DORA et hébergement web : ce que les e-commerçants doivent exiger de leur prestataire
DORA s’applique désormais au numérique financier : découvrez les garanties d’hébergement à exiger pour sécuriser un e-commerce concerné.
Un e-commerçant doit demander des garanties DORA à son hébergeur s’il est une entité financière réglementée ou s’il fournit un service numérique à une telle entité. Une boutique qui accepte seulement des paiements via Stripe, PayPal ou Adyen n’entre généralement pas, pour cette seule raison, dans le champ direct du règlement.
Le règlement (UE) 2022/2554 est applicable depuis le 17 janvier 2025. L’entité financière reste responsable de la maîtrise des risques liés à ses prestataires TIC : une simple déclaration de « conformité DORA » de l’hébergeur ne suffit donc pas.
Déterminer si DORA s’applique
DORA vise notamment les établissements de crédit, de paiement et de monnaie électronique, les entreprises d’investissement, les assureurs et certains prestataires de services sur crypto-actifs. La liste complète figure à l’article 2 du règlement européen DORA.
Une marketplace, un site marchand ou un éditeur SaaS n’est pas automatiquement concerné. Le sujet devient central si l’entreprise détient un agrément financier, opère des services de paiement ou fournit une fonction technique importante à une entité soumise à DORA.
L’hébergeur n’est pas nécessairement soumis aux mêmes obligations directes qu’une banque. Toutefois, le client financier doit l’encadrer par contrat, évaluer le risque de dépendance et pouvoir démontrer son contrôle à son autorité compétente, notamment l’ACPR ou l’AMF selon son statut.
Garanties à exiger dans le contrat
L’article 30 de DORA impose aux entités financières des accords écrits avec leurs prestataires TIC. Le contrat et ses annexes doivent décrire le service acheté, les données et systèmes concernés, les responsabilités de chaque partie et des engagements opposables.
- Localisation : pays et régions d’hébergement, de sauvegarde, de réplication, de supervision et de support pouvant accéder aux données.
- Sous-traitance : sous-traitants pertinents, rôle de chacun et notification avant tout changement matériel.
- Sécurité : gestion des accès, mesures de protection, conservation et suppression des données.
- Contrôle : modalités d’audit, accès aux rapports indépendants disponibles et coopération lors des contrôles du client ou du régulateur.
- Réversibilité : format et délai d’export, coût, assistance à la migration et effacement vérifiable après la sortie.
La localisation ne se limite pas au datacenter principal. Les régions où sont stockés les sauvegardes et journaux doivent aussi être connues et compatibles avec les règles applicables à l’entreprise.
Vérifier la résilience et la gestion des incidents
Un SLA de disponibilité est utile, mais ne prouve pas à lui seul la résilience opérationnelle. Demandez des éléments vérifiables sur la continuité, les sauvegardes, la restauration et les tests, adaptés aux fonctions critiques ou importantes.
- PRA et PCA : périmètre, scénarios couverts, responsabilités, délais et fréquence de revue.
- Sauvegardes : fréquence, rétention, isolement, localisation et procédure de restauration.
- RPO et RTO : perte de données maximale acceptable et délai cible de remise en service pour chaque service essentiel.
- Tests : date, périmètre et résultats des exercices de restauration ou de bascule.
- Capacité : protection contre les pics de trafic, la saturation et les attaques par déni de service.
Le contrat doit aussi prévoir une notification d’incident rapide et exploitable : canal d’alerte, interlocuteurs, informations techniques initiales, fréquence des mises à jour et rapport de clôture. L’hébergeur doit pouvoir assister le client dans l’analyse de l’incident, notamment en fournissant journaux, chronologie et informations sur les services touchés.
Pour une fonction critique ou importante, préparez la sortie avant tout incident. Le client doit pouvoir changer de prestataire, rapatrier le service ou recourir à une solution alternative sans interruption excessive ni perte de données inacceptable.
Avant de signer ou renouveler, vérifiez que ces garanties sont précises et réalistes. Si l’hébergeur ne peut pas les documenter, faites relire l’accord par les équipes conformité, sécurité et juridique avant de qualifier le service de fonction critique ou importante.