Stratégie de sortie cloud

L'article 28(8) nomme les scénarios qu'une stratégie de sortie doit couvrir: le fournisseur fait défaut, son service se dégrade, ou le contrat prend fin pour l'une des raisons listées à l'article 28(7). Dans chaque cas, l'entreprise doit pouvoir partir sans perturber son activité ni sa conformité réglementaire, et sans nuire aux services que reçoivent ses clients. Elle identifie une alternative, un autre fournisseur ou sa propre infrastructure, et rédige des plans de transition qui déplacent le service et les données de façon contrôlée.

L'article 30(3)(f) exige que les contrats pour des fonctions critiques ou importantes contiennent des stratégies de sortie, en particulier une période de transition adéquate obligatoire pendant laquelle le fournisseur continue de fournir le service. La sortie apparaît aussi dans le registre d'information, où chaque accord TIC est listé avec la fonction qu'il soutient.

La BCE a publié son Guide on outsourcing cloud services en juillet 2025. Ce guide n'est pas juridiquement contraignant, mais les Joint Supervisory Teams l'utilisent comme référence. Selon le résumé de Jones Day, le guide attend des stratégies de sortie pour tous les services cloud critiques ou importants avant la mise en production, avec calendriers, coûts, ressources, alternatives identifiées et périodes de transition, des tests périodiques aux coûts réalistes, une revue indépendante et une liste à jour de fournisseurs alternatifs qualifiés. Hogan Lovells compte sept déclencheurs de résiliation supplémentaires dans le guide, dont une fusion ou une vente du fournisseur et le déménagement du data center qui héberge la banque.

En Allemagne, la communication de surveillance de la BaFin sur l'externalisation cloud de février 2024 demande des plans de sortie fondés sur des scénarios propres aux services cloud utilisés, y compris leur perte permanente inattendue. Les plans doivent être documentés et testés, avec les ressources, délais, responsabilités et soutiens nécessaires des deux côtés, et la banque devrait envisager plusieurs fournisseurs cloud.

L'architecture décide si une sortie est seulement possible. Une base de données managée ou un service d'IA qui n'existe que chez un fournisseur n'a pas d'équivalent ailleurs, et partir veut dire réécrire l'application. Des workloads en conteneurs décrits en infrastructure as code peuvent être reconstruits et testés sur une seconde plateforme, et le plan de sortie devient alors exécutable par une équipe. Un modèle d'IA a besoin de sa propre entrée: le plan nomme le modèle de remplacement et dit comment migrent les prompts et l'index de recherche, une question de portabilité pour l'infrastructure d'IA en banque.

Le contrat est le second point faible. Dans IT Finanzmagazin, deux conseillers risques de Deloitte notent que les préavis doivent correspondre aux options de sortie de la stratégie, et que des conditions individuelles sont difficiles à négocier avec les grands hyperscalers. Le Data Act de l'UE donne désormais à chaque client cloud un plancher légal, avec un préavis de deux mois au plus et une période de transition standard de 30 jours, prolongeable dans les cas prévus par le règlement. Les frais de changement prennent fin le 12 janvier 2027, avec le calendrier expliqué dans Data Act et changement de cloud. Le fournisseur Upsun soutient que faire tourner la production sur plusieurs clouds à la fois double infrastructure et personnel sans garantir la portabilité, si bien que le multi-cloud ne dispense pas d'un plan.

Un test de sortie technique demande des données hors du fournisseur actuel. Arvato Systems recommande des sauvegardes indépendantes et des tests de restauration réguliers. Vérifiez aussi métadonnées et droits d'accès: un jeu de données exporté n'est utilisable que si l'application cible le lit correctement et si les contrôles d'accès prévus fonctionnent.

Le budget devrait inclure l'exploitation en parallèle pendant la migration et la capacité de la future équipe d'exploitation. OpenMetal explique ces coûts à côté du transfert technique. Consignez qui exploitera l'environnement cible et quels tests doivent réussir avant l'arrêt de l'ancien service.

Le 18 novembre 2025, les Autorités européennes de surveillance ont désigné 19 prestataires tiers critiques de services TIC, dont Amazon Web Services, Google Cloud, Microsoft, Oracle, SAP et Deutsche Telekom. La surveillance directe de ces prestataires par l'UE ne retire pas l'obligation de sortie à la banque. En dernier recours, un superviseur peut exiger que des entités financières suspendent ou cessent leur usage d'un prestataire critique qui ignore les recommandations du superviseur principal, et une banque dans cette situation a besoin d'un plan de sortie déjà testé.

Oui, pour chaque service TIC qui soutient une fonction critique ou importante. L'article 28(8) de DORA s'applique aux banques, assureurs, entreprises d'investissement, établissements de paiement et de monnaie électronique et prestataires de services sur crypto-actifs. Pour les services qui soutiennent d'autres fonctions, l'entreprise décide en proportion du risque, et le registre d'information indique la catégorie de chaque contrat.

La stratégie de sortie est l'approche de l'entreprise: quelles alternatives existent, quels événements déclenchent une sortie et qui décide. Le plan de sortie concerne un service ou un contrat et liste les étapes, le calendrier, la migration des données, les coûts et les personnes qui l'exécutent. La communication de la BaFin fait la même distinction, avec une stratégie de sortie qui identifie les alternatives et des plans de sortie rédigés pour les services cloud utilisés.

Non. Le guide de la BCE cite les architectures hybrides ou multi-cloud comme mesure de résilience pour les fonctions critiques, et la BaFin demande aux banques d'envisager un second fournisseur. Les deux attendent malgré tout un plan documenté et testé pour quitter chaque fournisseur, car un workload qui tourne chez deux fournisseurs peut dépendre d'un service qu'un seul d'entre eux propose.

DORA demande des plans testés et revus à intervalles réguliers, sans fixer de fréquence. Le guide de la BCE attend des tests périodiques aux coûts réalistes et une revue indépendante, et demande des tests de reprise après sinistre au moins une fois par an selon plusieurs scénarios de défaillance. Un test qui déplace de vraies données vers l'environnement alternatif en dit plus qu'une revue du document sur papier.