Un contrat conforme à l'article 30 de DORA, un registre d'information tenu à jour, une gestion des incidents avec délais de notification, une réversibilité documentée et un plan de continuité réellement testé. L'externalisation est permise — la responsabilité, elle, reste intégralement chez la société de gestion.
Depuis janvier 2025, le règlement européen DORA (UE 2022/2554) s'applique aux sociétés de gestion de portefeuille, en complément des exigences du règlement général de l'AMF. Concrètement, le régulateur ne se contente plus de principes généraux d'externalisation : il attend un dispositif de résilience opérationnelle numérique documenté, dont votre prestataire informatique est un maillon central. Une SGP de 10 personnes n'échappe pas au règlement — le principe de proportionnalité en module l'intensité, pas l'existence.
La conséquence pratique : lors d'un contrôle SPOT ou d'une demande d'information, l'AMF peut exiger votre registre de prestataires TIC, vos contrats, vos rapports d'incidents et vos preuves de tests. Si votre prestataire ne peut pas alimenter ces documents, c'est votre conformité qui est en défaut — pas la sienne.
Le contrat. L'article 30 de DORA impose un contenu contractuel minimal : description complète des services, localisation des lieux de traitement des données, niveaux de service mesurables, obligation d'assistance en cas d'incident, droits d'audit et d'accès pour vous et pour le régulateur, conditions de résiliation et stratégie de sortie. Un contrat d'infogérance générique signé avant 2025 est très probablement non conforme — c'est le premier point à vérifier.
Le registre d'information. Vous devez tenir le registre normalisé de tous vos accords TIC, avec le caractère critique de chaque fonction et les localisations de données. Un bon prestataire vous fournit sa fiche registre pré-remplie et vous alerte à chaque changement de sous-traitance — au lieu de vous laisser la reconstituer la veille d'un contrôle.
Les incidents. DORA impose la classification des incidents TIC et la notification des incidents majeurs au régulateur dans des délais courts. Exigez un processus écrit : détection, qualification, information sous quelques heures, rapport circonstancié. Si votre prestataire apprend l'existence d'une obligation de notification pendant l'incident, il est trop tard.
La continuité, prouvée. Un PCA sur papier ne vaut rien : demandez la date du dernier test de restauration réel et son compte rendu. La sauvegarde qui n'a jamais été restaurée est une hypothèse, pas une protection. Même logique pour les postes de travail : en environnement cloud (Azure Virtual Desktop), la bascule sur un site de secours se démontre.
La réversibilité. Vos environnements doivent être bâtis sur vos propres abonnements cloud, la documentation d'exploitation doit vous être remise, et la stratégie de sortie doit figurer au contrat. Un prestataire qui héberge vos ressources sur ses abonnements à lui vous rend captif — et rend votre stratégie de sortie DORA inapplicable.
La sécurité opérée. MFA généralisé sans exception, postes supervisés (EDR), gestion des privilèges, traçabilité des accès administrateurs. Et un point souvent oublié : les accès du prestataire lui-même à vos systèmes doivent être nominatifs, tracés et révocables — vous devez pouvoir répondre à la question « qui de chez eux a accès à quoi ».
Oui, c'est autorisé et courant. Mais la responsabilité réglementaire reste intégralement la vôtre : vous devez encadrer le prestataire contractuellement, le suivre, et pouvoir démontrer cette maîtrise à l'AMF.
Oui, avec proportionnalité : l'intensité des exigences s'adapte à votre taille et votre profil de risque, mais le socle — gestion du risque TIC, registre, incidents, encadrement des prestataires — s'applique à toutes les SGP.
Le registre normalisé européen de tous vos accords contractuels TIC : prestataires, fonctions supportées, criticité, localisation des données. Tenu à jour en permanence, transmissible au régulateur sur demande.
DIGICAB opère les environnements Microsoft 365 et Azure de sociétés de gestion agréées AMF — contrat conforme DORA, registre fourni, tests de restauration trimestriels. 30 minutes avec un ingénieur, sans démarchage ni engagement, pour situer votre conformité.
Prendre rendez-vous