DORA : quelles obligations contractuelles pour les éditeurs SaaS ?

La réglementation DORA (Digital Operational Resilience Act) impose aux banques et assurances des obligations strictes en matière de résilience numérique. Adoptée par l'Union européenne, elle vise à renforcer la gestion des risques liés aux technologies de l'information et impose une surveillance accrue des prestataires de services IT. Ces exigences impactent directement les éditeurs de logiciels qui fournissent des services à ces acteurs. Comprendre ces obligations est essentiel pour anticiper les demandes des clients et sécuriser les relations contractuelles.

Pourquoi la réglementation DORA concerne aussi les éditeurs de logiciels ?

DORA impose aux établissements financiers une maîtrise accrue des risques liés aux technologies qu'ils utilisent. En conséquence, les banques et assurances exigent désormais des garanties renforcées de la part de leurs prestataires IT et SaaS, notamment en matière de sécurité, de continuité d'activité et de gestion des incidents.

Un éditeur de logiciels qui souhaite continuer à travailler avec ces entreprises doit s'attendre à une révision des contrats pour intégrer des engagements plus contraignants. Mieux vaut anticiper ces demandes plutôt que de subir une renégociation sous pression.

Sécurité et gestion des risques : des exigences accrues

Les clients soumis à DORA vont exiger des garanties précises sur :

• Sécurité des infrastructures et des logiciels : conformité aux standards élevés de cybersécurité.
• Gestion des incidents : procédures strictes pour signaler et résoudre rapidement toute faille.
• Tests de résilience : audits et simulations régulières pour démontrer la capacité du prestataire à faire face à une attaque ou une panne.
• Continuité d'activité : plans de reprise en cas d'incident majeur, avec des engagements sur les délais de rétablissement.

Pour approfondir les enjeux de sécurité dans un contrat SaaS, consultez l'article dédié.

Quelles obligations contractuelles pour les éditeurs SaaS ?

Les contrats devront désormais inclure :

• Des clauses précises sur la cybersécurité, couvrant les mises à jour, la protection contre les cyberattaques et la gestion des vulnérabilités.
• Un engagement de transparence sur les incidents informatiques, avec une obligation de notification rapide en cas de problème affectant la disponibilité ou l'intégrité des services.
• Une responsabilité accrue en cas de défaillance : les clauses limitatives de responsabilité pourraient être revues à la hausse pour mieux protéger les clients.
• Un droit d'audit renforcé pour les clients financiers, leur permettant de vérifier la conformité de l'éditeur aux exigences DORA.

DORA vient compléter les exigences du RGPD en imposant aux acteurs financiers des mesures de résilience numérique plus strictes.

DORA et sous-traitance IT : un point de vigilance

Les clients bancaires soumis à DORA vont également exiger un encadrement strict des sous-traitants de l'éditeur SaaS. La réglementation impose une transparence complète sur la chaîne de sous-traitance IT, avec un droit d'objection renforcé et des exigences de notification en cas de changement de prestataire. L'éditeur doit anticiper ces demandes en documentant précisément ses sous-traitants critiques et en prévoyant des clauses adaptées.

Comment anticiper ces nouvelles obligations ?

• Analyser dès maintenant les contrats existants pour identifier les clauses à mettre à jour.
• Renforcer la conformité interne en mettant en place des mesures de cybersécurité alignées sur DORA.
• Former les équipes aux nouvelles exigences pour assurer une application cohérente des obligations.
• Prévoir des garanties contractuelles adaptées afin de sécuriser les engagements sans accepter des obligations disproportionnées.

Pour une vue d'ensemble des clauses à prévoir, consultez le guide de contractualisation SaaS. Pour les enjeux liés aux SLA et pénalités, consultez l'article dédié.

Conclusion

DORA ne s'applique pas directement aux éditeurs de logiciels, mais impose à leurs clients bancaires et assurances des exigences qu'ils vont répercuter sur leurs prestataires. Un éditeur qui anticipe ces obligations sera mieux armé pour négocier ses contrats. Si vous travaillez avec des clients financiers et souhaitez adapter vos contrats, prenez rendez-vous.

‍