendre ou de résilier le contrat, il faut relire les clauses existantes avant de répondre. Le client ne peut pas toujours modifier unilatéralement l’économie du contrat au motif de DORA. Tout dépend de la clause de conformité réglementaire, des obligations d’adaptation, de la durée restante, du caractère critique de la prestation et des conditions de résiliation.
Une réponse écrite doit rester sobre. Elle peut reconnaître l’importance de DORA, confirmer la volonté de coopérer, lister les points acceptés, puis expliquer les clauses qui nécessitent une adaptation. Cette méthode évite de donner l’image d’un refus de conformité. Elle replace la discussion sur son vrai terrain : le périmètre du service, le coût, le délai et la responsabilité.
Lorsque les montants sont importants, il est préférable de ne pas négocier uniquement par échange de commentaires Word. Une réunion juridique et technique permet souvent d’isoler les vrais sujets : incident, audit, sous-traitance, réversibilité, responsabilité. Le reste peut être accepté rapidement.
À retenir
Une annexe DORA n’est pas un simple document de conformité. C’est un avenant contractuel qui peut modifier le risque financier, opérationnel et juridique du prestataire.
Avant de signer, il faut vérifier le périmètre du service, les niveaux de service, les délais de notification, les droits d’audit, la sous-traitance, la réversibilité, le plafond de responsabilité et les coûts cachés.
Le prestataire doit coopérer avec son client financier, mais il ne doit pas devenir garant de toute la conformité DORA de ce client.
Besoin d’un avis rapide sur votre dossier
Le cabinet peut relire votre annexe DORA, identifier les clauses à risque et proposer une réponse contractuelle adaptée.
Une consultation téléphonique peut être organisée en 48 heures avec un avocat du cabinet.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Le cabinet intervient à Paris et en Île-de-France pour les prestataires, dirigeants et entreprises confrontés à une négociation contractuelle DORA.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.