Votre plan de sortie DORA a été chiffré, pas planifié. Le prix disparaît en janvier.

Dans cinq mois, la facture qui rendait la sortie du cloud impensable est ramenée à zéro par la loi, et la plus solide des excuses en gestion du risque tiers disparaît avec elle. DORA impose des stratégies de sortie pour les services informatiques soutenant des fonctions critiques ou importantes depuis son entrée en application. La plupart des banques les ont rédigées. Bien moins les ont chiffrées, et moins encore les ont répétées, parce que la réponse honnête à « que faudrait-il pour partir ? » supposait une facture de transfert de données que personne ne souhaitait poser devant un comité des coûts. À compter du 12 janvier 2027, le règlement européen sur les données supprime purement et simplement les frais de changement de fournisseur, transfert de données compris. Cela ne rend pas la migration facile. Cela retire le seul obstacle que l'on pouvait qualifier d'insurmontable sans que personne ait eu à vérifier s'il l'était — et une fois la barrière commerciale levée, il reste une question d'ingénierie à laquelle un superviseur est en droit d'obtenir une réponse.

Synthèse pour dirigeants

Une date, pas une tendance. Les frais de changement prennent fin le 12 janvier 2027. Le droit légal de changer de fournisseur, et de recevoir une assistance technique pour le faire, est en vigueur depuis le 12 septembre 2025.

C'est l'excuse qui est retirée, pas la difficulté. La tarification du transfert n'a jamais été la seule raison pour laquelle les plans de sortie restaient théoriques. C'était la raison qui n'obligeait personne à admettre un problème d'architecture.

DORA demandait déjà plus qu'un document. L'article 28, paragraphe 8, impose des stratégies de sortie complètes, documentées, suffisamment testées et réexaminées périodiquement.

La question du superviseur change de forme. Non plus « avez-vous un plan de sortie ? » mais « vous nous avez dit que le coût était la contrainte — elle a disparu, montrez-nous la répétition. »

Ce qui change réellement le 12 janvier 2027

Le règlement européen sur les données est le règlement (UE) 2023/2854. Ses dispositions sur le changement de fournisseur sont arrivées par étapes, et il vaut la peine d'énoncer ces étapes avec précision car l'état final est d'une netteté inhabituelle.

Depuis le 12 septembre 2025, les clients des services de traitement de données concernés disposent d'un droit légal de changer de fournisseur, et les fournisseurs doivent une coopération technique pour que le portage fonctionne, et non simplement l'autoriser en principe.

Depuis l'entrée en vigueur du règlement, un régime transitoire a plafonné ce que les fournisseurs peuvent facturer. Durant cette fenêtre, les frais de changement et de transfert ne pouvaient excéder les coûts réellement supportés par le fournisseur et directement liés au processus de changement concerné. Aucune marge, aucune tarification stratégique.

À compter du 12 janvier 2027, en vertu de la disposition de retrait progressif de l'article 29, les frais de changement sont purement interdits. Cela inclut les frais de transfert de données — la tarification au gigaoctet qui a fait l'essentiel du travail pour rendre la modélisation d'une sortie prohibitive.

Trois conséquences en découlent immédiatement, et une seule concerne l'argent.

L'argumentaire commercial du statu quo perd un poste qui portait souvent une charge rhétorique considérable. Les clauses contractuelles rédigées autour d'un régime tarifaire qui n'existera plus doivent être revues. Et la question analytique passe de combien cela coûterait-il à que faudrait-il faire, question bien plus difficile à laisser sans réponse dans un dossier de conseil d'administration.

Pourquoi les plans de sortie sont restés sur le papier

Il convient d'être juste sur ce point. Les plans de sortie n'ont pas été négligés parce qu'on les jugeait sans importance. Ils sont restés théoriques parce qu'un test véritable coûtait cher d'une manière facile à quantifier et difficile à justifier.

