Obligations DORA prestataires critiques

Le règlement DORA (Digital Operational Resilience Act), applicable depuis janvier 2025, impose à Mutuelle Horizon un cadre renforcé de gestion des risques liés aux prestataires de services TIC jugés critiques. Concrètement, cela couvre l'identification, l'évaluation continue et la surveillance des risques de concentration et de dépendance vis-à-vis de ces prestataires.

D'après votre politique risques fournisseurs (v3) et la cartographie SAB 2025, trois prestataires sont aujourd'hui classés « critiques » au sens DORA : l'hébergeur cloud principal, l'éditeur du cœur métier assurance et le prestataire de sécurité managée. Chacun fait l'objet d'un plan de sortie documenté et d'une clause d'audit renforcée.

• Registre d'information — maintenir à jour le registre des contrats TIC critiques, transmis annuellement au régulateur.
• Tests de résilience — intégrer les prestataires critiques au programme annuel de tests de résilience opérationnelle numérique.
• Clauses contractuelles — garantir droit d'audit, plan de sortie et notification d'incident sous 24 h dans chaque contrat.

D'après la cartographie SAB 2025, trois prestataires sont actuellement classés critiques au sens DORA :