Votre fournisseur de solution DAM est-il prêt à se conformer à la réglementation DORA en 2026 ?

Si vous travaillez dans le secteur bancaire, des assurances, de la gestion d'actifs ou des paiements, vous l'avez certainement déjà constaté. Chaque fournisseur de solutions technologiques fait l'objet d'une évaluation, d'un audit, puis d'une nouvelle évaluation.

‍

Depuis le 17 janvier 2025, la loi sur la résilience opérationnelle numérique (DORA) a fait de cette vérification une obligation légale dans toute l’Union européenne. Cette liste va bien au-delà des banques et des assureurs. Elle s’étend aux sociétés d’investissement, aux prestataires de services de paiement, aux entreprises spécialisées dans les crypto-actifs, aux fonds de pension, aux agences de notation de crédit, etc., ainsi qu’à tous les fournisseurs de technologies de l’information et de la communication (TIC) qui leur fournissent des services. Si votre entreprise intervient dans le secteur des services financiers à quelque titre réglementé que ce soit, la DORA vous concerne probablement aussi.

‍

Et cela concerne tous les fournisseurs de technologies de la chaîne, y compris ceux qui gèrent votre contenu.

‍

C'est un véritable problème lorsque votre fournisseur de solution DAM n'est pas en mesure de répondre rapidement à ces questions.

‍

Le contenu ne se résume pas à des fichiers stockés dans une bibliothèque. C'est l'ADN de votre marque, cette identité qui transparaît partout où votre marque est présente. Lorsqu'un organisme de régulation vous demande si vos systèmes sont capables de résister à une perturbation, il cherche en réalité à savoir si cette identité, ainsi que la confiance que vos clients lui accordent, restent protégées quoi qu'il arrive à l'infrastructure qui la sous-tend.

‍

Voici ce qu’exige concrètement la directive DORA. Les entités financières doivent démontrer qu’elles sont en mesure de résister à une perturbation technologique et de s’en remettre. Cela implique de vérifier le niveau de sécurité des fournisseurs, d’intégrer des clauses spécifiques (droits d’audit, coopération en cas d’incident, plans de secours) dans chaque contrat, et de tenir à jour un registre répertoriant les prestataires auxquels elles font appel et les raisons de ce choix.

‍

Pour un fournisseur comme Wedia, il n’y a pas de certification unique à obtenir. La conformité à la loi DORA fonctionne différemment. Cela implique d’être prêt à fournir la documentation, les mesures de sécurité et les clauses contractuelles que l’équipe chargée de la conformité d’un client soumis à une réglementation exigera, avant même qu’elle ne les demande.

‍

Voici comment nous procédons. La gouvernance de Lyvio est conçue dès le départ pour garantir la sécurité de la marque ; elle est intégrée au produit lui-même dès le premier jour. Nous respectons au minimum les normes ISO 27001, TISAX et le RGPD, et nous avons également aligné nos pratiques sur les exigences de la DORA. Lorsque votre équipe chargée de la conformité nous envoie le questionnaire, nous avons déjà les réponses toutes prêtes.

‍

La confiance ne se résume pas à un simple certificat. C'est une habitude, ancrée dans le fonctionnement quotidien de Lyvio. Chaque ressource qui transite par la plateforme est vérifiée avant sa mise en ligne, suivie par la suite, et associée à un historique clair indiquant d'où elle provient et comment elle a été utilisée. Il ne s'agit pas d'une étape de conformité ajoutée en fin de processus. C'est ainsi que le produit fonctionne, que l'équipe chargée de la conformité soit présente ou non ce jour-là.

‍

C’est cette habitude qui permet de dire plus facilement « oui » à DORA, et à tout ce qui viendra après. L’infrastructure sous-jacente traite déjà plus de 30 milliards d’éléments visuels par mois en production ; il ne s’agit donc pas d’un domaine inconnu testé pour la première fois. À l’heure actuelle, le cadre de garantie de confiance repose sur les normes ISO 27001, TISAX, le RGPD et la conformité à DORA. Les réglementations ne cesseront d’évoluer. La démarche visant à protéger l’ADN de votre marque n’a pas besoin de repartir de zéro à chaque nouvelle évolution.

‍

Si vous êtes en train d'évaluer des fournisseurs de solutions DAM pour un environnement réglementé, Wedia vous permet de rayer une tâche de votre liste.

