Aller au contenu principal
Quel Logiciel Contrats

DORA : qui doit tenir un registre des contrats informatiques ?

Vous tenez les contrats d’une entreprise financière ou vous vendez un service informatique à l’une d’elles, et quelqu’un vient de prononcer le mot DORA.

Les entités financières de l’article 2 du règlement DORA : banques, établissements de paiement, entreprises d’investissement, assurance, sociétés de gestion, prestataires sur crypto-actifs et d’autres. Il s’applique directement depuis le 17 janvier 2025. L’article 28, paragraphe 3, leur impose un registre d’informations sur tous leurs accords de services TIC (technologies de l’information et de la communication).

Si vous êtes l’une d’elles, un CLM (logiciel de gestion du cycle de vie des contrats) alimente ce registre sans y répondre à lui seul. Si vous êtes un prestataire informatique d’une telle entité, attendez-vous à des demandes contractuelles. Si vous n’êtes ni l’un ni l’autre, DORA ne vous vise pas directement.

Notre avis

Entité financière : oui, ce registre vous concerne, et nous ne comptons pas sur un CLM pour le produire tant qu’une exportation d’essai au format exigé ne l’a pas montré. Prestataire : préparez les clauses qu’on vous demandera. Autre secteur : passez votre chemin.

Pourquoi

  • Le registre porte sur les seuls services TIC, sous un format imposé. Il ne ressemble ni à un inventaire de tous vos contrats, ni à une exportation d’outil.
  • Une partie des champs demandés n’est pas écrite au contrat, à notre lecture : identifiants d’entités, substituabilité, existence d’un plan de sortie. Il faudra les produire ailleurs.
  • Pour un prestataire PME, l’effet passe d’abord par l’article 30 : ce sont des clauses que votre client doit obtenir de vous.

Ce qui change notre avis

Intermédiaire d’assurance micro ou PME, ou autre cas exclu par l’article 2, paragraphe 3 : relisez l’exclusion, vous sortez du règlement. Prestataire informatique (TIC au sens du règlement) désigné comme critique : le chapitre dédié s’applique, nous ne l’avons pas détaillé.

Trois situations, trois réponses

Êtes-vous concerné ?
Vous êtesDORA vous ditCe que vous faites
Entité financière de l’article 2, paragraphes 1 et 2Registre tenu et mis à jour au niveau de l’entité et aux niveaux sous-consolidé et consolidé ; distinction des services qui soutiennent une fonction critique ; communication au moins une fois par an ; remise sur demande de l’autoritéPartez des modèles du règlement d’exécution, puis voyez ce que votre outil peut alimenter
Prestataire tiers de services TICVous figurez à l’article 2, paragraphe 1, point u. L’article 30 fixe ce que le contrat avec une entité financière doit contenirPréparez une annexe type, un lieu de traitement à jour et vos délais de préavis
PME d’un autre secteurPas visée à ce titreRien à ce titre. Lisez ce que vous signez si un client financier vous envoie une annexe

Ce qu’un CLM peut remplir dans les modèles officiels

Le règlement d’exécution fixe les modèles et leurs colonnes. Nous en avons relevé quelques-unes, sans recenser l’ensemble. Notre lecture : un outil de contrats alimente ce qui est écrit au contrat, le reste vit ailleurs.

Exemples de colonnes des modèles
ColonneOù se trouve l’information
Numéro de référence de l’accordVotre registre de contrats
Date de début, date de fin, raison de la finVotre registre, si vous la tenez à jour
Délai de préavis pour l’entité, délai de préavis pour le prestataireLe contrat, à condition de suivre les deux sens
Pays du droit applicable, pays de fourniture du serviceLe contrat
Stockage de données, pays de stockage, pays de traitementLe contrat ou l’annexe, à vérifier auprès du prestataire
LEI (identifiant international de l’entité juridique) de l’entité et de sa mère directeHors du contrat : un référentiel d’entreprise
Substituabilité du prestataire, existence d’un plan de sortie (services qui soutiennent une fonction critique ou importante)Hors du contrat : votre évaluation des risques

Un rythme et des plans de sortie

Deux choses sortent du simple classement. La communication d’informations à l’autorité a lieu au moins une fois par an : nouveaux accords, catégories de prestataires, types d’accords, services et fonctions (article 28, paragraphe 3). Pour les fonctions critiques ou importantes, les plans de sortie sont documentés, testés et réexaminés périodiquement, sans fréquence chiffrée.

Nous n’avons pas lu le calendrier français de remise : ne fixez aucune date sur la foi de cette page, et demandez-la à votre autorité compétente.