Sortir une charge de travail significative d'un hyperscaler supposait de payer le déplacement des données, de monter une capacité parallèle et d'absorber le coût d'exploitation de deux parcs pendant une bascule. La ligne « transfert » était celle qu'un directeur financier voyait, et c'était invariablement la ligne qui mettait fin à la conversation. Cela en faisait un obstacle singulièrement confortable : il différait le programme sans obliger quiconque à dire que l'architecture était le problème.

En dessous, trois contraintes plus dures faisaient le vrai travail, et aucune n'est affectée par le règlement.

Les services managés ne sont pas portables par nature. Une charge de travail bâtie sur la base de données managée d'un fournisseur, son modèle d'identité, son bus d'événements et son exécution sans serveur n'est pas une charge qui se déplace. C'est une charge qui se réécrit. La portabilité a été échangée délibérément, généralement pour de bonnes raisons de rapidité et de coût opérationnel, et la facture de cet échange se libelle en trimestres d'ingénierie plutôt qu'en euros par gigaoctet.

La gravité des données survit au transfert des données. Le parc analytique, les magasins de caractéristiques, les archives d'audit et tout ce qui s'est constitué autour d'eux ne se relocalisent pas proprement, même lorsque les octets circulent gratuitement.

Personne ne l'a répété. Un plan jamais exécuté est une hypothèse. Les rédacteurs de DORA l'avaient manifestement compris, raison pour laquelle l'article 28, paragraphe 8, ne s'arrête pas à exiger un plan.

Tableau 1 : ce que le règlement supprime et ne supprime pas

Obstacle à la sortie	Supprimé le 12 janvier 2027 ?
Frais de transfert et de changement	Oui — purement interdits
Clauses contractuelles bâties sur ces frais	Non — à renégocier
Couplage aux services managés	Non — réarchitecture, pas transfert
Gravité des données du parc analytique	Non
Absence de bascule répétée	Non — c'est là le travail

La colonne de droite est le sujet. Une seule ligne change, et c'est celle qui tenait lieu de toutes les autres.

Ce que DORA exige réellement

L'obligation ainsi mise à nu n'est pas nouvelle, et elle est plus exigeante qu'on ne la traite habituellement.

L'article 28, paragraphe 8, impose aux entités financières de mettre en place des stratégies de sortie pour les services informatiques soutenant des fonctions critiques ou importantes. Ces stratégies doivent tenir compte de la défaillance du fournisseur, de la détérioration de la qualité de service, des perturbations d'activité résultant d'une fourniture inadéquate et des risques matériels pesant sur le déploiement continu du service. Les plans doivent être complets, documentés et — la formule qui compte — suffisamment testés et réexaminés périodiquement.

« Suffisamment testés » a toujours été la clause difficile. Un document décrivant une migration n'est pas la preuve que la migration est possible dans un délai tolérable. L'attente prudentielle porte sur la capacité, pas sur l'artefact.

Pendant deux ans, le coût a été la raison pour laquelle la clause de test est restée insatisfaite en pratique. C'était une raison qu'un superviseur pouvait entendre sans escalader immédiatement, parce qu'elle était vraie et quantifiable. À partir de janvier, elle cesse d'être disponible, et il reste la réponse à une question qui n'en a jamais eu de bonne : combien de temps cela prendrait-il réellement, et comment le savez-vous ?

Le chantier contractuel que personne n'a programmé

Le livrable de court terme est ingrat et borné dans le temps, combinaison rare dans ce domaine.

Les contrats cloud rédigés ces dernières années contiennent des économies de changement et de transfert qu'il sera illégal de facturer. Certains comportent des préavis, des obligations d'assistance et des clauses de restitution de données calibrés pour un monde où le client était censé payer ce privilège. Ces clauses ne se corrigent pas d'elles-mêmes le 12 janvier 2027 ; elles deviennent simplement des stipulations inapplicables telles que rédigées, logées dans des contrats qui régissent encore tout le reste.

Cela produit un chantier discret avec une échéance naturelle : recenser les contrats concernés, établir quelles clauses sont écartées et intégrer les corrections au prochain renouvellement plutôt que de découvrir l'incohérence pendant un incident.

