Huit questions à poser à votre prestataire informatique avant que le régulateur ne les pose

Depuis janvier 2025, DORA est resté pour beaucoup un chantier de papier : des politiques rédigées, des fournisseurs cartographiés, des tableurs complétés. Cette période se termine, et la question posée aux dirigeants change de nature. Ce n'est plus « mon prestataire fait-il bien son travail ? », c'est : saurait-il produire, daté et vérifiable, ce qu'un contrôleur va demander ?

Voici les huit questions à lui poser, et à quoi ressemble une bonne réponse.

Pourquoi ces questions arrivent maintenant

Dans ses priorités d'action et de supervision pour 2026, l'AMF est explicite : sa phase d'accompagnement s'est traduite par trois contrôles SPOT portant sur quinze sociétés de gestion de portefeuille, complétés par des contrôles classiques menés dans une logique pédagogique, et ces travaux se poursuivront en 2026. L'Autorité annonce aussi qu'elle traitera le reporting des incidents majeurs, qu'elle analysera les conclusions des tests que les entités sont tenues de réaliser ainsi que les mesures correctives envisagées, et qu'elle désignera les établissements soumis aux tests d'intrusion fondés sur la menace, les premiers TLPT débutant dès 2026.

Elle a par ailleurs nommé ce qu'elle observe sur le terrain. Lors de l'atelier DORA du Forum Fintech ACPR-AMF d'octobre 2025, deux constats reviennent : l'absence de plusieurs clauses obligatoires dans les contrats signés avec les infogérants, et la difficulté des sociétés de gestion à négocier des clauses d'audit avec des éditeurs de rayonnement mondial.

La conséquence est simple : ce n'est plus votre prestataire qui doit vous convaincre, c'est vous qui devez convaincre votre régulateur. Et l'essentiel des éléments dont vous aurez besoin ne sont pas chez vous : ils sont chez lui. C'est la logique de l'année de supervision ouverte par l'ACPR, et elle vaut aussi pour l'AMF.

Les huit questions, et ce qui distingue une bonne réponse

Figurez-vous correctement dans mon registre d'information, et savez-vous m'en fournir les données ?

Le registre d'information recense l'ensemble de vos accords contractuels portant sur des services TIC. Ce n'est pas un exercice interne : les entités concernées le remettent chaque année à leur autorité de supervision, l'AMF pour les sociétés de gestion, l'ACPR pour les entités bancaires et assurantielles selon son instruction n° 2025-I-12. Ces registres alimentent ensuite, au niveau européen, la désignation des prestataires TIC critiques.

Concrètement, un registre se remplit avec des données que seul votre prestataire détient : identifiants d'entité, nature exacte des services, localisation des données et du traitement, chaîne de sous-traitance, niveaux de service contractuels.

Bonne réponse : il vous transmet ces éléments dans un format exploitable, sans que vous ayez à les reconstituer par courriel. Mauvais signe : « envoyez-nous votre tableau, on essaiera de le compléter ».

Mon contrat contient-il réellement les clauses de l'article 30 ?

L'article 30 de DORA distingue les clauses obligatoires dans tout contrat de services TIC et les clauses supplémentaires exigées lorsque le service soutient une fonction critique ou importante.

Relèvent de tout contrat : la description des services et des niveaux de service, la protection et la restitution des données, l'assistance en cas d'incident lié aux TIC, la coopération avec les autorités compétentes et de résolution, et les droits de résiliation assortis de préavis. S'y ajoutent, pour les fonctions critiques ou importantes : des niveaux de service quantifiés, les plans de continuité du prestataire, sa participation aux tests, des droits d'accès, d'inspection et d'audit, y compris sur site, au profit de l'entité financière, d'un tiers qu'elle mandate et de l'autorité compétente, ainsi que des stratégies de sortie. Nuance utile aux structures entrepreneuriales : lorsque l'entité financière est une microentreprise, ces droits peuvent être exercés par un tiers indépendant désigné par le prestataire.

