Règlement (UE) 2022/2554
DORA, pour un éditeur de logiciels
Votre client bancaire est régulé ; vous rencontrez DORA dans son contrat, qui depuis le 17 janvier 2025 porte 9 clauses pour tout service TIC et 6 de plus pour une fonction critique ou importante.
Répondez ci-dessus pour lire la détermination de votre cas ; l'outil complet reprend vos réponses.
Continuer dans la détermination gratuiteEn un coup d'œil
Les dates
Lues dans le règlement et les huit actes qui remplissent son détail, le 12 septembre 2026. DORA n'a pas d'acte modificatif.
- 27 décembre 2022
Le règlement au Journal officiel.
- 13 mars 2024
Règlements délégués (UE) 2024/1773 et 2024/1774 : la politique du client sur les contrats pour les fonctions critiques ou importantes, y compris la diligence raisonnable sur ses éditeurs, et ses outils et processus de gestion du risque TIC.
- 13 mars 2024
Règlement délégué (UE) 2024/1772 : les six critères de classification et les seuils de matérialité qui rendent un incident lié aux TIC majeur, parmi lesquels deux heures d'indisponibilité d'un service soutenant une fonction critique ou importante.
- 23 octobre 2024
Règlement délégué (UE) 2025/301 et règlement d'exécution (UE) 2025/302 : le contenu, les délais et le modèle de la notification initiale, du rapport intermédiaire et du rapport final d'un incident majeur.
- 29 novembre 2024
Règlement d'exécution (UE) 2024/2956 : les modèles types du registre d'informations dans lequel chaque contrat d'éditeur est consigné et déclaré.
- 17 janvier 2025
Le règlement s'applique (article 64) : tout nouveau contrat de services TIC porte les clauses de l'article 30, et les registres sont déposés.
- 13 février 2025
Règlement délégué (UE) 2025/1190 : quelles entités financières mènent des tests de pénétration fondés sur la menace, les phases, les testeurs, et le test groupé qu'un prestataire peut mener pour plusieurs entités.
- 24 mars 2025
Règlement délégué (UE) 2025/532 : ce que le client évalue lorsqu'un éditeur sous-traite un service soutenant une fonction critique ou importante.
Trois outils, et la norme derrière la diligence raisonnable
- Vérification gratuiteDe quel côté de DORA vous êtes, et ce que ce côté porte(en anglais)Trois réponses, lues par la détermination que le portail exécute. Une entité financière porte le registre et les notifications d'incident ; un prestataire, les clauses des contrats de ses clients.
- Rédacteur de documentLes clauses de l'article 30, avec un statut pour chacuneLes 9 clauses de tout contrat, les 6 pour une fonction critique ou importante et les 12 clauses de sous-traitance du règlement délégué (UE) 2025/532, mot pour mot dans votre langue, chacune avec les enregistrements ISO 27001 qui y répondent ; un statut et une note par clause, rédigés comme le document à renvoyer.
- Rédacteur de documentLe registre d'informations, comme votre fiche de donnéesChaque client remplit les mêmes modèles à votre sujet. Les colonnes qui sont des faits sur le prestataire et sur le service, avec leurs codes et leurs intitulés tirés du règlement d'exécution, renseignées une fois et rédigées comme la fiche qui accompagne le contrat.
- Rédacteur de documentLe questionnaire fournisseur, écrit par le règlementPour le côté de l'entité financière : les 21 points du règlement délégué (UE) 2024/1773 qu'une politique doit lui faire demander à un prestataire, dans les termes du règlement, assemblés en questionnaire avec les éléments d'assurance et les méthodes d'audit que l'entité utilise, et la preuve qu'un système ISO 27001 produit sous chacun.
- GuideISO 27001, la norme que la diligence raisonnable demandeL'article 28, paragraphe 5, fait des normes appropriées de sécurité de l'information une condition de tout contrat ; les 93 mesures de l'annexe A et le registre des clauses sont la réponse qu'attend le questionnaire d'un client.
- GuideLes mesures de l'annexe A, une page chacuneChaque mesure avec son objectif et la preuve qu'elle produit, en six langues ; la liste des clauses y renvoie par référence.
- CorrespondanceNIS2 rapporté à ISO 27001L'éditeur d'une banque est souvent lui-même une entité NIS2 ; les sections du règlement d'exécution contre les mêmes mesures.
Chaque modèle gratuit sur une page
9 articles, à partir des sources primaires
- ArticleDORA pour un éditeur de logiciels : les clauses contractuelles de l'article 30 que votre client bancaire enverra, le registre d'informations où vous figurerez, et ce qu'ISO 27001 répond déjàDepuis le 17 janvier 2025, chaque banque, assureur, entreprise d'investissement et établissement de paiement de l'Union gère ses éditeurs de logiciels au titre du règlement (UE) 2022/2554, DORA.
- ArticleLes dix-neuf types de services TIC de DORA, S01 à S19 : lequel est un produit SaaS, ce que le registre d'informations enregistre à son sujet, et pourquoi un contrat peut devenir plusieurs lignesChaque service TIC qu'une banque, un assureur ou un établissement de paiement achète est enregistré dans son registre d'informations sous l'un de dix-neuf codes, S01 à S19, tirés de l'annexe III du règlement d'exécution (UE) 2024/2956.
