Une stratégie de sortie TIC n’est pas une clause de résiliation : c’est un plan documenté, testé et activable qui permet à votre société de gestion de continuer à fonctionner si votre prestataire informatique s’arrête, est racheté ou devient défaillant. DORA l’exige à son article 28, et depuis que l’ACPR a fait de 2026 son année de supervision, la question n’est plus de savoir si vous en avez une, mais de la montrer.
C’est le point aveugle le plus fréquent dans les dossiers DORA des sociétés de gestion. Le registre d’information est rempli, les contrats sont à jour, les incidents sont notifiés. Et à la ligne « stratégie de sortie », il y a une phrase générique reprise du contrat cadre, jamais testée, jamais chiffrée.
Que demande exactement DORA sur la sortie d’un prestataire TIC ?
Le règlement (UE) 2022/2554 impose aux entités financières de disposer de stratégies de sortie pour leurs prestataires de services TIC, avec des exigences renforcées lorsque le service soutient une fonction critique ou importante. La logique est simple : la dépendance est autorisée, l’enfermement ne l’est pas.
Concrètement, le régulateur attend que vous puissiez répondre à quatre questions sans hésiter :
- Quelles fonctions critiques dépendent de ce prestataire, et lesquelles s’arrêtent avec lui ?
- Combien de temps vous faut-il pour transférer le service, en interne ou vers un tiers ?
- Vos données sont-elles récupérables, dans quel format, sous quel délai, à quel coût ?
- Qui décide de déclencher la sortie, et sur quels signaux ?
Une réponse en une phrase dans un contrat ne satisfait aucun de ces quatre points.
Pourquoi ce sujet remonte maintenant, en août 2026 ?
Parce que le registre d’information a été remis. La déclaration des registres d’information était attendue au 31 mars 2026 au format CSV, comme le précise la page DORA de l’ACPR (mise à jour du 20 mars 2026). Ce registre cartographie vos accords contractuels TIC, vos fonctions critiques et vos dépendances : c’est l’une des pièces maîtresses de la conformité DORA.
Une fois ce registre entre les mains du superviseur, l’étape suivante est mécanique : il lit les concentrations. Si trois de vos fonctions critiques reposent sur le même prestataire, la question de la sortie devient une question de supervision, pas une clause de style. C’est exactement le mouvement que nous décrivions à propos de la liste des prestataires TIC critiques sous supervision européenne.
Comment savoir si votre stratégie de sortie tient vraiment ?
Un test simple, à faire cette semaine : demandez à votre prestataire informatique de vous fournir, sans préavis, l’inventaire complet de votre parc, la liste de vos comptes à privilèges, vos configurations de sauvegarde et l’export de vos tickets sur douze mois. Chronométrez.
Si la réponse arrive en quelques jours dans un format exploitable, votre sortie est probablement réalisable. Si elle demande trois semaines, une réunion de cadrage et un devis, vous n’avez pas de stratégie de sortie : vous avez une dépendance.
Chez ITAIA, ces éléments sont produits en continu, pas à la demande. Nos clients disposent d’un inventaire à jour, d’un historique de tickets exportable et de SLA mesurés et publics, parce que ce sont les mêmes preuves qui alimentent leur dossier de conformité. La réversibilité fait d’ailleurs partie des cinq points à vérifier avant de signer un contrat d’infogérance, bien avant de penser à en sortir.
Que doit contenir un plan de sortie utilisable ?
Quatre blocs, et rien de plus.
Le périmètre. Quels services, quelles fonctions critiques, quelles données. Repris du registre d’information, pas réinventé pour l’occasion.
Les déclencheurs. Défaillance de service répétée, changement de contrôle du prestataire, incident de sécurité majeur, perte d’une certification, dégradation financière. Chacun assorti d’un seuil.
Le mode opératoire. Qui récupère quoi, dans quel ordre, avec quels accès de secours. Les comptes d’administration doivent rester la propriété de la société de gestion, jamais celle du prestataire.
Le délai cible. Un chiffre, pas une intention. Et un test au moins partiel, tracé dans un procès-verbal de comité.
Et si votre prestataire refuse de jouer le jeu ?
C’est en soi une information. Un prestataire qui traite la réversibilité comme une menace commerciale vous dit qu’il compte sur l’enfermement plutôt que sur la qualité de son service. Un prestataire qui la traite comme une exigence normale vous facilite votre supervision.
Nous avons choisi le second camp, et c’est aussi pour cela que nous ne réalisons ni audit ni test d’intrusion : celui qui exploite votre socle technique ne peut pas être celui qui certifie qu’il est bon. La même logique vaut pour la sortie. Votre prestataire doit rendre son remplacement possible, pas confortable pour lui. Ce que nous fournissons comme tiers TIC est public sur notre page transparence.
Par où commencer
Prenez votre registre d’information, isolez les trois lignes marquées « fonction critique ou importante », et écrivez pour chacune les quatre blocs ci-dessus. Vous saurez en une matinée où sont vos trous.
Si vous voulez un regard extérieur sur ce que votre socle technique permet réellement, réservez un rendez-vous de 30 minutes : un ingénieur regarde votre parc et vos obligations, sans engagement.
Sources
- Règlement (UE) 2022/2554 du 14 décembre 2022 (DORA), notamment l’article 28 sur la gestion du risque lié aux prestataires TIC
- ACPR, Digital Operational Resilience Act (DORA), tableau des remises attendues, mise à jour du 20 mars 2026
- ACPR, Instruction n° 2025-I-12 relative à la remise des registres d’informations sur les accords contractuels TIC