C'est là que l'AMF constate des manques. Beaucoup de contrats d'infogérance signés avant 2025 n'ont jamais été rouverts : ils décrivent une prestation, pas une obligation de résilience.

Bonne réponse : un avenant DORA existe, il est signé, et votre prestataire sait vous dire quelle clause couvre quelle exigence. Mauvais signe : « notre contrat est conforme », sans pouvoir vous montrer où.

Savez-vous produire la preuve, ou seulement la promesse ?

C'est le point qui sépare les prestataires. « Nous avons une protection sur les postes », « vos sauvegardes tournent », « nous surveillons » : ce sont des affirmations, pas des preuves.

Un contrôleur ne se satisfait pas d'affirmations. Il demande un état : à cette date, sur ce périmètre, voici le taux de couverture des agents de sécurité, l'état des correctifs, la dernière restauration testée et son résultat, la posture Microsoft 365 et sa dérive depuis le trimestre précédent, les incidents détectés et leur traitement. C'est exactement ce que produit notre cadre SOCLE et VIGIE.

Bonne réponse : ces états sont produits de façon régulière et automatisée, avec un historique. Mauvais signe : il faut trois semaines et un projet pour sortir un état de parc, ce qui signifie qu'il n'existait pas.

Qui qualifie l'incident, et dans quel délai ?

DORA impose un cadre exigeant de gestion des incidents. La notification aux autorités porte sur les incidents majeurs, la déclaration des cybermenaces importantes restant volontaire. Les délais sont courts : le règlement délégué (UE) 2025/301 prévoit une notification initiale au plus tard quatre heures après la classification en incident majeur, et vingt-quatre heures après sa détection. La répartition des rôles entre autorités est détaillée dans notre article sur l'accord ANSSI-ACPR.

L'obligation de déclarer vous incombe. Mais la qualification technique, périmètre touché, données concernées, chronologie, mesures de confinement, viendra de votre prestataire. Vous en aurez besoin en heures, pas en jours.

Bonne réponse : un processus écrit, un interlocuteur nommé, un délai d'engagement pour la fourniture des éléments de qualification, et un exercice déjà réalisé. Mauvais signe : « on vous appellera ».

Ai-je une stratégie de sortie, et l'avez-vous testée ?

Pour les services soutenant une fonction critique ou importante, DORA exige une stratégie de sortie documentée, testée et réexaminée périodiquement, doublée de clauses contractuelles dédiées : période de transition, transfert sécurisé et intégral des données, suppression des données détenues par le prestataire, solutions alternatives identifiées à l'avance. Le contenu détaillé d'un plan activable, et le test qui permet de le vérifier en une semaine, sont décrits dans notre article dédié à la stratégie de sortie TIC.

Bonne réponse : votre prestataire chiffre et planifie son propre remplacement sans difficulté, parce que la sortie est chez lui une caractéristique du service. Mauvais signe : il devient évasif, ou vous découvrez que la documentation de votre système d'information n'existe que dans la tête de deux techniciens.

Suis-je concerné par les tests d'intrusion pilotés, et y survivrions-nous ?

Les tests fondés sur la menace doivent être réalisés au moins tous les trois ans par les entités désignées par l'autorité compétente, celle-ci pouvant ajuster la fréquence selon le profil de risque. Tout le monde n'est pas concerné. Mais l'AMF précise qu'elle analysera les conclusions des tests que les entités sont tenues de réaliser et les mesures correctives envisagées, ce qui vaut bien au-delà du TLPT.

Autrement dit, produire un rapport de test ne suffit plus : ce qui est examiné, c'est le délai entre la découverte d'une faiblesse et sa correction effective.

Bonne réponse : les écarts identifiés sont suivis dans un plan daté, avec un responsable et un état d'avancement. Mauvais signe : le rapport de l'an dernier et celui de cette année listent les mêmes constats.

Que voyez-vous dans mon environnement que je ne vois pas ?

Dans ses priorités 2026, l'AMF indique que ses travaux de contrôle lui ont permis d'identifier les principaux enjeux de maturité opérationnelle. Le mot est le sien, et il est bien choisi : ce qui est regardé n'est pas l'inventaire des outils, mais la capacité à savoir ce qui se passe et à agir.

