Les clauses contractuelles DORA, article 30 : neuf ou quinze, un statut pour chacune

Répondez à la question et les clauses sont listées ici.

Toutes les clauses, dans les termes du règlement

9 clauses dans tout contrat de services TIC, 6 de plus lorsque le service soutient une fonction critique ou importante, et 12 conditions de sous-traitance lorsque le contrat l'autorise. L'outil ci-dessus décide lesquelles vous concernent ; voici toutes.

Dans tout contrat : 9 clauses

Article 30, paragraphe 2. Tout contrat de services TIC les porte, quel que soit ce que le service soutient.

• 30(2)(a) une description claire et exhaustive de tous les services TIC et fonctions qui seront fournis par le prestataire tiers de services TIC, indiquant si la sous-traitance d’un service TIC qui soutient une fonction critique ou importante, ou de parties significatives de celle-ci, est autorisée et, le cas échéant, les conditions applicables à cette sous-traitance; ISO 27001: Clause 4.3, A.5.19, A.5.20, A.5.21
• 30(2)(b) les lieux, notamment les régions ou les pays, où les services TIC et fonctions visés par le contrat ou la sous-traitance seront fournis et où les données seront traitées, y compris le lieu de stockage, et l’obligation pour le prestataire tiers de services TIC d’informer au préalable l’entité financière si celui-ci envisage de changer ces lieux; ISO 27001: A.5.9, A.8.9, A.8.32
• 30(2)(c) des dispositions sur la disponibilité, l’authenticité, l’intégrité et la confidentialité en ce qui concerne la protection des données, y compris les données à caractère personnel; ISO 27001: Clause 6.1, Clause 8.2, A.8.13, A.8.24
• 30(2)(d) des dispositions sur la garantie de l’accès, de la récupération et de la restitution, dans un format facilement accessible, des données à caractère personnel et autres traitées par l’entité financière en cas d’insolvabilité, de résolution, de cessation des activités du prestataire tiers de services TIC ou de résiliation des accords contractuels; ISO 27001: A.5.30, A.8.10, A.8.13
• 30(2)(e) des descriptions des niveaux de service, y compris leurs mises à jour et révisions; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(2)(f) l’obligation pour le prestataire tiers de services TIC de fournir à l’entité financière, sans frais supplémentaires ou à un coût déterminé ex ante, une assistance en cas d’incident lié aux TIC en rapport avec le service TIC fourni à l’entité financière; ISO 27001: A.5.24, A.5.26, A.5.28
• 30(2)(g) l’obligation pour le prestataire tiers de services TIC de coopérer pleinement avec les autorités compétentes et les autorités de résolution de l’entité financière, y compris les personnes nommées par eux; ISO 27001: pur contrat, pas d'enregistrement
• 30(2)(h) les droits de résiliation et les délais de préavis minimaux correspondants pour la résiliation des accords contractuels, conformément aux attentes des autorités compétentes et des autorités de résolution; ISO 27001: pur contrat, pas d'enregistrement
• 30(2)(i) les conditions de participation des prestataires tiers de services TIC aux programmes de sensibilisation à la sécurité des TIC et aux formations à la résilience opérationnelle numérique élaborés par les entités financières, conformément à l’article 13, paragraphe 6. ISO 27001: Clause 7.3, A.6.3

Lorsque le service soutient une fonction critique ou importante : 6 de plus

Article 30, paragraphe 3. C'est le client qui décide si la fonction est critique ou importante au titre de l'article 28, paragraphe 4, point a) ; le prestataire se prépare à un oui.

• 30(3)(a) des descriptions complètes des niveaux de service, y compris leurs mises à jour et révisions, assorties d’objectifs de performance quantitatifs et qualitatifs précis dans le cadre des niveaux de service convenus, afin de permettre un suivi efficace par l’entité financière des services TIC, et de prendre, sans retard injustifié, des mesures correctives appropriées lorsque les niveaux de service convenus ne sont pas atteints; ISO 27001: A.5.30, A.8.6, A.8.16
• 30(3)(b) les délais de préavis et les obligations de notification du prestataire tiers de services TIC à l’entité financière, y compris la notification de tout développement susceptible d’avoir une incidence significative sur la capacité du prestataire tiers de services TIC à fournir les services TIC qui soutiennent des fonctions critiques ou importantes de manière efficace conformément aux niveaux de service convenus; ISO 27001: A.8.32, A.5.20
• 30(3)(c) l’obligation pour le prestataire tiers de services TIC de mettre en œuvre et de tester des plans d’urgence et de mettre en place des mesures, des outils et des politiques de sécurité des TIC qui fournissent un niveau approprié de sécurité en vue de la prestation de services par l’entité financière, conformément à son cadre réglementaire; ISO 27001: A.5.29, A.5.30, A.8.14
• 30(3)(d) l’obligation pour le prestataire tiers de services TIC de participer et de coopérer pleinement au test de pénétration fondé sur la menace effectué par l’entité financière visé aux articles 26 et 27; ISO 27001: A.8.8, A.8.29
• 30(3)(e) le droit d’assurer un suivi permanent des performances du prestataire tiers de services TIC, qui comprend les éléments suivants: (i) les droits illimités d’accès, d’inspection et d’audit par l’entité financière ou par une tierce partie désignée, et par l’autorité compétente, et le droit de prendre des copies des documents pertinents sur place s’ils sont essentiels aux activités du prestataire tiers de services TIC, dont l’exercice effectif n’est pas entravé ou limité par d’autres accords contractuels ou politiques d’exécution; (ii) le droit de convenir d’autres niveaux d’assurance si les droits d’autres clients sont affectés; (iii) l’obligation pour le prestataire tiers de services TIC de coopérer pleinement lors des inspections sur place et des audits effectués par les autorités compétentes, le superviseur principal, l’entité financière ou une tierce partie désignée; et (iv) l’obligation de fournir des précisions sur la portée, les procédures à suivre et la fréquence de ces inspections et audits; ISO 27001: Clause 9.2, Clause 9.3, A.5.35
• 30(3)(f) les stratégies de sortie, en particulier la fixation d’une période de transition adéquate obligatoire: (i) au cours de laquelle le prestataire tiers de services TIC continuera à fournir les fonctions ou services TIC concernés en vue de réduire le risque de perturbation au niveau de l’entité financière ou d’assurer sa résolution et sa restructuration efficaces; (ii) qui permet à l’entité financière de migrer vers un autre prestataire tiers de services TIC ou de recourir à des solutions en interne adaptées à la complexité du service fourni. ISO 27001: A.5.30, A.8.10

