Résilience opérationnelle, externalisation et continuité d'activité

Ce que la réglementation vous impose

Selon votre statut, deux régimes s’appliquent

Le règlement (UE) 2022/2554 (DORA), directement applicable depuis le 17 janvier 2025, couvre le risque lié aux technologies de l’information et de la communication (TIC) et les prestataires de services TIC. Pour le reste de l’externalisation, le droit national s’applique : l’arrêté du 3 novembre 2014 pour les établissements de crédit, de paiement et les entreprises d’investissement, le code des assurances pour les organismes d’assurance. Le champ de DORA n’est pas uniforme : certaines entités de petite taille relèvent d’un cadre simplifié, qui n’est pas une dispense (art. 16), et les intermédiaires d’assurance de petite taille sont exclus (art. 2, § 3). Vérifiez votre statut avant tout chantier.

Les grandes obligations, dans l’ordre où un dispositif se construit

1. Gérer les risques. Organiser la gestion du risque informatique : l’identifier, l’évaluer au regard de l’appétit pour le risque, le réduire, surveiller l’efficacité des mesures et en informer les dirigeants effectifs et l’organe de surveillance (arrêté du 3 novembre 2014, art. 270-2). DORA impose en outre un cadre de gestion du risque TIC placé sous la responsabilité de l’organe de direction (art. 5). Une prestation est « essentielle ou importante » notamment lorsque sa défaillance nuirait sérieusement à la capacité de l’entreprise de respecter son agrément, à ses performances financières ou à la continuité de ses services (arrêté, art. 10, r).
2. Contrôler les prestataires. L’entreprise reste pleinement responsable des prestations externalisées : l’externalisation ne délègue pas la responsabilité des dirigeants effectifs et l’entreprise conserve l’expertise nécessaire pour contrôler la prestation et gérer les risques associés (arrêté, art. 237). Les entreprises d’assurance conservent l’entière responsabilité de leurs obligations et s’abstiennent d’externaliser une fonction importante ou critique lorsque cela compromettrait gravement leur gouvernance ou la continuité du service aux assurés (code des assurances, art. L. 354-3). DORA encadre le contrat avec les prestataires de services TIC (art. 28 à 30) et prévoit des tests de résilience, dont des tests d’intrusion fondés sur la menace pour les entités concernées (art. 24 à 27).
3. Assurer la continuité. Établir un dispositif de gestion de la continuité d’activité validé par l’organe de surveillance et mis en œuvre par les dirigeants effectifs : analyse des impacts, plan d’urgence et de poursuite de l’activité, plan de reprise, et test périodique, services informatiques compris (arrêté, art. 215).
4. Déclarer et informer. Informer l’ACPR des contrats d’externalisation portant sur des prestations essentielles ou importantes, par l’envoi annuel d’une extraction du registre (arrêté, art. 232) ; pour les assureurs, l’informer préalablement et en temps utile de l’intention d’externaliser une fonction importante ou critique (code des assurances, art. L. 354-3) ; notifier les incidents liés aux TIC selon DORA (art. 19).
5. Former. Mettre en œuvre un programme de sensibilisation et de formations régulières, au moins annuel, à la sécurité du système d’information, au bénéfice de tous les personnels, des prestataires externes et en particulier des dirigeants effectifs (arrêté, art. 270-3). DORA prévoit également des actions de formation, notamment pour l’organe de direction.
6. Conserver et documenter. Tenir le registre des activités externalisées auquel renvoie l’art. 232 de l’arrêté et, pour les prestataires TIC, le registre d’informations prévu par DORA (art. 28).

Recommandations et pratiques, à distinguer des obligations

Les orientations de l’Autorité bancaire européenne sur l’externalisation (EBA/GL/2019/02) sont des recommandations d’autorité, non des textes de loi ; l’ACPR en attend l’application. Les seuils de matérialité, les plans de sortie et le suivi du risque de concentration relèvent en grande partie de ces recommandations et des pratiques de place.