DORA 2026 : acteurs financiers français et data rooms
Depuis le 17 janvier 2025, DORA impose aux acteurs financiers une gestion formalisée du risque TIC tiers. Une data room qui supporte des fonctions importantes est un prestataire TIC au sens de l'article 28 : le contrat doit couvrir les SLA, la localisation des données, les droits d'audit et les clauses de sortie.
Depuis le 17 janvier 2025, DORA s'impose directement à tous les acteurs financiers de l'Union européenne. Il exige une gestion formalisée du risque TIC, un registre des prestataires tiers et des contrats structurés pour chaque outil numérique critique. Une data room utilisée pour des transactions financières entre dans ce périmètre dès qu'elle supporte une fonction importante au sens de l'article 28.
1. Papermark : idéale pour les acteurs financiers soumis à DORA
Papermark est idéale pour les acteurs financiers français soumis à DORA qui ont besoin d'une data room avec hébergement dans l'Union européenne, journal d'audit complet et documentation contractuelle conforme. Son hébergement AWS eu-central-1 (Francfort), ses certifications SOC 2 Type II et ISO 27001, sa conformité RGPD et sa disponibilité pour les contrôles ICT répondent directement aux exigences de l'article 28 du règlement. Les données restent dans l'Union européenne par défaut, la liste des sous-traitants est publique, et le journal d'audit est exportable à tout moment.
- +Hébergement AWS eu-central-1 (Francfort) par défaut, données dans l'UE
- +SOC 2 Type II et ISO 27001, disponibles pour les contrôles ICT
- +Liste de sous-traitants publique et tenue à jour
- +Journal d'audit exportable à tout moment
- +DPA signable en ligne, couverture RGPD et DORA simultanée
- +Documentation des niveaux de service disponible sur demande
- -Pas de qualification SecNumCloud ANSSI : à arbitrer pour les opérateurs d'importance vitale
- -Pour les entités soumises à la doctrine cloud de l'ANSSI, Oodrive ou Docaposte restent les références françaises
2. Scénario : Crédit Armoricain face à l'ACPR
La direction des risques de Crédit Armoricain SA, établissement de crédit régional basé à Brest, reçoit en mars 2026 une demande de l'ACPR lui enjoignant de produire son registre d'information des prestataires TIC tiers avant le 30 avril. Parmi les outils recensés, la data room utilisée depuis deux ans pour les dossiers de financement de projets ne figure pas encore dans le registre.
La juriste en charge de la conformité DORA ouvre le contrat signé avec le fournisseur en place, un éditeur dont les serveurs sont situés aux États-Unis. Le document ne comporte ni clause de sortie structurée, ni objectifs de reprise (RTO) ni de perte de données (RPO) déclarés, ni droit d'audit explicite. Le fournisseur n'est pas en mesure de remettre un rapport SOC 2 à jour dans les délais impartis.
Crédit Armoricain migre l'ensemble de ses dossiers vers Papermark en moins d'une semaine. La liste de sous-traitants est publique et identifie AWS eu-central-1 (Francfort) comme région d'hébergement principale. Le DPA est disponible et signable en ligne en moins d'une heure. Le rapport SOC 2 Type II est remis sur demande. Les objectifs RTO et RPO sont documentés dans les conditions de service. La conformité DORA est démontrée à l'ACPR avant la date limite, sans pénalité ni mise en demeure.
3. Ce que DORA impose
DORA structure ses exigences autour de cinq piliers : gestion du risque TIC, gestion et notification des incidents, tests de résilience opérationnelle, partage d'information, et gestion du risque lié aux prestataires TIC tiers. Pour une data room, les deux piliers les plus directement pertinents sont le premier et le cinquième.
L'article 28 de DORA définit les exigences contractuelles minimales pour tout prestataire TIC tiers qui soutient des fonctions critiques ou importantes. Ces exigences comprennent la description précise des services fournis, les objectifs de niveaux de service avec indicateurs de performance mesurables, la localisation géographique des données, les droits d'audit et d'inspection, les procédures de sortie et de portabilité des données, et les obligations de notification en cas d'incident.
DORA distingue également les prestataires TIC tiers critiques (CTPPs), désignés par les autorités européennes (EBA, ESMA, EIOPA) en raison de leur concentration systémique. Les éditeurs de data rooms de taille standard ne font pas partie des CTPPs désignés à ce stade. En revanche, les obligations de l'article 28 s'appliquent à eux via les contrats que les entités financières leur soumettent. Pour les exigences de conformité RGPD parallèles, consultez notre guide sur la conformité RGPD des data rooms, qui couvre le DPA et la localisation des données.