- ArticleSous-traitance sous DORA, RTS 2025/532 : dix conditions que votre client vérifie, douze clauses que votre contrat porte, un préavis avant tout changement de sous-traitantEn vigueur depuis le 22 juillet 2025 pour tout service TIC soutenant une fonction critique ou importante : le règlement délégué (UE) 2025/532 donne au client dix conditions à évaluer avant d'autoriser la sous-traitance, douze clauses que le contrat porte ensuite, de votre responsabilité pour le service du sous-traitant aux droits de résiliation du client, et un préavis avant tout changement significatif de sous-traitant.
- ArticleLa politique DORA de votre banque envers ses prestataires, RTS 2024/1773 : les six questions de la diligence raisonnable, les cinq sources d'assurance, les huit conditions pour accepter votre certificat ISO 27001 à la place d'un audit, et les cinq rapports que vous devrezChaque entité financière de l'Union a une politique écrite sur ses contrats de services TIC soutenant des fonctions critiques ou importantes, et le règlement délégué (UE) 2024/1773 dit ce que cette politique doit contenir, en vigueur depuis le 15 juillet 2024.
- ArticleQuand votre panne devient l'incident majeur de votre client bancaire : les six critères de DORA, le seuil de deux heures d'indisponibilité du RTS 2024/1772, les délais de quatre heures, 24 heures, 72 heures et un mois du RTS 2025/301, et les faits dont votre client aura besoin de votre partUne entité financière doit déclarer un incident majeur lié aux TIC à son autorité dans les quatre heures suivant sa classification et au plus tard 24 heures après en avoir eu connaissance, rendre un rapport intermédiaire sous 72 heures et clore sous un mois.
- ArticleLes neuf endroits où le cadre de risque TIC de votre client bancaire entre dans votre produit, RTS 2024/1774 : dates de fin de support, rapports de vulnérabilités et suivi des bibliothèques, réglages qu'il ne doit pas pouvoir contourner, code source testé avant la production, comptes nominatifs pour votre personnel, et vos incidents comme ses alarmesLe règlement délégué (UE) 2024/1774, en vigueur depuis le 15 juillet 2024, précise le cadre de gestion du risque lié aux TIC que chaque entité financière applique sous DORA, et neuf de ses articles nomment le prestataire tiers de services TIC.
- ArticleLes tests de pénétration fondés sur la menace sous DORA, du côté du prestataire : quand l'équipe rouge de votre client bancaire est autorisée dans vos systèmes de production, le test de 12 semaines du RTS 2025/1190, le test groupé que vous pouvez mener à la place, et ce que le contrat dit déjàL'article 26 de DORA fait exécuter aux plus grandes entités financières un test de pénétration fondé sur la menace sur les systèmes de production au moins tous les 3 ans, couvrant les fonctions critiques ou importantes qu'elles ont externalisées, et l'article 30, paragraphe 3, point d), met la participation du prestataire dans le contrat.
- ArticleISO 27001 vs SOC 2 en Europe : ce que les acheteurs demandent vraimentPour vendre en Europe, visez l'ISO 27001 : les appels d'offres publics de l'UE l'ont citée 3 405 fois en un an, contre 104 pour SOC 2, et elle a mené chacun des douze mois derrière ce chiffre.
- ArticleCRA ou NIS2 : lequel s'applique à une société de logiciels, et peut-on être sous les deux ?Le règlement sur la cyberrésilience régit les produits mis sur le marché ; NIS2 régit les entités qui fournissent des services.
Ce qu'il vous demande
158 exigences en 4 groupes
Obligations
112- 5(1) Instaurez un cadre de gouvernance du risque TIC
- 5(2) L'organe de direction approuve le cadre et en répond
- 5(3) Désignez un responsable du suivi des contrats TIC
et 109 de plus
Devoirs
4- RTS 5(1) Informez le client des changements de sous-traitance assez tôt pour évaluer
- RTS 5(3) Ne modifiez la sous-traitance qu'après approbation ou absence d'objection
- 26(3) Participez au TLPT quand le périmètre vous inclut
et 1 de plus
Clauses
39- 31(5) Répondez à la désignation dans les six semaines
- 31(11) Demandez à être désigné critique si vous le souhaitez
- 35(1) Connaissez les pouvoirs du superviseur principal
et 36 de plus
Échéances
3- 301-5(1)(a) Soutenez le rapport initial dans les quatre heures suivant la classification
- 301-5(1)(b) Soutenez le rapport intermédiaire dans les 72 heures suivant le premier
- 301-5(1)(c) Soutenez le rapport final dans le mois suivant l'intermédiaire
13 des 15 clauses trouvent réponse dans un enregistrement ISO 27001
StandardOS tient les enregistrements ISO 27001 que la diligence raisonnable et le droit d'audit d'un client financier demandent, dans un seul espace de travail, en six langues : registre des fournisseurs, sauvegardes et tests de restauration, processus d'incident, plan de continuité, audits internes, déclaration d'applicabilité.
Les dates sont lues dans le règlement et les actes nommés et ne sont jamais saisies sur cette page. Ceci n'est pas un avis juridique, et le règlement est le texte à lire : Règlement (UE) 2022/2554.
Voir aussi:ArticlesOutils gratuits