Registre d'informations DORA : relier les prestataires aux projets qu'ils portent

Ce que contient le registre

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) s'applique depuis le 17 janvier 2025. Son article 28, paragraphe 3, impose de tenir un registre de tous les contrats de services de technologies de l'information et de la communication (TIC), au niveau de l'entité et au niveau consolidé, en distinguant ceux qui soutiennent des fonctions critiques ou importantes.

Le format est fixé par le règlement d'exécution (UE) 2024/2956 : quinze modèles de tableaux. Les plus utiles pour comprendre une dépendance :

• les contrats et les prestataires, avec les entités qui utilisent chaque service ;
• la chaîne de sous-traitance des services TIC (modèle B_05.02), limitée aux sous-traitants qui soutiennent effectivement une fonction critique ;
• l'identification des fonctions et de leur criticité (modèle B_06.01) ;
• l'évaluation de chaque service (modèle B_07.01) : substituabilité, existence d'un plan de sortie, difficulté de réinternalisation.

Le calendrier de remise

• 2025 : première remise, sur la situation au 31 mars 2025, transmise à l'ACPR au plus tard le 15 avril 2025.
• À partir de 2026 : remise annuelle. Selon l'ACPR, la situation au 31 décembre de l'année précédente est remise au plus tard le 31 mars, en fichiers CSV déposés sur le portail OneGate.

Les registres servent aussi aux autorités européennes. C'est à partir d'eux qu'elles ont désigné, le 18 novembre 2025, une première liste de dix-neuf prestataires TIC critiques, parmi lesquels AWS, Google Cloud, Microsoft, Oracle, SAP, IBM, Capgemini, Accenture, Orange et Deutsche Telekom.

Ce que le registre ne dit pas

Le registre est construit autour des contrats et des fonctions. Or un changement chez un prestataire se joue souvent au niveau des projets : une migration en cours, une application en construction, une équipe qui dépend d'une plateforme partagée.

DORA prévoit pourtant les situations où ce lien devient indispensable :

• l'article 28, paragraphe 8, impose des stratégies de sortie documentées et testées pour les services qui soutiennent des fonctions critiques ;
• l'article 30 impose dans les contrats la description des services, les lieux de traitement avec obligation de prévenir avant tout changement, les droits de résiliation et une période de transition pour les fonctions critiques.

Quand un prestataire annonce un changement de lieu de traitement, de sous-traitant ou de conditions, la question devient : quels projets sont touchés, lesquels soutiennent une fonction critique, et le plan de sortie a-t-il été pensé pour eux ?

Ce que cela touche dans un portefeuille de projets

Les questions à se poser

• Pour chaque prestataire du registre, quels projets en cours dépendent de lui, directement ou par une plateforme partagée ?
• Lesquels de ces projets soutiennent une fonction critique ou importante ?
• Nos projets de l'année augmentent-ils la concentration sur un des prestataires désignés comme critiques ?
• Les plans de sortie couvrent-ils les applications mises en service depuis leur rédaction ?
• Qui est prévenu, et dans quel délai, quand un prestataire annonce un changement de lieu de traitement ou de sous-traitant ?

Cette analyse présente l'état des textes et des sources publiques à la date indiquée. Elle ne constitue pas un avis juridique.

À lire aussi

Fournisseurs d'IA · cycle de vie des modèles

Fin de support d'un modèle d'IA : que faut-il requalifier ?

Lire l'analyse →Réglementation · règlement européen sur l'IA

Article 50 de l'AI Act : quels projets sont concernés ?

Lire l'analyse →