Votre environnement change en permanence : arrivées et départs, nouvelles applications en ligne, accès de prestataires tiers, télétravail, systèmes hérités qu'on n'ose plus toucher. Votre prestataire doit vous dire ce qui a changé et quels risques nouveaux cela crée, sans attendre que vous posiez la question. C'est l'objet de notre dispositif de surveillance et de détection.

Bonne réponse : une revue périodique qui vous signale les dérives avant qu'elles ne deviennent des incidents. Mauvais signe : vous apprenez les changements en même temps que les problèmes.

Si un contrôleur demandait demain une preuve datée, combien de temps vous faudrait-il ?

C'est la question qui résume les sept autres, et elle ne porte pas sur les compétences de votre prestataire mais sur sa manière de travailler : soit la preuve se produit en continu, soit elle se fabrique après coup. Une preuve fabriquée après coup se voit.

Bonne réponse : le jour même, parce que les états existent déjà. Mauvais signe : une réunion de cadrage est nécessaire pour savoir qui détient l'information.

La liste à emporter en comité

1. Quels éléments de mon registre d'information fournissez-vous de vous-mêmes, et sous quel format ?
2. Quelle clause de notre contrat couvre les droits d'accès, d'inspection et d'audit sur site prévus par l'article 30 ?
3. À quelle date remonte le dernier test de restauration, et quel a été son résultat ?
4. Combien de temps entre la détection d'un incident et la mise à disposition des éléments dont j'ai besoin pour notifier dans les délais réglementaires ?
5. Quelle est notre stratégie de sortie, et combien coûterait votre remplacement ?
6. Quels écarts de sécurité avez-vous identifiés chez nous, et lesquels sont encore ouverts ?
7. Que s'est-il modifié dans notre environnement ce trimestre, et qu'est-ce que cela change ?
8. Si un contrôleur demandait demain une preuve datée sur l'un de ces points, combien de temps vous faudrait-il ?

Notre position

ITAIA ne réalise ni l'audit ni la conformité. Nous ne rédigerons pas votre politique de résilience et nous ne signerons pas votre registre : c'est le travail de votre RCCI, de vos conseils et de vos auditeurs. Cette frontière est explicite sur notre page transparence, et c'est elle qui donne leur valeur aux preuves que nous produisons.

Nous faisons le socle technique : supervision, sécurisation des postes et des serveurs, sauvegarde et restauration testée, durcissement de l'environnement Microsoft 365, surveillance continue. Et nous le faisons de façon à ce que la preuve existe avant qu'on la demande. Nos états de parc, nos rapports de sauvegarde, notre suivi de posture et nos revues trimestrielles sont produits en continu, datés et historisés. Quand votre régulateur ou votre auditeur pose une question, vous avez la réponse le jour même. C'est une différence de méthode, pas de discours, et elle se vérifie en une seule demande : montrez-moi l'état de mon parc à la date d'aujourd'hui.

Faire le point sur ce que votre prestataire saurait produire

Vous êtes société de gestion, entreprise d'investissement ou acteur assurantiel, et vous voulez savoir ce que votre prestataire actuel saurait fournir à un contrôleur ? Réservez 30 minutes avec un ingénieur : nous passons les huit questions ensemble et vous repartez avec la liste de ce qui manque, sans engagement. Nos réponses aux questions les plus fréquentes des sociétés de gestion sont par ailleurs réunies dans notre FAQ conformité.

Sources

• AMF, Priorités d'action et de supervision 2026, janvier 2026, action « Anticiper les nouveaux risques et veiller à la résilience opérationnelle des professionnels régulés »
• Forum Fintech ACPR-AMF, atelier « Résilience opérationnelle numérique », 9 octobre 2025
• ACPR, remise des registres d'information, page DORA et instruction n° 2025-I-12
• Règlement (UE) 2022/2554 (DORA), articles 19, 26, 28 et 30
• Règlement délégué (UE) 2025/301, délais de notification des incidents majeurs