DORA : première liste des prestataires de services TIC « critiques »

Le 18 novembre, les autorités de supervision européennes ont franchi une étape clé dans la mise en œuvre du règlement DORA (Digital Operational Resilience Act) en publiant la première liste des prestataires de services TIC « critiques ». 

Une désignation indispensable à la bonne application de DORA

Conformément aux articles 31 à 44 du règlement DORA, cette désignation provoque une supervision directe de ces prestataires par l’une des trois autorités européennes de surveillance (ESMA, EBA ou EIOPA). Les prestataires identifiés comme critiques devront alors se conformer à des obligations supplémentaires, dont notamment : 

• Fourniture d’informations règulières à l’autorité compétente ; 
• Participation à des tests de résilience numérique ;
• Mise en oeuvre de mesures correctrices ;
• Conformité à des exigences de sécurité spécifiques, sur la base de recommandations émises par les autorités européennes de surveillance.

Les conséquences pour les acteurs financiers soumis à DORA

Pour les acteurs financiers soumis à DORA (banques, assurances, sociétés de gestion etc.), la désignation de l’un de ses fournisseurs comme critique ne modifie pas directement la relation avec celui-ci. Cependant, l’impact contractuel et opérationnel sera bien réel. Les fournisseurs critiques devront en effet se conformer à des standards plus stricts, susceptibles d’influer sur : 

• les SLA, lesquels devraient être renforcés ; 
• Les délais de notification d’incident, qui devraient être réduits ;
• Les plans d’audit, qui devraient être renforcés ; 
• Et plus largement la gestion des risques d’externalisation. 

Les prestataires TIC désignés comme « critiques » 

Sans surprise, on retrouve dans cette liste les acteurs majeurs de l’écosystème : AWS EMEA Sarl, Capgemini SE, Orange SA, Google Cloud, Microsoft Ireland Operations Limited.

Pourquoi eux ? La désignation repose sur quatre critères : risque systémique posé à l’écosystème financier, le nombre d'entités dépendantes de leurs services, leur niveau de gestion interne des risques, la criticité des fonctions supportées et le degré de substituabilité des services rendus. 

L’objectif de cette désignation est clair : permettre à l’Union européenne de disposer d’un levier de contrôle sur les infrastructures numériques techniques, en vue de garantir une résilience opérationnelle réelle du secteur financier, au cœur des objectifs de la réglementation DORA. Cette liste sera mise à jour chaque année, ce qui suppose une surveillance dynamique de l’écosystème numérique du secteur financier.

Le cabinet ALTIJ Avocats vous accompagne dans vos démarches de conformité, développement de vos projets, sensibilisation de vos équipes, formation, mise en conformité et gestion des risques. Pour nous contacter, cliquez ici