Un an après l’entrée en application de DORA, le dialogue sur la conformité a mûri. 2025 consistait à constituer le registre d’informations et à rédiger les clauses contractuelles. En 2026, les échanges avec les superviseurs posent des questions plus difficiles : démontrez la stratégie de sortie pour ce prestataire critique, présentez les résultats des tests de résilience, retracez la chronologie de cet incident au regard des délais de notification.
Le tri des fournisseurs a commencé
L’année a discrètement réparti les prestataires TIC en deux catégories. Ceux qui répondent aux questionnaires DORA par des présentations commerciales, et ceux qui répondent par des preuves : contrôles audités, objectifs de reprise documentés, historiques d’incidents et architectures qui rendent la sortie d’un client réaliste plutôt que théorique. Les entités financières ont commencé à se regrouper autour de la seconde catégorie, car chaque fournisseur inscrit au registre représente un travail de vigilance récurrent.
Le regroupement comme stratégie de résilience
La même logique continue de favoriser le regroupement des plateformes dans la couche d’identité. Un seul prestataire pour la vérification, le filtrage, la signature et la vidéo scellée, c’est une entrée au registre, un plan de sortie et une évaluation de résilience au lieu de quatre. L’accréditation QTSP au titre d’eIDAS, une fois obtenue, y ajoutera une assurance indépendante. La résilience plaide aussi pour la simplicité.
Centre de conformité · Solutions bancaires · Demander une démo