‍

Points clés à retenir

‍

• Depuis que la directive DORA est entrée en vigueur dans toute l'Union européenne le 17 janvier 2025, Wedia répond déjà aux exigences qu'elle impose aux fournisseurs de solutions DAM : la conformité aux normes ISO 27001, TISAX et au RGPD constitue le minimum requis.
  ‍
• La gouvernance de Lyvio s'intègre de manière native à chaque processus de travail ; ainsi, les pistes d'audit et la documentation nécessaire en cas d'incident sont déjà disponibles avant même qu'une autorité de régulation ne soit amenée à les demander.
• Derrière cette plateforme se trouve un responsable de la réussite client dédié, prêt à accompagner vos équipes chargées de la conformité et de l'informatique dans le traitement de la documentation et des questionnaires de sécurité.
  ‍
• La réglementation ne cessera d'évoluer, et la plateforme d'assurance de confiance de Wedia est conçue pour s'adapter à ces changements sans devoir repartir de zéro à chaque fois.
  ‍
• DORA s'adresse à tous les fournisseurs de technologies de l'information et de la communication (TIC) au service des banques, des assureurs, des sociétés d'investissement et des prestataires de services de paiement ; c'est précisément pour cette raison que Wedia considère la préparation à la conformité comme une pratique courante, et non comme une mesure d'urgence.

Questions fréquemment posées

‍

Q : Qu'est-ce que la loi DORA et à qui s'applique-t-elle ?

‍R: La loi DORA (Digital Operational Resilience Act, règlement (UE) n° 2022/2554) s’applique aux banques, aux assureurs, aux entreprises d’investissement, aux prestataires de services de paiement, aux entreprises spécialisées dans les crypto-actifs, aux fonds de retraite, aux agences de notation de crédit et aux prestataires tiers de services TIC qui leur fournissent des services. Wedia relève de cette dernière catégorie, ce qui explique pourquoi sa plateforme est conçue pour répondre aux mêmes exigences que les entités financières qu’elle soutient.

‍

Q : Depuis quand la loi DORA est-elle en vigueur ?

‍R: Le règlement DORA est applicable dans toute l'Union européenne depuis le 17 janvier 2025. Wedia a mis ses pratiques en conformité avec ce règlement avant cette date, afin que ses clients du secteur des services financiers n'aient pas à attendre qu'un prestataire se mette à niveau.

‍

Q : La norme DORA s'applique-t-elle aux fournisseurs de solutions de marketing et de gestion de contenu, ou uniquement aux systèmes bancaires centraux ?

‍R: La directive DORA s'applique à tout prestataire tiers du secteur des TIC qui soutient les fonctions critiques ou importantes d'une entité financière ; une plateforme DAM qui gère le contenu de marque, les ressources de campagne et les communications destinées aux clients répond donc à ces critères. C'est pourquoi Wedia considère la résilience comme une exigence produit, et non comme un simple critère marketing à cocher.

‍

Q : Quelles sont les exigences de la loi DORA concernant les contrats avec les fournisseurs ?

‍R: Les entités financières doivent veiller à ce que chaque contrat informatique intègre des droits d'audit, des clauses de coopération en cas d'incident, des plans de sortie et un registre des fournisseurs tenu à jour. La documentation de Wedia est structurée de manière à permettre la tenue de ce registre dès le début de la relation, et non pas à la suite d'une demande.

‍

Q : En quoi la loi DORA diffère-t-elle du RGPD ?

‍R: Le RGPD régit la protection des données à caractère personnel, tandis que la directive DORA porte sur la résilience opérationnelle des systèmes et des prestataires qui accompagnent les entités financières, couvrant notamment la gestion des incidents, les tests et les risques liés aux tiers. Wedia se conforme à ces deux réglementations, car les pratiques en matière de protection des données et la résilience opérationnelle font l'objet d'évaluations distinctes par les équipes chargées de la conformité.

‍

Q : Quelles certifications un fournisseur de solution DAM doit-il détenir pour garantir la conformité à la loi DORA ?

‍R: La norme ISO 27001 relative à la gestion de la sécurité de l’information, la certification TISAX pour la reconnaissance intersectorielle en matière de sécurité et la conformité au RGPD pour la protection des données constituent le niveau minimum attendu par les autorités de régulation. C’est ce niveau minimum que Wedia respecte avant même que toute discussion spécifique à la DORA ne soit engagée.