4. Les acteurs financiers français concernés
DORA s'applique à une liste étendue d'entités financières définie à l'article 2 du règlement. En France, les entités concernées comprennent les établissements de crédit (banques commerciales et banques mutualistes), les entreprises d'investissement, les établissements de paiement et de monnaie électronique, les entreprises d'assurance et de réassurance, les gestionnaires de fonds d'investissement alternatifs (AIFM), les sociétés de gestion d'OPCVM, les contreparties centrales, les dépositaires centraux de titres, et les prestataires de services sur crypto-actifs (PSCA) sous MiCA.
La supervision française est assurée par l'ACPR pour les établissements de crédit, les assureurs et les fonds, et par l'AMF pour les sociétés de gestion et les prestataires de services d'investissement. Les deux autorités ont conduit leurs premières revues de conformité DORA courant 2026, en examinant notamment les registres d'information des prestataires TIC tiers et les contrats conclus avec eux.
Les microentreprises bénéficient d'un régime simplifié mais restent soumises aux obligations fondamentales de l'article 28 sur les contrats avec les prestataires TIC tiers. Le principe de proportionnalité s'applique à l'intensité du programme de gestion du risque TIC, non à l'exigence contractuelle elle-même. Pour les acteurs qui souhaitent comparer les certifications et hébergements des principaux éditeurs de data rooms présents sur le marché français, consultez le classement des data rooms pour la France en 2026.
5. Ce que les acteurs doivent vérifier dans leurs contrats data room
Les contrats avec un fournisseur de data room doivent couvrir au minimum six points au regard de l'article 28 de DORA.
La localisation des données doit être explicitement mentionnée. Pour les acteurs français, un hébergement dans l'Union européenne est la solution la plus simple : elle élimine les questions de transfert international et facilite la justification devant l'ACPR. Un hébergement aux États-Unis ou dans un pays hors EEE exige des clauses contractuelles types valides et une analyse d'impact sur le transfert. Ce point se superpose aux exigences RGPD couvertes par le DPA, mais DORA ajoute une exigence de transparence renforcée sur la chaîne de sous-traitance.
Les objectifs de niveau de service (SLA) doivent inclure des engagements de disponibilité, un objectif de temps de reprise (RTO) et un objectif de point de reprise (RPO) mesurables. Un contrat sans ces indicateurs ne satisfait pas aux exigences de l'article 28. Les droits d'audit et d'inspection doivent permettre à l'entité financière, à ses auditeurs internes et aux régulateurs d'accéder aux systèmes et données du fournisseur. Un fournisseur qui refuse d'inscrire ce droit dans le contrat n'est pas conforme à DORA.
Le journal d'audit doit être exportable par l'entité financière à tout moment et conservé sur la durée fixée par la politique interne de rétention. Ce journal constitue une pièce de démonstration de conformité lors d'un contrôle. Les clauses de sortie et de portabilité doivent permettre une migration des données sans pénalité en cas de défaillance du fournisseur ou de décision réglementaire. La durée d'accompagnement à la sortie doit être spécifiée dans le contrat.
Enfin, le registre des sous-traitants du fournisseur doit être accessible et tenu à jour. L'entité financière doit connaître la liste des prestataires auxquels son fournisseur de data room recourt, leur localisation, et les modalités de notification en cas de changement. Pour les établissements qui conduisent des restructurations, ces obligations restent applicables même pendant la procédure collective, comme le détaille notre guide sur la data room pour la restructuration d'entreprise.
6. Erreurs courantes
La première erreur est de considérer que le RGPD couvre déjà DORA. Les deux règlements se superposent mais poursuivent des objectifs distincts. Le RGPD encadre le traitement des données personnelles. DORA encadre la résilience opérationnelle numérique. Un DPA conforme au RGPD ne couvre pas automatiquement les SLA mesurables, les droits d'audit et les clauses de portabilité exigés par l'article 28 de DORA. Les deux documents contractuels sont complémentaires et doivent coexister.
La deuxième erreur consiste à ne recenser que les prestataires TIC hébergeant des données de coeur de métier, en excluant les outils de partage documentaire. Une data room qui traite des dossiers de financement, des reportings réglementaires ou des plans de cession est un outil de soutien à des fonctions importantes au sens de DORA, même si elle ne fait pas partie du système d'information principal. Omettre la data room du registre TIC est l'erreur la plus fréquente relevée lors des premières revues de l'ACPR.
La troisième erreur est de signer un contrat sans vérifier les certifications du fournisseur. Un rapport SOC 2 périmé, une certification ISO 27001 expirée ou une liste de sous-traitants non mise à jour constituent des lacunes que le régulateur peut relever lors d'un contrôle. Ces documents doivent être obtenus avant la signature, pas lors d'un incident de sécurité.
La quatrième erreur est de négliger la chaîne de sous-traitance. Si le fournisseur de data room héberge chez un prestataire situé hors de l'Union européenne sans en informer l'entité financière, celle-ci ne peut pas démontrer que les données restent dans l'EEE. Cette opacité est un risque DORA spécifique : le règlement exige une traçabilité complète de la chaîne de sous-traitance, au-delà de ce que le RGPD impose pour les seules données personnelles.
