Guide BCE d'externalisation cloud

Le guide couvre l'infrastructure, la plateforme et le logiciel en tant que service dans des clouds publics, privés, communautaires et hybrides. Le guide vise aussi des prestataires qui ne sont pas eux-mêmes des entreprises cloud mais qui exploitent une fonction critique ou importante sur une infrastructure cloud, si bien qu'un service d'IA ou une plateforme de paiement acheté comme logiciel relève des mêmes attentes qu'un serveur loué. L'organe de direction conserve la responsabilité finale du risque lié aux TIC.

Avant de signer, la banque évalue chaque accord cloud au regard de la dépendance, de la concentration, de la multilocation, de la protection des données, du risque géopolitique et des chaînes de sous-traitants. Anneli Tuominen, membre du conseil de surveillance prudentielle de la BCE, a nommé la raison dans le communiqué de presse: les banques dépendent des services cloud d'une poignée de prestataires.

Le guide ne fixe aucune limite au nombre de lieux de stockage. Le guide attend des banques qu'elles conservent les données dans des juridictions approuvées, choisies en tenant compte du risque juridique et politique, et qu'elles vérifient avec des outils de traçage où se trouvent réellement les données, comme le résume Hogan Lovells. La résidence des données concerne le lieu des données, tandis que le CLOUD Act concerne l’État qui peut les exiger.

Les données devraient être chiffrées en transit et au repos et, si possible, en cours d'utilisation, qui est le domaine du confidential computing. Les clés qu'un prestataire utilise pour les données d'une banque devraient être propres à cette banque, et la gestion des clés exige ses propres procédures d'audit.

Pour les fonctions critiques ou importantes, le guide suggère des architectures hybrides ou plusieurs prestataires cloud ou de secours dont les centres de données ne se chevauchent pas. Les plans de reprise après sinistre sont testés au moins une fois par an selon plusieurs scénarios de défaillance, et la banque teste elle-même les plans de reprise du prestataire au lieu de s'en remettre aux seules certifications.

Les stratégies de sortie doivent exister avant la mise en service d'un service critique, avec des calendriers, des coûts, du personnel, des solutions de remplacement identifiées et des périodes de transition, et elles sont testées périodiquement avec une revue indépendante. Le guide ajoute des droits de résiliation pour des événements comme un changement du droit applicable ou le déménagement du centre de données qui héberge la banque. Une stratégie de sortie du cloud doit tenir compte de DORA, de la BCE et de la BaFin.

Une banque ne peut pas externaliser la vérification de la conformité elle-même. L'audit interne ne peut pas s'appuyer uniquement sur des certifications de tiers ou des rapports SOC, si bien qu'une attestation BSI C5 ou ISO 27001 est une preuve à lire, et non un substitut au travail de la banque elle-même. La BCE encourage les audits conjoints par des groupes de banques supervisées, avec au moins un expert technique de chaque établissement, et des outils de surveillance propres à la banque à côté de ceux que propose le prestataire.

Comme les autres guides de la BCE, il ne fixe aucune exigence juridiquement contraignante et n'ajoute rien à DORA. En pratique, les équipes de surveillance conjointes y comparent l'organisation cloud d'une banque, et un écart sera probablement soulevé en dialogue prudentiel.

Le guide s'adresse aux établissements de crédit placés sous la supervision directe de la BCE dans le mécanisme de surveillance unique, les établissements importants. Les banques plus petites en Allemagne sont supervisées par la BaFin et la Bundesbank, dont la propre communication sur l'externalisation cloud de février 2024 couvre une grande partie des mêmes sujets.

DORA et ses normes techniques fixent le droit; le guide indique quelles déclarations reprennent des exigences de DORA et lesquelles sont des pratiques recommandées par la BCE, une distinction que la version finale trace plus clairement que le projet soumis à consultation. Le guide explique aussi comment la proportionnalité s'applique aux accords plus modestes.