DORA Registre d'information : comment construire et maintenir la liste des tiers
DORA Registre d'information : pourquoi cette obligation est structurante pour la résilience numérique
Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, est applicable depuis le 17 janvier 2025 [lu : règlement (UE) 2022/2554, article 64]. Il oblige les entités financières à tenir un registre d'information complet sur l'ensemble de leurs contrats avec des tiers fournisseurs de services TIC. Ce registre n'est pas un simple inventaire de fournisseurs : il doit documenter, pour chaque arrangement contractuel, la nature du service fourni, sa criticité pour les fonctions d'entreprise, les paramètres de continuité et les conditions de sortie. L'Autorité bancaire européenne (ABE), l'Autorité européenne des assurances et des pensions professionnelles (AEAPP) et l'Autorité européenne des marchés financiers (AEMF) ont publié des normes techniques réglementaires précisant les champs obligatoires du registre [lu : normes techniques réglementaires DORA publiées au Journal officiel de l'UE]. Optivalue.ai guide les entités financières dans la construction et le maintien de ce registre, depuis la définition des champs jusqu'à la soumission à l'autorité compétente. Un registre incomplet ou non actualisé expose l'entité à des mesures correctives et à des sanctions de l'autorité de surveillance.
Quels sont les champs obligatoires par contrat dans le registre DORA ?
Les normes techniques réglementaires DORA définissent les champs obligatoires du registre d'information pour chaque arrangement contractuel avec un tiers fournisseur de services TIC. Ces champs comprennent : l'identifiant unique de l'arrangement, le nom et l'identifiant légal (LEI) du fournisseur, la catégorie du service TIC fourni selon la taxonomie définie, la date de début et de fin du contrat ou la durée indéterminée, le lieu de stockage et de traitement des données, l'existence de sous-traitance et l'identité des sous-traitants critiques, les objectifs de niveau de service (RTO, RPO) convenus, et les conditions de sortie et de portabilité des données. Les NIS2 et DORA, les deux piliers réglementaires de la résilience numérique, imposent des exigences complémentaires sur la documentation des dépendances envers les tiers. Le registre DORA doit être maintenu à jour en temps réel lors de toute modification substantielle d'un arrangement contractuel.
À quelle fréquence le registre DORA doit-il être mis à jour ?
Le règlement DORA impose que le registre d'information soit maintenu en permanence et mis à jour lors de tout changement affectant les informations enregistrées, selon l'article 28 du règlement (UE) 2022/2554. Les événements déclenchant une mise à jour incluent : la signature d'un nouveau contrat avec un tiers TIC, la modification des conditions d'un contrat existant (niveaux de service, périmètre du service, lieu de traitement des données), l'identification d'un nouveau sous-traitant critique par un fournisseur existant, la résiliation d'un contrat, et tout incident de sécurité affectant un fournisseur TIC inscrit au registre. Les entités financières sont tenues de soumettre leur registre à leur autorité compétente selon les modalités et fréquences définies par les normes techniques d'exécution DORA. La capacité à produire un registre à jour dans les délais impartis lors d'une demande de l'autorité est un critère clé de la conformité DORA.
Comment classifier les tiers TIC critiques dans le registre DORA ?
La classification des tiers TIC critiques est une obligation centrale du règlement DORA. Un tiers est classifié comme critique lorsqu'il fournit des services TIC qui soutiennent des fonctions critiques ou importantes de l'entité financière, ou lorsque sa défaillance aurait un impact significatif sur la continuité de ces fonctions. La classification repose sur une évaluation du risque de concentration (dépendance à un seul fournisseur pour une fonction critique), de la substituabilité du fournisseur (capacité à le remplacer dans un délai acceptable), et de l'impact systémique potentiel. Les tiers classifiés comme critiques font l'objet d'exigences supplémentaires : évaluation approfondie avant contractualisation, audits périodiques, et droits d'inspection et d'audit formalisés dans le contrat. Le plan de continuité d'activité que le registre DORA doit couvrir intègre les scénarios de défaillance des tiers TIC critiques et les procédures de substitution.
Comment un logiciel automatise-t-il la tenue du registre DORA ?
Un logiciel dédié au registre DORA centralise l'ensemble des arrangements contractuels TIC dans un référentiel structuré conforme aux champs définis par les normes techniques réglementaires. Il gère les workflows de mise à jour du registre en alertant les propriétaires de contrats lors des événements déclenchants. Il maintient l'historique des versions du registre avec les dates de modification et les justifications des changements. Il automatise le calcul des scores de criticité des tiers à partir des critères de classification définis. Il produit les exports aux formats requis par les autorités compétentes pour les soumissions réglementaires. Il relie le registre des tiers au registre des incidents TIC pour identifier les incidents impliquant des tiers enregistrés. Optivalue.ai fournit la structure de registre conforme aux normes techniques DORA et les modèles de clauses contractuelles recommandées par l'ABE pour les arrangements avec des tiers TIC critiques.
FAQ
Quelles entités sont soumises au règlement DORA ?
L'article 2 du règlement (UE) 2022/2554 liste les entités soumises au règlement : établissements de crédit, établissements de paiement, établissements de monnaie électronique, entreprises d'investissement, prestataires de services d'actifs numériques, compagnies d'assurance, sociétés de gestion, contreparties centrales et dépositaires centraux de titres, entre autres. Le règlement s'applique à toutes ces entités exerçant leurs activités dans l'Union européenne, que leur siège soit établi dans un État membre ou dans un pays tiers.
Le registre DORA doit-il inclure les fournisseurs de services cloud ?
Oui. Les services cloud sont explicitement inclus dans le périmètre des services TIC visés par le règlement DORA. Les fournisseurs de services cloud infrastructure (IaaS), plateforme (PaaS) et logiciel (SaaS) qui soutiennent des fonctions d'entreprise de l'entité financière doivent être inscrits au registre d'information. Lorsque ces fournisseurs de cloud sous-traitent eux-mêmes à d'autres prestataires pour les services fournis à l'entité, ces sous-traitants critiques doivent également être identifiés dans le registre.
Comment DORA définit-il une fonction critique ou importante ?
Le règlement DORA ne donne pas de liste exhaustive des fonctions critiques ou importantes mais impose à chaque entité financière de les identifier dans sa propre organisation selon les critères de l'article 3 du règlement (UE) 2022/2554. Une fonction est critique ou importante si son interruption est susceptible d'affecter sérieusement la solvabilité, la continuité des activités ou la capacité de l'entité à respecter ses obligations réglementaires. L'identification de ces fonctions est un prérequis à la classification des tiers TIC critiques dans le registre.
Que se passe-t-il si un tiers TIC classifié comme critique devient défaillant ?
Le règlement DORA impose aux entités financières de disposer de stratégies de sortie documentées pour leurs tiers TIC critiques, selon l'article 28 du règlement (UE) 2022/2554. En cas de défaillance d'un tiers critique, l'entité doit activer son plan de continuité d'activité qui doit prévoir des procédures de substitution ou de reprise internalisée. L'entité est également tenue de notifier l'incident à son autorité compétente dans les délais définis par les normes techniques DORA sur la gestion des incidents TIC.
Découvrez comment Optivalue.ai guide la construction de votre registre DORA
Haut de page
Sur le même sujet