Questionnaire DORA fournisseur : questions et preuves

Pourquoi votre client vous envoie ce questionnaire

DORA ne s'adresse pas d'abord aux éditeurs de logiciels. Il s'adresse aux banques, assureurs, sociétés de gestion, établissements de paiement et autres entités financières listées à son article 2. Mais l'article 28 leur impose de gérer le risque lié à leurs prestataires de services TIC, et précise qu'elles restent pleinement responsables du respect de leurs obligations, même lorsqu'elles externalisent. Cette responsabilité redescend vers vous par le contrat et par le questionnaire.

L'entité financière doit notamment :

évaluer chaque prestataire avant de signer (article 28, paragraphe 4) : risques, concentration, conflits d'intérêts, niveau de sécurité de l'information ;
tenir un registre d'informations sur tous ses contrats TIC, en distinguant ceux qui soutiennent des fonctions critiques ou importantes, et le transmettre à son autorité (article 28, paragraphe 3) ;
pouvoir résilier dans certains cas et disposer de stratégies de sortie pour les services critiques (article 28, paragraphes 7 et 8) ;
faire figurer dans chaque contrat les clauses de l'article 30.

En France, l'ACPR collecte ces registres pour les banques et les assureurs, l'AMF pour les acteurs qu'elle supervise. Dans une FAQ publiée en mars 2026, l'ACPR indique qu'une initiative sera menée au cours de 2026 sur la conformité des contrats, sur un échantillon d'entités financières. Les établissements ont donc intérêt à disposer de réponses complètes et vérifiables.

Fonction critique ou importante : ce qui change pour vous

Toutes les questions ne pèsent pas le même poids. Le règlement définit une fonction critique ou importante, à son article 3, comme une fonction dont la perturbation nuirait sensiblement à la performance financière de l'entité, à la solidité ou à la continuité de ses services, ou à sa conformité réglementaire. Si votre service soutient une telle fonction, par exemple un outil de gestion des crédits, un moteur de paiement ou une plateforme de relation client utilisée par les conseillers, votre client doit appliquer le paragraphe 3 de l'article 30 en plus du paragraphe 2.

La qualification revient à votre client : demandez-la dès le départ.

Ce que l'article 30 impose dans le contrat

Pour tous les contrats de services TIC (article 30, paragraphe 2)

(a) une description claire et complète des services, avec les conditions de sous-traitance éventuelle ;
(b) les lieux, régions ou pays, où les services sont fournis et où les données sont traitées et stockées, avec un préavis en cas de changement ;
(c) des dispositions sur la disponibilité, l'authenticité, l'intégrité et la confidentialité des données ;
(d) la garantie de l'accès, de la récupération et de la restitution des données dans un format facilement accessible, y compris en cas d'insolvabilité, d'arrêt d'activité ou de fin de contrat ;
(e) la description des niveaux de service ;
(f) l'assistance en cas d'incident TIC, sans frais supplémentaires ou à un coût déterminé à l'avance ;
(g) la coopération pleine avec les autorités compétentes ;
(h) les droits de résiliation et les délais de préavis minimaux ;
(i) les conditions de votre participation aux programmes de sensibilisation et de formation de votre client.

En plus, pour une fonction critique ou importante (article 30, paragraphe 3)

(a) des niveaux de service avec des objectifs de performance quantitatifs et qualitatifs précis ;
(b) des délais de préavis et l'obligation de signaler tout événement qui pourrait affecter votre capacité à fournir le service ;
(c) l'obligation de mettre en œuvre et de tester des plans d'urgence, et de disposer de mesures de sécurité adaptées ;
(d) la participation aux tests de pénétration fondés sur la menace de votre client, quand il y est soumis ;
(e) des droits illimités d'accès, d'inspection et d'audit pour votre client, un tiers qu'il désigne et son autorité ;
(f) des stratégies de sortie, avec une période de transition adéquate et obligatoire.

Le détail de la politique contractuelle attendue figure dans le règlement délégué (UE) 2024/1773, et les conditions de sous-traitance des fonctions critiques dans le règlement délégué (UE) 2025/532.

