DORA : ce que vos prestataires IT doivent pouvoir prouver

Pourquoi cette grille

Le règlement DORA s'applique depuis le 17 janvier 2025 aux entités financières luxembourgeoises — banques, assureurs, fonds, PSF — et, par ricochet, à leurs prestataires de services TIC. Le chapitre V fait de la gestion du risque lié aux tiers une obligation de l'entité : c'est vous qui répondez à la CSSF de ce que votre ESN fait ou ne fait pas.

Avant de signer avec un prestataire, ou de renouveler un contrat, voici les questions que vous devez pouvoir poser, et les réponses que vous devez obtenir par écrit.

Sur le contrat (article 30)

• La description complète des services, avec les lieux où les données sont traitées et stockées ?
• Les niveaux de service, mesurés, avec les indicateurs et les seuils ?
• Les droits d'accès, d'audit et d'inspection, pour vous et pour l'autorité de supervision ?
• Les conditions de résiliation, et le plan de sortie — durée de transition, restitution des données, assistance ?
• La notification des incidents, avec les délais ?

Sur la sécurité et la continuité

• Une politique de sécurité de l'information documentée, revue chaque année ?
• Une gestion des accès nominatifs, avec revue périodique, pour toute personne qui touche à vos systèmes ?
• Un plan de continuité testé, et la date du dernier test ?
• Les sous-traitants de rang 2 identifiés, avec les mêmes engagements ?

Sur l'équipe

• Qui travaille sur votre système, avec quelle ancienneté, et que se passe-t-il quand une personne part ?
• La connaissance est-elle documentée chez vous, ou seulement dans la tête des consultants ?

Ce qu'Elliott met sur la table

Nous fournissons ces réponses avant la signature, dans un dossier prestataire que le client conserve : politique de sécurité, procédure d'incident, plan de sortie, registre des sous-traitants, engagement de stabilité des équipes. Un prestataire qui ne peut pas les produire vous fait porter un risque que DORA vous impute directement.