DORA : les premiers prestataires TIC critiques sont désignés
Les AES ont désigné 19 prestataires tiers critiques de services TIC au titre de DORA, désormais sous surveillance directe de l'UE. Ce qui change.
Le règlement sur la résilience opérationnelle numérique (DORA, règlement (UE) 2022/2554) s'applique depuis le 17 janvier 2025 aux banques, assureurs, entreprises d'investissement, établissements de paiement et autres entités financières. Sa surveillance des plus grands fournisseurs technologiques est désormais opérationnelle.
19 prestataires sous surveillance directe de l'UE
Le 18 novembre 2025, les trois autorités européennes de surveillance (ABE, AEAPP et AEMF) ont publié la première liste des prestataires tiers critiques de services TIC (CTPP). Les 19 prestataires désignés sont de grandes sociétés de cloud, de centres de données, de télécommunications, de conseil et de données financières, parmi lesquelles Amazon Web Services EMEA, Google Cloud EMEA, Microsoft Ireland Operations, Oracle Nederland, SAP SE, Deutsche Telekom, Orange, Equinix, Capgemini, Accenture et IBM.
Les autorités se sont fondées sur les registres d'informations que les entités financières tiennent sur leurs contrats TIC, puis sur une évaluation de criticité menée avec les autorités nationales. Les prestataires désignés relèvent désormais d'un superviseur principal qui peut demander des informations, mener des inspections et formuler des recommandations. La liste est mise à jour chaque année.
Registres d'informations : chaque année
Les entités financières tiennent un registre de tous leurs accords avec des prestataires tiers de services TIC. À partir de 2026, les autorités nationales transmettent ces registres aux AES au plus tard le 31 mars de chaque année, avec le 31 décembre de l'année précédente comme date de référence. Les autorités nationales fixent leurs propres délais, plus courts, pour les entités qu'elles supervisent.
Ce que cela signifie
- Pour les entités financières : la surveillance d'un CTPP ne remplace pas votre propre responsabilité. Vous gérez toujours vous-même le risque lié aux prestataires TIC : contrats comportant les clauses de l'article 30, stratégies de sortie et registre complet et exact.
- Pour les prestataires TIC absents de la liste, y compris les petits éditeurs SaaS : attendez-vous à des clauses DORA dans les contrats, à des questions sur les sous-traitants et les lieux de traitement, et à des demandes d'assistance en cas de sortie et d'incident. Des réponses claires raccourcissent les achats.
Le point de vue du prestataire : DORA pour les prestataires TIC tiers et SaaS.
Sources
- Regulation (EU) 2022/2554 (DORA)
- EBA: The European Supervisory Authorities designate critical ICT third-party providers under DORA (18 November 2025)
- ESMA: List of designated critical ICT third-party service providers
- EBA: Preparations for reporting of DORA registers of information
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 19 octobre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål