Toute entité financière soumise à DORA doit tenir un inventaire structuré de l’ensemble de ses accords contractuels portant sur l’utilisation de services TIC fournis par des prestataires tiers. Ce document, le registre d’informations, se tient à jour en continu ; l’autorité de supervision peut en demander communication à tout moment.
L’obligation figure dans le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025. Depuis l’entrée en application de DORA, le registre occupe une place à part dans les programmes de conformité des banques, des assurances et des autres entités concernées. L’exigence est très concrète : chaque accord doit être documenté selon des modèles européens détaillés, et le fichier produit est directement examiné par le superviseur.
La place du registre dans le dispositif DORA
Pour l’établissement, le registre matérialise sa dépendance réelle aux prestataires TIC, y compris les dépendances indirectes portées par la sous-traitance. Il constitue la base documentaire du pilotage du risque lié aux tiers, aux côtés de la stratégie sur ce risque et des clauses contractuelles obligatoires prévues par le règlement. Il participe ainsi au mouvement plus large de renforcement de la régulation européenne du secteur financier, dont DORA porte le volet consacré à la résilience opérationnelle numérique.
Le superviseur y trouve de son côté un instrument de contrôle. L’autorité compétente peut exiger la communication du registre complet, et les entités lui transmettent régulièrement des informations sur leurs accords. La collecte a aussi une finalité européenne : une fois agrégés, les registres servent à identifier les prestataires TIC critiques appelés à passer sous la surveillance directe des autorités européennes.
Ce que le registre recense
Le périmètre couvre tous les accords contractuels portant sur des services TIC, qu’ils soutiennent ou non des fonctions critiques ou importantes ; la distinction entre les deux doit apparaître explicitement. Pour chaque accord, le registre renseigne notamment :
- l’identification précise du prestataire, y compris par un identifiant unique tel que le LEI ;
- la nature des services TIC fournis et les fonctions de l’entité qu’ils soutiennent ;
- le caractère critique ou important de ces fonctions ;
- la chaîne de sous-traitance, avec le rang de chaque sous-traitant concourant effectivement au service ;
- les données contractuelles clés : dates, droit applicable, lieux de fourniture du service et de conservation des données ;
- des éléments d’appréciation du risque, comme la substituabilité du prestataire ou la sensibilité des données concernées.
Lorsque la structure du groupe le justifie, le registre est tenu à trois niveaux : entité individuelle, sous-consolidé et consolidé. Les modèles à utiliser sont fixés par des normes techniques d’exécution publiées fin 2024, élaborées par les autorités européennes de supervision, dont l’Autorité bancaire européenne. Ce format structuré, avec ses référentiels imposés, sert de support aux remises réglementaires.
La remise annuelle au superviseur
Les entités financières communiquent au moins une fois par an à leur autorité compétente des informations sur leurs accords TIC. En France, la collecte est organisée par les autorités nationales, dont l’ACPR et l’AMF, qui transmettent ensuite les registres aux autorités européennes. Cette organisation à deux étages illustre le rôle croissant des régulateurs dans la supervision de la résilience numérique du secteur.
Les premières campagnes de collecte ont montré que produire un fichier ne suffit pas : encore faut-il qu’il soit cohérent. Les motifs de rejet les plus fréquemment relevés lors de ces remises tiennent à des identifiants manquants ou invalides, à des doublons de prestataires, ou encore à des écarts entre le périmètre contractuel déclaré et les services réellement consommés.
Construire un registre fiable
Croiser les contrats et la réalité technique
Le recensement part des accords, auprès des achats, de la direction juridique et des métiers. Un registre fiable confronte ensuite cette base contractuelle à la réalité du système d’information : services cloud effectivement consommés, flux applicatifs, inventaires techniques. L’écart entre les deux révèle souvent des services TIC utilisés sans accord formalisé, ou des contrats périmés jamais résiliés.
Qualifier les fonctions critiques ou importantes
Cette qualification structure l’ensemble du registre, puisqu’elle déclenche les exigences contractuelles renforcées et concentre l’attention du superviseur. Dans la pratique, les établissements s’attachent à la maintenir cohérente avec leurs autres référentiels, cartographie des activités, dispositif de continuité et analyse du risque cyber, et à la documenter pour pouvoir la justifier en cas de contrôle.
Obtenir la visibilité sur la sous-traitance
Obtenir des prestataires la liste de leurs propres sous-traitants concourant au service, avec un niveau de détail suffisant pour alimenter le registre, se révèle souvent difficile. Les clauses prévues par DORA, information préalable et droit d’objection aux changements de sous-traitance, donnent un levier contractuel pour fiabiliser cette donnée dans la durée. La question rejoint celle de la notation et de l’appréciation cyber des tiers, qui repose sur la même connaissance fine des fournisseurs.
Tenir le registre dans la durée
Un registre qui n’est plus alimenté cesse rapidement de refléter la réalité des accords : nouveaux contrats, avenants, changements de sous-traitants et résiliations doivent y être reportés au fil de l’eau. Plutôt que d’en faire une campagne annuelle de rattrapage avant la remise réglementaire, certains établissements ancrent cette mise à jour dans le processus d’entrée en relation fournisseur et dans les revues périodiques des tiers.
Un registre articulé aux autres volets du règlement
Le registre alimente le reste du dispositif DORA. En identifiant les prestataires qui soutiennent les fonctions à tester, il éclaire le périmètre des tests de résilience fondés sur la menace (TLPT). Lorsqu’un prestataire est en cause dans un incident TIC à notifier, il aide aussi à en qualifier l’impact. Il fait enfin apparaître les dépendances multiples envers un même fournisseur, point de départ des travaux sur le risque de concentration et les plans de sortie.
Questions fréquentes sur le registre d’informations DORA
Qu’est-ce que le registre d’informations DORA ?
Il s’agit de l’inventaire, imposé par le règlement (UE) 2022/2554, de tous les accords contractuels d’une entité financière portant sur des services TIC fournis par des prestataires tiers. Il distingue les services qui soutiennent des fonctions critiques ou importantes, couvre la chaîne de sous-traitance et se tient à jour en permanence, dans un format structuré défini par des normes techniques européennes.
Qui doit tenir un registre d’informations ?
Toutes les entités financières soumises à DORA : banques, entreprises d’assurance et de réassurance, entreprises d’investissement, établissements de paiement et de monnaie électronique, sociétés de gestion ou encore infrastructures de marché. Le registre est tenu au niveau de l’entité et, le cas échéant, aux niveaux sous-consolidé et consolidé du groupe.
Le registre doit-il être transmis au superviseur ?
Oui. Les entités communiquent au moins une fois par an des informations sur leurs accords TIC à leur autorité compétente et doivent pouvoir fournir le registre complet sur demande. En France, la collecte est organisée par l’ACPR et l’AMF, qui transmettent les registres aux autorités européennes de supervision, notamment pour l’identification des prestataires TIC critiques.
Quelles sont les principales difficultés de mise en œuvre ?
Les retours des premières collectes pointent l’exhaustivité du recensement, avec des services TIC consommés sans contrat formalisé, la qualité des identifiants de prestataires comme le LEI, l’homogénéité de la qualification des fonctions critiques ou importantes, l’obtention des informations de sous-traitance auprès des fournisseurs et la tenue à jour en continu, qui suppose d’ancrer le registre dans les processus achats et de gestion des tiers.