Tableau 2 : ce qu'il faut établir avant le cycle de renouvellement

Question	Ce qu'elle détermine dans votre exposition
Quels contrats tarifent le changement ou le transfert ?	Ces clauses deviennent inapplicables ; le reste du contrat, non
À quelle assistance le fournisseur est-il réellement tenu ?	L'obligation légale est en vigueur depuis septembre 2025
Pour chaque fonction critique ou importante, quel délai de sortie visé ?	« Suffisamment testé » exige un chiffre à éprouver
Une sortie a-t-elle été répétée de bout en bout, même à échelle réduite ?	Un plan jamais exécuté est une hypothèse
Qu'est-ce qui devrait être réécrit plutôt que déplacé ?	Sépare un problème de transfert d'un problème d'architecture
Qui détient la capacité de sortie entre deux tests ?	La capacité de sortie se dégrade silencieusement à mesure que le parc évolue

La question que cela met au jour

Il existe une possibilité inconfortable qu'il faut nommer, car la date de janvier la mettra au grand jour.

Si le changement est gratuit et que la sortie demeure peu crédible, alors le coût n'a jamais été la contrainte déterminante. La contrainte déterminante était la concentration — une fonction critique reposant sur un fournisseur qu'elle ne peut pratiquement pas quitter, ce qui est précisément la situation que le régime des tiers de DORA existe pour révéler, et la raison pour laquelle les fournisseurs tiers critiques de services informatiques sont désignés et supervisés.

Ce n'est pas un plaidoyer pour rapatrier les charges de travail. Le cloud reste la bonne réponse pour l'essentiel de ce que font tourner les banques, et une sortie mal exécutée vaut moins qu'une dépendance bien gérée. C'est un plaidoyer pour savoir dans laquelle des deux situations on se trouve, et pouvoir le démontrer. L'établissement capable de dire « nous avons testé une sortie partielle de ce service, elle a pris onze semaines, voici ce qui a cassé » se trouve dans une conversation prudentielle radicalement différente de celui qui produit un document de quarante pages et une estimation.

Le règlement a retiré l'excuse. Il n'a pas retiré le problème, et il n'allait jamais le faire.

Le manuel opérationnel

Cinq mouvements, et le premier n'est pas une revue contractuelle.

Choisissez une fonction critique ou importante et chiffrez honnêtement la sortie — maintenant, aux anciens prix. Vous voulez le chiffre tant que le transfert a encore un prix, car il vous dit quelle part de votre réticence était financière. Souvent, la réponse est : moins qu'on ne le supposait.
Répétez une sortie partielle. Pas tout le parc. Un service, une dépendance, une restauration chez un second fournisseur ou sur une empreinte interne, chronomètre en marche. Le produit est une durée et une liste de défauts, ce que « suffisamment testé » réclame.
Recensez les clauses qui meurent en janvier. Frais de changement, tarification du transfert, obligations d'assistance calibrées sur eux. Intégrez les corrections au cycle de renouvellement plutôt que de laisser en vigueur par inertie des stipulations inapplicables.
Séparez transfert et réécriture, charge par charge. Deux colonnes. Ce qui pourrait bouger avec un transfert gratuit, et ce qu'il faudrait reconstruire. La seconde colonne est votre véritable horizon de sortie, et c'est le chiffre que le conseil n'a jamais reçu.
Attribuez la capacité à un responsable entre les tests. La capacité de sortie est une propriété de l'architecture actuelle, pas un document avec une date de revue. Sans responsable désigné, elle se dégrade discrètement à chaque sprint qui ajoute une dépendance managée.

L'allègement réglementaire arrive généralement sous la forme d'un retrait. Celui-ci retire un chiffre qui tenait lieu d'argument. Les établissements qui paraîtront les plus mauvais en 2027 ne seront pas ceux restés chez un fournisseur unique — la plupart le seront. Ce seront ceux qui auront passé deux ans à dire aux superviseurs que le coût était l'obstacle, et qui n'auront rien à répondre en janvier lorsqu'il ne le sera plus.

