Aller au contenu principal
Quel Support Client

Données et gouvernance

DORA et l'outil de support

Pour qui : Responsable dans une entité financière qui achète ou conserve un outil de support.

Article 28 §1 a, §3, §4 a et §8 rapproché du Journal officiel, version anglaise, le 4 novembre 2026 ; articles 2, 3 et 30 lus sur le texte adopté par le Conseil (PE-CONS 41/22, en anglais) et une reproduction du texte final. Reformulation de notre main. Ceci n'est pas un avis juridique.

Notre avis

Si votre entité est dans le champ de DORA, partez du principe que votre helpdesk doit être examiné : l'article 28 §3 vise le registre de tous les accords sur des services TIC, et l'article 30 §2 fixe les clauses minimales de ces accords. Cela ne signifie pas qu'il soutient une fonction critique ou importante : cette qualification déclenche des exigences plus lourdes et appartient à votre conformité. L'entité reste pleinement responsable de ses obligations, selon l'article 28 §1. Si l'éditeur refuse ces clauses, vous n'avez donc pas de quoi conclure seul : portez le sujet à votre conformité avant de signer.

Dans l’ordre

  1. Vérifier si votre entité est dans le champ
  2. Qualifier le service et la fonction
  3. Contractualiser les clauses

Pourquoi

  • Le registre porte sur tout accord TIC, critique ou non
  • Les clauses de base s'appliquent à tout contrat TIC

Ce qui change le choix

Entité hors champ : entreprises visées à l'article 4 de la directive 2009/138/CE, intermédiaires d'assurance microentreprises ou PME, entre autres exclusions de l'article 2 §3 et §4.

Êtes-vous dans le champ ?

L'article 2 §1 liste notamment les établissements de crédit, de paiement et de monnaie électronique, les prestataires de services sur crypto-actifs, les entreprises d'assurance et de réassurance, les intermédiaires d'assurance et le financement participatif. L'article 2 §3 exclut notamment les entreprises d'assurance et de réassurance visées à l'article 4 de la directive 2009/138/CE, sans que nous précisions lesquelles, ainsi que les intermédiaires d'assurance et de réassurance qui sont des microentreprises ou des PME, et l'article 2 §4 permet aux États membres d'exclure certaines entités. Si votre statut n'y figure pas clairement, la question ne relève pas de nous, et elle est préalable au reste.

Deux niveaux à ne pas confondre

Règlement (UE) 2022/2554, reformulé par nos soins. Colonne de droite : notre hypothèse, à faire qualifier.
NiveauCe qu'il exigePour un helpdesk
Tout service TICRegistre (art. 28 §3) ; contrat avec description des services, lieux de service et de traitement et préavis de changement, protection des données, restitution dans un format facilement accessible, niveaux de service, assistance en cas d'incident, coopération avec les autorités, résiliation, formation (art. 30 §2)Point de départ, sauf si le service soutient une fonction critique ou importante. Demandez un addendum DORA ou des clauses équivalentes, et les lieux de traitement
Fonction critique ou importanteEn plus : niveaux de service chiffrés, notification, plans de continuité, participation aux tests, audit sans restriction, sortie avec transition (art. 30 §3) ; information de l'autorité sur l'accord prévu (art. 28 §3) ; stratégie de sortie (art. 28 §8). Cette qualification s'évalue avant de contracter (art. 28 §4 a)Si le service soutient une fonction dont la perturbation nuirait sensiblement à la performance financière, à la solidité ou à la continuité des services, ou dont la défaillance nuirait sensiblement au respect de l'agrément ou des autres obligations du droit des services financiers (art. 3 point 22) : à faire qualifier

Notre lecture pour un outil de support

Un helpdesk SaaS ressemble à un service TIC au sens de l'article 3 point 21 : un service numérique fourni par des systèmes TIC, de façon continue, à des utilisateurs. Nous n'avons pas lu les textes d'application : nous ne concluons donc pas à la place de votre conformité. Quant à la fonction critique, notre avis est qu'un support client ordinaire n'en relève pas automatiquement : tout dépend de ce qu'il soutient. Un service qui gère des réclamations réglementées ou des opérations de paiement peut mériter une discussion. Ne laissez pas un vendeur trancher dans un sens ou dans l'autre.

L'article 30 §4 demande de considérer les clauses types élaborées par des autorités publiques, sans en imposer. Nous n'avons pas lu les addenda DORA des éditeurs. Votre premier geste consiste à les demander. Un refus de négocier est lui-même une information.

Limites

Textes d'application et de supervision non lus, addenda des éditeurs non lus. Les exclusions nationales de l'article 2 §4 n'ont pas été recherchées, et l'article 4 de la directive 2009/138/CE n'a pas été lu. Qualifications non tranchées. Pas d'avis juridique.

Prochaine action

Confirmez avec votre conformité si votre entité et ce service sont visés, puis demandez à l'éditeur son addendum DORA.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode