Prestataires tiers de services TIC et registre d'information DORA

Un prestataire tiers de services TIC est une entreprise qui fournit des services TIC : services numériques et de données fournis de manière continue par des systèmes TIC, y compris le matériel en tant que service et l'assistance technique par mises à jour. Hébergeurs, éditeurs de logiciels en ligne, infogérants, opérateurs de réseau, fournisseurs d'informatique en nuage : la notion est large. Un prestataire du même groupe (prestataire intragroupe) est aussi concerné.

• Stratégie : hors microentreprises et cadre simplifié, l'entité adopte une stratégie de risque lié aux prestataires, avec une politique d'utilisation des services qui soutiennent des fonctions critiques ou importantes, que l'organe de direction réexamine régulièrement. Le règlement délégué 2024/1773 en précise le contenu.
• Avant de signer : déterminer si le service soutient une fonction critique ou importante, vérifier les conditions de supervision, identifier les risques, y compris de concentration, mener une diligence raisonnable sur le prestataire et repérer les conflits d'intérêts.
• Sécurité : ne contracter qu'avec des prestataires qui appliquent des normes de sécurité de l'information appropriées.
• Audit : une fréquence et un périmètre d'audit des prestataires fondés sur le risque.
• Résiliation : pouvoir mettre fin au contrat en cas de manquement grave, de faiblesses avérées du prestataire ou d'obstacle à la supervision.
• Sortie : pour les fonctions critiques ou importantes, des stratégies de sortie documentées et testées, avec des solutions de remplacement et des plans de transition.

Ces étapes recoupent la démarche générale de gestion des risques tiers, et notre article risques tiers : ce qu'exigent NIS 2 et DORA les met en regard des autres textes. Pour l'évaluation elle-même, voir notre questionnaire de sécurité fournisseur.

L'article 28, paragraphe 3, impose de tenir et de mettre à jour un registre d'information sur tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers, au niveau de l'entité et, le cas échéant, aux niveaux sous-consolidé et consolidé. Le registre distingue les accords qui soutiennent des fonctions critiques ou importantes des autres.

• Au moins une fois par an, l'entité informe l'autorité compétente du nombre de nouveaux accords, des catégories de prestataires, des types d'accords et des services et fonctions concernés.
• Elle met le registre complet à disposition de l'autorité sur demande.
• Elle informe l'autorité en temps utile de tout projet de contrat portant sur une fonction critique ou importante, ou lorsqu'une fonction le devient.

Les 15 modèles du règlement d'exécution 2024/2956

Le format est imposé par le règlement d'exécution (UE) 2024/2956 du 29 novembre 2024, publié le 2 décembre 2024. Le registre est une série de 15 tableaux reliés entre eux par des identifiants :

Les prestataires personnes morales sont identifiés par leur LEI (identifiant international d'entité juridique, à 20 caractères) ou leur EUID (identifiant unique européen des registres du commerce) ; un prestataire établi hors de l'Union ne peut être identifié que par son LEI. C'est souvent le premier chantier : obtenir ces identifiants auprès de chaque fournisseur.

Une trame simplifiée pour commencer

Avant de remplir les modèles officiels, beaucoup d'équipes partent d'un tableau de travail unique, une ligne par service TIC et par maillon de la chaîne. La trame ci-dessous, illustrée avec l'exemple fictif de la Mutuelle Lumen, n'est pas le format réglementaire : elle sert à rassembler les informations, que l'on reporte ensuite dans les 15 modèles du règlement 2024/2956.

En France, le registre se remet sur la plateforme OneGate de la Banque de France, à l'ACPR ou à l'AMF selon l'autorité de l'entité (une société de gestion consolidée par une entité contrôlée par l'ACPR peut devoir remettre deux registres). Pour la campagne 2026, l'ACPR fixait la date limite au 31 mars 2026, sur des données arrêtées au 31 décembre 2025, au format de la taxonomie publiée par l'EBA.

La première campagne a été difficile : selon le bilan de l'ACPR d'octobre 2025, 84 % des entités avaient remis un registre, mais seules 39 % de ces remises avaient pu être traitées au niveau européen. Les autorités européennes ont utilisé ces registres pour désigner les prestataires critiques : le registre n'est pas qu'une formalité, c'est la base de la supervision du secteur.

Les droits et obligations de l'entité et du prestataire figurent dans un document écrit unique, accords de niveau de service compris. L'article 30 fixe deux niveaux de clauses :

Ces exigences trouvent naturellement leur place dans un plan d'assurance sécurité annexé au contrat.

Avant de confier une fonction critique ou importante, l'article 29 demande d'évaluer le risque de concentration : le prestataire est-il difficile à remplacer ? L'entité multiplie-t-elle les contrats avec un même prestataire ou des prestataires liés ? Si le contrat permet la sous-traitance, elle pèse les avantages et les risques, en particulier lorsque le sous-traitant est établi hors de l'Union : droit de la faillite applicable, récupération rapide des données, respect de la protection des données, capacité à surveiller une chaîne longue ou complexe.

Les incidents récents rappellent que l'attaque passe souvent par un maillon de cette chaîne : voir notre article sur les attaques par la chaîne d'approvisionnement.

DORA crée un cadre de supervision européen pour les prestataires dont dépend le système financier dans son ensemble. Les autorités européennes de surveillance (EBA, EIOPA, ESMA), réunies en comité mixte, désignent chaque année les prestataires tiers critiques de services TIC selon quatre critères de l'article 31 : l'impact systémique d'une défaillance, l'importance systémique des entités clientes, la dépendance des fonctions critiques ou importantes et la substituabilité du prestataire. Le règlement délégué 2024/1502 précise ces critères.

• La première liste a été publiée le 18 novembre 2025, après analyse des registres d'information remis par les entités financières.
• Chaque prestataire critique a un superviseur principal : l'autorité européenne dont relèvent les entités clientes qui pèsent le plus en actifs. Il peut demander des informations, mener des enquêtes et des inspections et émettre des recommandations.
• En cas de refus de coopérer, il peut infliger une astreinte quotidienne pouvant atteindre 1 % du chiffre d'affaires quotidien moyen mondial, pendant six mois au plus.
• Un prestataire critique établi hors de l'Union doit créer une filiale dans l'Union dans les 12 mois suivant sa désignation pour que les entités financières puissent continuer à recourir à ses services.