‍

Q : Quel est le lien entre le modèle de gouvernance d'une plateforme DAM et la loi DORA ?

‍R: La loi DORA vise à déterminer si l'on peut compter sur les systèmes et les processus d'un fournisseur pour résister à des perturbations. Wedia intègre directement cette gouvernance (c'est-à-dire les autorisations, la gestion des droits et les pistes d'audit) dans Lyvio, plutôt que de l'ajouter a posteriori, ce qui permet aux équipes chargées de la conformité d'obtenir une réponse plus rapide que si un fournisseur devait mettre en place des contrôles a posteriori.

‍

Q : Quelles questions une équipe chargée de la conformité doit-elle poser à un fournisseur de solution DAM avant de signer un contrat ?

‍R: Demandez la documentation à jour relative aux normes ISO 27001, TISAX et au RGPD, ainsi que des preuves des procédures de notification des incidents, de la fréquence des tests de restauration des données et des conditions de résiliation. Un fournisseur capable de fournir rapidement ces éléments montre que la résilience fait partie de son quotidien, et pas seulement au moment des audits ; c’est précisément le processus qu’un responsable dédié à la réussite client explique aux nouveaux clients de Wedia.

‍

Q : Un fournisseur de solutions DAM doit-il uniquement disposer de la technologie adéquate, ou l'assistance joue-t-elle également un rôle important pour DORA ?

‍R: La technologie à elle seule ne suffit pas pour répondre aux exigences de la DORA. Les autorités de régulation examinent également la manière dont un fournisseur réagit en cas de problème. C’est pourquoi Wedia associe sa plateforme certifiée à un accompagnement personnalisé : des experts dédiés accompagnent les clients depuis la mise en place jusqu’à l’optimisation continue, et une surveillance proactive permet de détecter les problèmes avant qu’ils n’affectent les opérations quotidiennes.

‍

Q : À quel type d'assistance continue un client du secteur des services financiers peut-il s'attendre de la part d'un fournisseur de solutions DAM ?

‍R: Privilégiez un interlocuteur attitré plutôt qu’un système de tickets d’assistance : quelqu’un qui comprenne vos exigences de conformité au fur et à mesure de leur évolution. C’est le modèle adopté par Wedia : des experts dédiés accompagnent les clients depuis leur intégration jusqu’au support continu, en s’appuyant sur des engagements de réponse définis par un accord de niveau de service (SLA) pour les questionnaires de sécurité et la gestion des incidents.

‍

Q : Que se passe-t-il si le prestataire informatique d'une entité financière n'est pas en mesure de respecter les exigences de la loi DORA ?

‍R: Une entité financière reste responsable de sa propre conformité à la norme DORA même lorsqu’un fournisseur ne remplit pas ses obligations ; ainsi, les lacunes dans le dispositif de sécurité d’un fournisseur constituent un risque réglementaire pour l’entité financière. La diligence raisonnable vis-à-vis des fournisseurs et les garanties contractuelles constituent désormais une exigence permanente, et c’est précisément cette lacune que les certifications de base de Wedia sont destinées à combler.

‍

Conclusion

‍

La directive DORA a étendu le champ d’application de la réglementation européenne à tous les fournisseurs de technologies de l’information et de la communication (TIC) en relation avec le secteur financier, et les fournisseurs de solutions DAM s’inscrivent pleinement dans ce champ d’application. Les entités financières ont besoin d’un fournisseur capable de produire une documentation prête pour l’audit, des clauses contractuelles prêtes à l’emploi et une gouvernance intégrée aux opérations quotidiennes plutôt que mise en place uniquement pour un contrôle, le tout soutenu par des collaborateurs qui réagissent rapidement lorsque les autorités de régulation interviennent. C’est exactement ce que propose Wedia : Lyvio garantit la conformité aux normes ISO 27001, TISAX et au RGPD comme base minimale, en accord avec la directive DORA, et s’appuie sur des experts dédiés qui préparent les réponses avant même que votre équipe chargée de la conformité n’ait à les demander.

‍

Découvrez comment Wedia facilite la mise en place d'une gouvernance de contenu conforme à la norme DORA

‍

Découvrez comment Wedia aide les marques financières soumises à une réglementation à préserver leur « ADN de marque » tout en se conformant aux normes de conformité en constante évolution, telles que la DORA.

Réserver une démonstration personnalisée →

‍

‍