DORA n’attend pas la loi française

Next et Leto écrivent que le projet de loi sur la résilience transpose aussi DORA. Cela ne retarde pas le règlement : il est obligatoire et directement applicable depuis le 17 janvier 2025, sans attendre ce vote. Il s’accompagne d’une directive (UE) 2022/2556, citée à son considérant 102 : nous en déduisons que la transposition peut viser ce texte, sans avoir lu le projet français. NIS2 suit une tout autre logique : c’est une directive, et notre page sur le sujet en donne l’état en France.

Limites de cette page

Nous avons lu la version initiale du règlement, sans ses éventuelles modifications, et une partie seulement des colonnes des modèles. Aucun CLM n’est établi conforme à ces modèles par ce que nous avons lu : demandez une exportation d’essai au format exigé avant d’y croire. Cette page ne décide pas si votre fonction est critique, ni si votre entité entre dans une exclusion : cette décision relève de vos équipes de conformité.

Et maintenant ?

Lisez l’article 2 et placez-vous sur une ligne du tableau. Entité financière : demandez à votre conformité qui détient le registre. Prestataire : préparez vos clauses de l’article 30. Exclusion confirmée par votre conformité, ou hors secteur : ne faites rien à ce titre.

Preuves et sources

Règlement (UE) 2022/2554 (version initiale) et règlement d’exécution (UE) 2024/2956 lus le 5 novembre 2026. Calendrier national de remise et sanctions non lus.

Voir les 8 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Fait lu. DORA s’applique à partir du 17 janvier 2025 aux entités financières de l’article 2 et aux prestataires tiers de services TIC ; le règlement est obligatoire et directement applicable.

    Portée : Articles 2 et 64.

    Réserve : Version initiale lue.

    Relevé le 5 novembre 2026.

  • Fait lu. L’article 2, paragraphe 3, exclut notamment les intermédiaires d’assurance, de réassurance et à titre accessoire qui sont des microentreprises ou des petites ou moyennes entreprises.

    Portée : Article 2, paragraphe 3, point e.

    Réserve : Autres exclusions à lire dans l’article.

    Relevé le 5 novembre 2026.

  • Fait lu. Les entités financières tiennent et mettent à jour, au niveau de l’entité et aux niveaux sous-consolidé et consolidé, un registre d’informations sur tous les accords de services TIC, distinguent ceux qui soutiennent des fonctions critiques, communiquent au moins une fois par an des informations à l’autorité et lui remettent le registre sur demande.

    Portée : Article 28, paragraphe 3.

    Réserve : Porte sur les services TIC seulement. Calendrier national non lu.

    Relevé le 5 novembre 2026.

  • Fait lu. Le règlement d’exécution (UE) 2024/2956 fixe les modèles, dont des colonnes sur le numéro de référence, les dates, les préavis des deux parties, le droit applicable, les pays de service et de données, le LEI, la substituabilité et l’existence d’un plan de sortie.

    Portée : Modèles B_01 à B_07 ; relevé partiel.

    Réserve : Liste non exhaustive.

    Relevé le 5 novembre 2026.

  • Fait lu. Les accords de services TIC comportent au moins les éléments de l’article 30, dont services, lieux, protection et restitution des données, niveaux de service, droits de résiliation et préavis ; pour les fonctions critiques s’ajoutent notamment plans d’urgence et droits d’audit.

    Portée : Article 30, paragraphes 2 et 3.

    Relevé le 5 novembre 2026.

  • Fait lu. Pour les fonctions critiques ou importantes, les plans de sortie sont complets, documentés, soumis à des tests et réexaminés périodiquement.

    Portée : Article 28, paragraphe 8.

    Réserve : Fréquence non chiffrée.

    Relevé le 5 novembre 2026.

  • Déclaration de l’éditeur. Next et Leto écrivent que le projet de loi sur la résilience transpose aussi DORA ; le règlement s’applique directement depuis le 17 janvier 2025.

    Portée : Presse et éditeur de logiciel de conformité, octobre 2026.

    Réserve : Reproductions de tiers. Détail du projet français non lu.

    Relevé le 5 novembre 2026.

  • Notre déduction. Pour une entité financière, un CLM peut alimenter le recensement et les dates des accords TIC, sans remplacer le registre au format requis ni l’évaluation du caractère critique ; pour un fournisseur PME, l’effet probable passe par des clauses demandées par le client.

    Portée : Raisonnement.

    Réserve : Aucun produit testé ni établi conforme.

    Relevé le 5 novembre 2026.

Notre méthode