Guide · Conformité DORA · Paris
Un client bancaire envoie un projet d’avenant qui impose de nouvelles clauses sur la sécurité de vos services, avec un délai de réponse serré. À Paris, ce type de demande touche aussi bien les établissements financiers que les prestataires informatiques qui travaillent pour eux. Cette page décrit le cadre, les étapes et les points à clarifier avant de signer.
Sommaire
La conformité DORA, c’est quoi ?
DORA est le règlement européen sur la résilience opérationnelle numérique du secteur financier. Il regroupe dans un même cadre la gestion du risque lié aux technologies de l’information, la notification des incidents, les tests de résilience et l’encadrement des prestataires informatiques. Le texte vise les entités financières, mais il atteint aussi leurs fournisseurs TIC, qui reçoivent ses exigences par la voie contractuelle.
Une responsabilité portée par la direction
Le règlement place la responsabilité du dispositif auprès de l’organe de direction. La décision doit être approuvée, suivie et documentée au plus haut niveau de l’entreprise.
Contexte local · Paris
Contexte local : la conformité DORA à Paris
Paris (75) est un département à lui seul, avec un quartier central des affaires et, dans le 13e arrondissement, le secteur de Paris Rive Gauche. Le département jouxte les Hauts-de-Seine, la Seine-Saint-Denis et le Val-de-Marne, et une entreprise peut y avoir ses équipes réparties entre plusieurs adresses.
Pour le registre, la première question porte sur le périmètre : quelles entités juridiques, quels établissements et quels sites entrent dans la démarche ? Si l’entreprise a un second site dans les Hauts-de-Seine ou en Seine-Saint-Denis, deux départements voisins, le registre doit couvrir les deux adresses. Si des équipements sont hébergés chez un tiers, quel que soit leur emplacement, le fournisseur figure dans la liste et son lieu d’hébergement est noté.
Dans un immeuble de bureaux parisien, les salles techniques et les locaux d’un hébergeur sont souvent gérés par des intervenants différents. Rassemblez dès le départ les plans, les contrats et la liste des personnes qui accèdent aux équipements, y compris celles qui n’apparaissent pas dans la comptabilité.
- Repères
- Quartier central des affaires, Paris Rive Gauche (13e)
- Zones voisines
- Hauts-de-Seine, Seine-Saint-Denis, Val-de-Marne
Les situations qui déclenchent une demande
- Une société de gestion sans méthode : le texte circule dans l’équipe, mais aucun ordre de travail n’a encore été fixé.
- Un plan de continuité resté théorique : il décrit des bascules que personne n’a jamais jouées, et leur efficacité reste inconnue.
- Une dépendance cloud sans issue : un seul fournisseur porte les données de l’activité, sans scénario prévu si la relation prend fin.
- Une direction appelée à valider : l’organe de direction doit approuver un cadre dont il n’a pas encore vu les exigences détaillées.
Ce que comprend une prestation
Cadrage et analyse d’écart
Le travail commence par situer l’entreprise : entité financière visée, prestataire TIC d’une entité financière, ou hors du champ. Cette réponse se confirme avec le conseil juridique ou l’autorité de supervision. Les pratiques actuelles sont ensuite comparées au règlement, domaine par domaine, pour dresser un plan d’écart.
Gestion du risque, incidents et tests
Les actifs et leurs dépendances sont cartographiés, les politiques de continuité rédigées, puis la classification des incidents TIC mise en place avec son circuit de remontée. Un programme de tests de résilience, proportionné à la taille et au profil de risque, est planifié.
Registre et clauses des prestataires
Les contrats avec les prestataires TIC sont recensés dans un registre, avec les clauses attendues et une stratégie de sortie pour chaque fournisseur critique.
Ce qui fait varier le prix
Il n’existe pas de tarif standard : le coût dépend de l’ampleur de la mission et du point de départ. Les principaux déterminants sont :
- la place de l’entreprise, entité financière ou prestataire TIC, qui change le travail d’analyse ;
- sa taille, la complexité de ses services et son profil de risque ;
- la maturité déjà acquise en gestion des risques et en continuité ;
- le nombre de fournisseurs TIC et de contrats à relire ;
- la documentation réclamée par l’autorité de supervision ou par les clients.
Pour comparer deux propositions, vérifiez qu’elles couvrent le même périmètre : une offre limitée à l’analyse d’écart ne se compare pas à une offre incluant les tests et le registre.
Bien choisir son prestataire
Trois questions évitent les mauvaises surprises. Qui réalise l’analyse, et quelle indépendance a-t-il vis-à-vis des solutions qu’il pourrait vendre ensuite ? Le livrable prend-il la forme d’un plan d’écart, d’un registre et d’un calendrier de travaux, plutôt que d’un document générique ? Comment la mission s’articule-t-elle avec le conseil juridique que l’entreprise consulte déjà ?
Les étapes de votre demande à Paris
- Préciser votre position : entité financière ou prestataire TIC, entités et sites concernés.
- Rassembler les contrats des prestataires, des sous-traitants et les clauses reçues.
- Recevoir une proposition qui détaille le périmètre, les livrables et le calendrier.
- Lancer le cadrage en associant le conseil juridique aux points d’interprétation.
Pour approfondir, la page conformité DORA présente l’ensemble des formules, et la page conformité DORA dans le Val-de-Marne couvre le département voisin. Les départements limitrophes ont aussi leur page : Hauts-de-Seine et Seine-Saint-Denis. Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste de la conformité au règlement DORA à Paris vous recontacte, gratuitement et sans engagement.