Le registre d'informations : les données qu'on vous demandera

Le modèle du registre est fixé par le règlement d'exécution (UE) 2024/2956. Votre client doit le remplir pour chaque contrat, et une partie des colonnes dépend de vous. Attendez-vous à fournir :

votre identifiant LEI, ou un autre code d'identification admis par le règlement d'exécution ; l'ACPR rappelle cette exigence dans sa FAQ de mars 2026 ;
la liste des services fournis et leur type ;
les pays de fourniture du service et de stockage des données ;
votre chaîne de sous-traitance pour les services qui soutiennent des fonctions critiques ou importantes, y compris vos fournisseurs cloud : l'ACPR précise que le registre doit couvrir l'ensemble de la chaîne ;
des éléments sur la possibilité de vous remplacer et sur la réversibilité.

Ces registres servent aussi à désigner les prestataires TIC critiques, soumis à une surveillance européenne directe ; une première liste a été publiée le 18 novembre 2025.

Les questions types, et la preuve qui répond à chacune

Les formulations varient d'un établissement à l'autre, mais la plupart des questionnaires suivent la structure des articles 28 et 30. Le tableau ci-dessous reprend les questions que l'on retrouve le plus souvent, la pièce qui permet d'y répondre sans réserve, et la façon de la produire.

Questionnaire DORA fournisseur : question, preuve attendue, production
Question type	Preuve attendue	Comment la produire
Où sont hébergées et traitées nos données, y compris chez vos sous-traitants ?	Liste des pays et régions, par service et par sous-traitant	Inventaire des comptes cloud, régions et services managés réellement utilisés, croisé avec vos contrats
Quels sous-traitants interviennent sur le service ?	Registre des sous-traitants daté : nom, rôle, pays, données concernées	Relevé des fournisseurs à partir de la facturation, de l'infrastructure et des dépendances SaaS
Quand avez-vous testé votre plan de continuité, et avec quel résultat ?	Rapport de test daté, durée de reprise et perte de données mesurées	Restauration complète sur un environnement isolé, chronométrée de bout en bout
Quels sont vos RTO et RPO ?	Valeurs mesurées lors du dernier test, et non seulement contractuelles	Mêmes mesures que le test de restauration, comparées aux engagements du contrat
Pouvez-vous nous restituer toutes nos données en fin de contrat ?	Procédure d'export, formats, délai, et compte rendu d'un export réel	Exercice de sortie sur un jeu de données représentatif, avec contrôle de complétude
Disposez-vous d'un plan de sortie et d'une période de transition ?	Plan de réversibilité écrit, durée et contenu de l'assistance	Rédaction à partir de l'exercice de sortie, durées issues des mesures
Comment et sous quel délai nous informez-vous d'un incident ?	Procédure d'incident avec délais, contacts et coût de l'assistance fixé à l'avance	Procédure alignée sur les délais de notification de votre client, testée lors d'un exercice
Comment sécurisez-vous les accès d'administration ?	Liste des comptes à privilèges, authentification forte, journalisation	Export de la configuration de l'annuaire et du fournisseur cloud, extrait de journaux
Accepteriez-vous un audit ou une inspection sur place ?	Clause d'audit et modalités pratiques : préavis, périmètre, interlocuteur	Procédure d'audit écrite, et rapports existants à fournir en amont

La question porte de plus en plus sur la date et le résultat, pas sur l'existence d'un document. Les deux pièces les plus souvent manquantes sont le test de restauration complet et l'export réel des données d'un client, détaillé dans notre guide sur le plan de sortie et la réversibilité DORA.

Avant de renvoyer le questionnaire : la vérification en neuf points

Chaque réponse « oui » renvoie à une pièce jointe ou à une annexe identifiée.
Les pièces sont datées et la date est récente : moins de douze mois pour les tests.
Les RTO et RPO cités sont ceux qui ont été mesurés.
La liste des pays d'hébergement inclut ceux de vos sous-traitants, sauvegardes comprises.
Le registre des sous-traitants correspond à ce que montre votre facturation cloud.
La procédure d'incident donne un délai, un canal et un contact nommé.
Le coût de l'assistance en cas d'incident est nul ou fixé à l'avance.
Le format d'export des données est décrit et un export a déjà été réalisé.
Les réponses sont cohérentes avec votre contrat type et vos conditions générales.