Foire aux questions

Cela signifie-t-il que la sortie du cloud devient facile ?
Non. Elle devient exempte de frais de changement, ce qui est une affirmation différente. Le règlement supprime le coût de transfert ; il ne rend pas portable une charge de travail bâtie sur des services managés. Cela reste une réarchitecture, et elle se mesure en trimestres d'ingénierie plutôt qu'en euros.

Qu'est-ce qui est exactement interdit à compter du 12 janvier 2027 ?
Les frais de changement, y compris les frais de transfert de données. Pendant la période transitoire, les fournisseurs ne pouvaient récupérer que les coûts directement liés au processus de changement, sans marge ; à partir de cette date, ils ne peuvent plus facturer du tout.

Quelque chose est-il déjà en vigueur ?
Oui. Depuis le 12 septembre 2025, les clients disposent d'un droit légal de changer de fournisseur et de recevoir une coopération technique pour porter leurs données. La date de janvier clôt spécifiquement la question tarifaire.

Où DORA intervient-il ?
L'article 28, paragraphe 8, impose des stratégies de sortie pour les services informatiques soutenant des fonctions critiques ou importantes, et exige qu'elles soient complètes, documentées, suffisamment testées et réexaminées périodiquement. Le coût a été la raison pratique pour laquelle le volet « test » est resté insatisfait. Cette raison expire.

Nous sommes chez un seul hyperscaler et nous y resterons. Cela nous concerne-t-il ?
Oui, et sans doute davantage. L'obligation est de disposer d'une capacité de sortie testée, non de l'exercer. Rester est une décision ; ne pas pouvoir partir est un risque de concentration, et après janvier vous ne pourrez plus imputer le second au prix du transfert.

Quelle est la chose la plus utile à faire ce trimestre ?
Répéter une sortie partielle d'une fonction critique ou importante et consigner la durée et les défaillances. Cet artefact répond à la question prudentielle, dimensionne le vrai problème, et vaut davantage que n'importe quelle quantité de planification supplémentaire.

Références

Parlement européen et Conseil de l'Union européenne, 2023. Règlement (UE) 2023/2854 relatif à des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données (règlement sur les données). Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Parlement européen et Conseil de l'Union européenne, 2023..
Commission européenne, 2026. Le règlement sur les données expliqué. Bruxelles : Direction générale des réseaux de communication, du contenu et des technologies. Disponible à l'adresse : Commission européenne, 2026..
Parlement européen et Conseil de l'Union européenne, 2022. Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA). Bruxelles : Journal officiel de l'Union européenne. Disponible à l'adresse : Parlement européen et Conseil de l'Union européenne, 2022..
Autorité bancaire européenne, 2025. Orientations relatives aux accords d'externalisation. Paris : Autorité bancaire européenne. Disponible à l'adresse : Autorité bancaire européenne, 2025..

Dernière révision 2026-08-18.

Republier cet article

Votre plan de sortie DORA a été chiffré, pas planifié. Le prix disparaît en janvier. — Sebastien Rousseau

Au 12 janvier 2027, les frais de changement de fournisseur cloud disparaissent, transfert de données compris. L'argument du coût qui rendait les plans de sortie théoriques expire avec eux.

Cet article est sous licence Creative Commons Attribution 4.0 International. La republication nécessite l'attribution à l'URL canonique.

Votre plan de sortie DORA a été chiffré, pas planifié. Le prix disparaît en janvier. — Sebastien Rousseau

Au 12 janvier 2027, les frais de changement de fournisseur cloud disparaissent, transfert de données compris. L'argument du coût qui rendait les plans de sortie théoriques expire avec eux.

Originally published at https://sebastienrousseau.com/fr/2026-08-04-data-act-cloud-switching-dora-exit-strategies-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FONDATEUR · INGÉNIEUR