Le problème. Depuis le 17 janvier 2025, le règlement européen DORA impose aux banques, assureurs, sociétés de gestion et autres entités financières de maîtriser les risques liés à leurs prestataires informatiques. Les data centers et les hébergeurs qui portent leurs systèmes en font partie. Il faut les recenser, évaluer leur résilience, prévoir des droits d'audit dans les contrats et une stratégie de sortie. Les équipes conformité savent ce que le texte demande ; elles ont rarement quelqu'un capable d'évaluer, sur place, l'infrastructure d'un data center.
Notre réponse. Nous réalisons la partie physique et opérationnelle de l'évaluation : visite du site, alimentation et refroidissement, redondance, sécurité, exploitation, plans de continuité. Le résultat alimente votre dossier DORA, aux côtés de votre équipe conformité et de vos conseils juridiques.
Notre contrat de colocation prévoit un droit d'audit et nous ne savons pas quoi regarder.
Nous devons documenter une stratégie de sortie pour un data center qui porte des fonctions critiques.
Notre auditeur interne nous demande des preuves sur la continuité électrique de notre hébergeur.
CE QUE NOUS ÉVALUONS
| Domaine | Ce que nous vérifions sur place |
|---|---|
| Alimentation | Arrivées électriques, onduleurs, groupes électrogènes et autonomie en carburant, tests réalisés, points de défaillance unique |
| Refroidissement | Redondance réelle, marges, comportement en cas de canicule ou de panne |
| Sécurité physique | Accès, incendie, risques naturels du site, surveillance |
| Exploitation | Procédures, maintenance, gestion des incidents et des changements, astreinte |
| Continuité | Plans de continuité et de reprise, exercices réalisés, dépendances vers d'autres prestataires |
| Sortie | Faisabilité d'un transfert vers un autre site : délais, contraintes, capacité disponible |
Chaque constat est classé par niveau de risque et rattaché aux exigences que vous devez documenter. Quand les documents ne suffisent pas, nous allons voir : la vérité est sur le terrain.
CE QUE VOUS OBTENEZ
Une grille d'évaluation adaptée à vos prestataires, un rapport par site avec les écarts et les actions à demander à l'hébergeur, et des éléments pour votre stratégie de sortie. Nous pouvons aussi construire la grille avec vous et l'appliquer à plusieurs prestataires. Mission au forfait, accord de confidentialité, obligation de moyens.
Nous n'émettons pas d'avis juridique sur votre conformité à DORA : ce rôle revient à votre fonction conformité et à vos conseils. Nous apportons ce qui leur manque souvent, l'évaluation technique de l'infrastructure.
QUI INTERVIENT
Frédéric Arnaud, ancien auditeur chez PricewaterhouseCoopers, coordonne la mission et la grille d'évaluation. Alain Constantinidis, référent gouvernance et conformité DORA dans un groupe international et ancien responsable d'exploitation de salles Tier III et Tier IV, conduit l'évaluation sur le terrain. Anis Mokded pour l'exploitation et la mise en service, Francis Gillard pour le refroidissement, l'énergie et l'analyse de risque. Voir aussi l'audit d'exploitation et nos pages conformité.
QUESTIONS FRÉQUENTES
DORA s'applique-t-il aux data centers eux-mêmes ?
DORA s'applique aux entités financières, qui doivent maîtriser les risques de leurs prestataires informatiques, dont les data centers et hébergeurs. Les prestataires désignés comme critiques par les autorités européennes font en plus l'objet d'une surveillance directe.
Remplacez-vous notre équipe conformité ?
Non. Nous réalisons l'évaluation technique et opérationnelle des sites. L'analyse juridique et la décision restent à votre fonction conformité et à vos conseils.
Pouvez-vous évaluer plusieurs hébergeurs ?
Oui. Nous pouvons construire une grille commune et l'appliquer à chacun, pour comparer les risques et prioriser les actions.