Lorsque la sous-traitance est autorisée : 12 conditions

Article 4, paragraphe 1, du règlement délégué (UE) 2025/532, applicable lorsque le contrat autorise la sous-traitance du service ou de parties significatives de celui-ci.

• RTS 4(1)(a) que le prestataire tiers de services TIC est responsable de la fourniture des services fournis par les sous-traitants; ISO 27001: A.5.19, A.5.21
• RTS 4(1)(b) que le prestataire tiers de services TIC est tenu de surveiller tous les services TIC qui soutiennent des fonctions critiques ou importantes ou des parties significatives de celles-ci et qui ont été sous-traités, afin de veiller au respect permanent de ses obligations contractuelles envers l’entité financière; ISO 27001: A.5.22
• RTS 4(1)(c) les obligations de suivi et de déclaration incombant au prestataire tiers de services TIC à l’égard de l’entité financière en ce qui concerne les sous-traitants qui fournissent des services TIC soutenant des fonctions critiques ou importantes ou des parties significatives de celles-ci; ISO 27001: A.5.22
• RTS 4(1)(d) que le prestataire tiers de services TIC doit évaluer tous les risques associés au lieu d’établissement des sous-traitants actuels ou potentiels qui fournissent un service TIC soutenant des fonctions critiques ou importantes ou des parties significatives de celles-ci, ainsi qu’à leur société mère et au lieu où le service TIC concerné est fourni; ISO 27001: Clause 6.1, A.5.21
• RTS 4(1)(e) Le lieu de traitement et de stockage des données par le sous-traitant, le cas échéant; ISO 27001: A.5.9, A.5.21
• RTS 4(1)(f) que le prestataire tiers de services TIC doit préciser, dans son contrat avec ses sous-traitants, les obligations de suivi et de déclaration incombant à ces sous-traitants à son égard et, s’il en a été convenu ainsi, à l’égard de l’entité financière; ISO 27001: A.5.20
• RTS 4(1)(g) que le prestataire tiers de services TIC doit, tout au long de la chaîne de sous-traitance, assurer la continuité des services TIC qui soutiennent des fonctions critiques ou importantes en cas de non-respect par un sous-traitant TIC de ses obligations contractuelles; ISO 27001: A.5.29, A.5.30
• RTS 4(1)(h) que l’accord contractuel entre le prestataire tiers de services TIC et ses sous-traitants contient les exigences relatives aux plans d’urgence visés à l’article 30, paragraphe 3, point c), du règlement (UE) 2022/2554 et précise les niveaux de service que les sous-traitants TIC doivent atteindre en ce qui concerne ces plans; ISO 27001: A.5.20, A.5.30
• RTS 4(1)(i) que l’accord contractuel entre le prestataire tiers de services TIC et ses sous-traitants énonce les normes de sécurité des TIC et toute exigence supplémentaire en matière de sécurité visées à l’article 30, paragraphe 3, point c), du règlement (UE) 2022/2554; ISO 27001: A.5.20, Clause 6.1.3
• RTS 4(1)(j) que le sous-traitant doit accorder à l’entité financière, aux autorités compétentes et aux autorités de résolution concernées les mêmes droits d’accès, d’inspection et d’audit que ceux visés à l’article 30, paragraphe 3, point e), du règlement (UE) 2022/2554; ISO 27001: A.5.20, A.5.35
• RTS 4(1)(k) que le prestataire tiers de services TIC doit notifier à l’entité financière tout changement significatif apporté aux accords de sous-traitance; ISO 27001: A.8.32, A.5.22
• RTS 4(1)(l) que l’entité financière a le droit de résilier le contrat avec le prestataire tiers de services TIC lorsque soit les conditions énoncées à l’article 6 du présent règlement soit les conditions énumérées à l’article 28, paragraphe 7, du règlement (UE) 2022/2554 sont remplies. ISO 27001: pur contrat, pas d'enregistrement

DORA pour un éditeur de logiciels : les clauses, le registre, les actesLes mesures ISO 27001, une page chacune