Qu’est-ce que le registre des tiers TIC au sens de DORA ?

Les champs sont fixés par le règlement d’exécution (UE) 2024/2956 de la Commission, qui établit les modèles standard prévus à l’article 28, paragraphe 9, de DORA. Les entités financières tiennent le registre à l’aide des modèles de ses annexes I à IV, au niveau de l’entité ou aux niveaux sous-consolidé et consolidé. Son article 5 détaille le contenu, modèle par modèle :

• l’entité qui tient le registre et, pour un groupe, les entités du périmètre de consolidation et leurs succursales hors du pays d’origine (modèles B_01) ;
• les informations générales et spécifiques sur chaque accord contractuel, ainsi que les liens entre accords intragroupe et accords avec des prestataires externes (modèles B_02) ;
• les entités signataires des accords, des deux côtés (modèles B_03), et les entités qui utilisent les services TIC (modèle B_04) ;
• les prestataires tiers de services TIC directs, leurs sous-traitants et la chaîne d’approvisionnement des services TIC (modèles B_05) ;
• l’identification des fonctions (modèle B_06) et l’évaluation des services TIC qui soutiennent des fonctions critiques ou importantes (modèle B_07) ;
• la terminologie et les listes fermées utilisées pour remplir les modèles (modèle B_99).

Le registre couvre tous les services TIC fournis par les prestataires directs, ainsi que les sous-traitants qui sous-tendent effectivement des services TIC soutenant des fonctions critiques ou importantes, ou des parties importantes de celles-ci (article 3, paragraphe 2). Chaque prestataire reçoit un rang dans la chaîne : le prestataire direct a toujours le rang 1, les sous-traitants un rang supérieur (article 2). Les prestataires personnes morales sont identifiés par un identifiant d’entité juridique (LEI) valide et actif ou par l’identifiant unique européen (EUID), et par les deux lorsqu’ils existent (article 3, paragraphe 5).

Les données respectent six principes de qualité : exactitude, exhaustivité, cohérence, intégrité, uniformité et validité. L’entité les revoit régulièrement et corrige sans tarder les erreurs ou incohérences détectées (article 3, paragraphes 3 et 4).

L’article 28, paragraphe 3, de DORA ajoute trois obligations à la tenue du registre :

• Au moins une fois par an, communiquer aux autorités compétentes le nombre de nouveaux accords relatifs à l’utilisation de services TIC, les catégories de prestataires tiers de services TIC, le type d’accords contractuels et les services et fonctions de TIC fournis.
• Sur demande, mettre à disposition le registre complet ou les sections demandées, avec toute information nécessaire à une surveillance efficace.
• En temps utile, informer l’autorité de tout projet d’accord portant sur des services TIC qui soutiennent des fonctions critiques ou importantes, ainsi que lorsqu’une fonction est devenue critique ou importante.

Dans un groupe, l’entreprise mère détermine les entités à inclure en appliquant la législation sectorielle de l’Union pertinente, et le registre sous-consolidé ou consolidé comprend toutes les entités financières et tous les prestataires intragroupe de services TIC du groupe (article 6 du règlement d’exécution (UE) 2024/2956). L’entité chargée du registre de groupe vérifie aussi que les données de chaque entité concordent avec lui (article 3, paragraphe 3).

Le registre reflète ce que disent les contrats : il ne vaut que ce que vaut le processus de contractualisation. Avant de conclure un accord, l’article 28, paragraphe 4, impose à l’entité financière de déterminer s’il soutient une fonction critique ou importante, de vérifier que les conditions de surveillance en matière de conclusion de contrats sont remplies, d’évaluer les risques, y compris le risque de concentration informatique, de faire preuve de diligence raisonnable à l’égard du prestataire et d’identifier les conflits d’intérêts.

L’article 30, paragraphe 2, fixe ensuite le contenu minimal de tout contrat TIC, dont une description complète des services et des conditions de sous-traitance, les régions ou pays où les services sont fournis et où les données sont traitées et stockées, des dispositions sur la protection des données et les droits de résiliation avec des délais de préavis minimaux. Lorsque le service soutient une fonction critique ou importante, l’article 30, paragraphe 3, ajoute des niveaux de service complets avec des objectifs de performance quantitatifs et qualitatifs, la participation aux tests de pénétration fondés sur la menace, des droits illimités d’accès, d’inspection et d’audit, et des stratégies de sortie avec une période de transition obligatoire.

C’est dans le registre que ces exigences deviennent visibles. Un contrat renouvelé, un sous-traitant remplacé ou une fonction reclassée comme critique ou importante doivent se retrouver dans l’entrée correspondante. Les obligations de test et de notification reposent sur la même classification : voir les TLPT au titre de DORA et le champ d’application de DORA.