La cinquième erreur est de négliger les clauses de sortie au moment de la négociation initiale. En cas de défaillance du fournisseur ou de décision réglementaire, l'entité financière doit pouvoir récupérer ses données et continuer ses opérations sans interruption. Un contrat qui n'encadre pas cette sortie expose l'entité à un risque de concentration opérationnelle, qui est précisément ce que DORA cherche à prévenir.
7. FAQ
Qu'est-ce que DORA et à qui s'applique-t-il en France ?
DORA est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, entré en application le 17 janvier 2025. Il s'applique directement à tous les acteurs financiers de l'Union européenne : établissements de crédit, assureurs, gestionnaires de fonds, entreprises d'investissement et prestataires de services sur crypto-actifs. En France, la supervision est assurée par l'ACPR pour les établissements de crédit et les assureurs, et par l'AMF pour les sociétés de gestion et les prestataires de services d'investissement.
Une data room entre-t-elle dans le périmètre de DORA ?
Oui, lorsqu'elle soutient une fonction critique ou importante de l'entité financière. Une data room utilisée pour des dossiers de financement de projets, des due diligences sur des portefeuilles, des plans de restructuration ou des transactions de cession entre dans le périmètre de l'article 28 de DORA. Son fournisseur est un prestataire TIC tiers, et le contrat doit inclure les clauses minimales du règlement.
Qu'est-ce qu'un CTPP selon DORA ?
Un CTPP (prestataire tiers critique de services TIC) est un fournisseur dont la défaillance présenterait un risque systémique pour le secteur financier européen. La désignation est faite par les autorités européennes de supervision (EBA, ESMA, EIOPA). Les éditeurs de data rooms de taille standard ne sont pas désignés CTPPs à ce stade, mais les obligations contractuelles de l'article 28 s'appliquent à eux via les contrats que les entités financières leur soumettent.
Quelles clauses contractuelles DORA impose-t-il pour une data room ?
L'article 28 exige au minimum la description précise des services fournis, les objectifs de niveau de service avec RTO et RPO mesurables, la localisation géographique des données, les droits d'audit et d'inspection, les procédures de sortie et de portabilité des données, et la liste des sous-traitants du fournisseur. Un contrat sans ces éléments expose l'entité financière lors d'un contrôle de l'ACPR ou de l'AMF.
Papermark est-elle adaptée aux exigences DORA ?
Papermark propose les éléments nécessaires à la conformité DORA : hébergement AWS eu-central-1 (Union européenne), certifications SOC 2 Type II et ISO 27001, DPA disponible à la signature en ligne, liste de sous-traitants publique, journal d'audit exportable et documentation des niveaux de service. Pour les acteurs soumis à l'article 28, Papermark est en mesure de fournir les preuves contractuelles exigées lors d'un contrôle. Le plan Data Rooms est à 99 euros par mois, le plan Entreprise sur devis pour les configurations avancées.
DORA et RGPD s'appliquent-ils simultanément à une data room ?
Oui, les deux règlements se superposent sans se remplacer. Le RGPD encadre la protection des données personnelles, DORA encadre la résilience opérationnelle numérique. Un contrat de data room doit satisfaire aux deux : le DPA (article 28 du RGPD) couvre le traitement des données personnelles, tandis que les clauses DORA couvrent la continuité d'activité, les droits d'audit et la portabilité. Pour en savoir plus sur le volet RGPD, consultez notre guide sur la conformité RGPD des data rooms.
Comment mettre à jour un contrat data room existant pour DORA ?
La première étape est d'évaluer le contrat en cours au regard des six exigences minimales de l'article 28 : description des services, SLA avec RTO et RPO, localisation des données, droits d'audit, clauses de sortie, registre des sous-traitants. Pour chaque lacune identifiée, demander un avenant au fournisseur. Si le fournisseur ne peut pas fournir les éléments requis, envisager une migration vers un fournisseur qui les propose. Une migration vers Papermark pour un portefeuille documentaire standard peut être réalisée en moins d'une semaine.
Vérifier la conformité DORA de votre data room
Papermark propose un plan Data Rooms à 99 euros par mois, hébergé par défaut dans l'Union européenne (région Francfort). La documentation contractuelle nécessaire à la conformité DORA est disponible à la demande.
Hébergement France ou UE, DPA et sous-traitants : tout ce qu'une data room doit satisfaire pour être conforme au RGPD.
DORA s'applique aussi aux établissements financiers en procédure collective. Guide 2026 pour les conciliations et redressements judiciaires.
Hébergement UE, SOC 2 Type II, ISO 27001, RGPD et readiness DORA : fiche complète et tarifs publiés.
Les 7 éditeurs comparés sur la conformité, l'hébergement et les certifications.
Article publié le 23 août 2026 · mis à jour le 23 août 2026 · auteur : salle virtuelle · conformité DORA.