Où en êtes-vous sur ces questions ? Le diagnostic gratuit de Reprisa reprend en douze questions les clauses de l'article 30 et indique les preuves absentes ou partielles. Rien n'est envoyé, rien n'est enregistré.

Faire le diagnostic DORA en 3 minutes

Reprisa réalise les tests et rédige les preuves ; la qualification juridique des clauses de vos contrats relève de votre juriste ou de votre avocat.

Questions fréquentes

Un éditeur SaaS est-il directement soumis à DORA ?

En général, non. DORA s'applique aux entités financières listées à son article 2. Un prestataire TIC n'est soumis à une surveillance directe que s'il est désigné comme prestataire critique par les autorités européennes, ce qui concerne surtout les grands fournisseurs cloud. Pour les autres, les exigences arrivent par le contrat et le questionnaire du client, qui doit lui-même les respecter.

Qu'est-ce qu'une fonction critique ou importante au sens de DORA ?

C'est une fonction dont la perturbation nuirait sensiblement à la performance financière de l'entité, à la solidité ou à la continuité de ses services, ou à sa conformité réglementaire (article 3 du règlement). C'est le client qui qualifie la fonction. Si votre service en soutient une, les clauses renforcées de l'article 30, paragraphe 3, s'appliquent : tests des plans d'urgence, droits d'audit illimités, stratégie de sortie.

Faut-il un identifiant LEI pour répondre au questionnaire DORA ?

Le registre d'informations identifie chaque prestataire par un code. Le LEI est le code principal prévu par le règlement d'exécution (UE) 2024/2956, qui admet aussi d'autres codes dans certains cas. L'ACPR le rappelle dans sa FAQ de mars 2026. Si vous n'avez pas de LEI, demandez à votre client quel code il accepte.

Une certification ISO 27001 ou un rapport SOC 2 suffit-il ?

Ces documents appuient les réponses sur la sécurité de l'information, mais DORA ne les reconnaît pas comme équivalents aux clauses de l'article 30. Ils ne couvrent généralement pas la mesure de la durée de restauration, l'export complet des données d'un client ni le plan de sortie, qui restent à prouver séparément.

Que se passe-t-il si je refuse les clauses DORA de mon client ?

L'entité financière ne peut pas s'en dispenser. Selon la FAQ de l'ACPR, elle doit engager les démarches nécessaires, en garder la trace et en informer son superviseur. En pratique, un refus fragilise le renouvellement du contrat.

À quelle fréquence faut-il mettre à jour ses réponses ?

Le règlement ne fixe pas de fréquence unique pour le fournisseur. Mais il demande aux entités de revoir périodiquement leurs plans de sortie et de déclarer leur registre au moins une fois par an. Beaucoup d'établissements redemandent donc des preuves à jour au renouvellement du contrat, souvent chaque année.

Sources

Règlement (UE) 2022/2554 (DORA), articles 2, 3, 28, 29 et 30 — EUR-Lex, Journal officiel L 333 du 27.12.2022.
Règlement délégué (UE) 2024/1773 — politique contractuelle relative aux services TIC — EUR-Lex.
Règlement d'exécution (UE) 2024/2956 — modèles du registre d'informations — EUR-Lex.
Règlement délégué (UE) 2025/532 — sous-traitance des services TIC soutenant des fonctions critiques ou importantes — EUR-Lex.
ACPR — FAQ du webinaire DORA du 23 janvier 2026 — publiée le 20 mars 2026, sans valeur juridique selon ses propres termes.
Autorités européennes de surveillance — désignation des prestataires tiers critiques de services TIC — communiqué du 18 novembre 2025.

Textes consultés le 3 novembre 2026. En cas de divergence, seule la version publiée au Journal officiel de l'Union européenne fait foi.

Questionnaire DORA fournisseur : ce que vos clients financiers exigent, et les preuves qui y répondent