Règlement (UE) 2022/2554, article 28.3

Le registre d'information de DORA : recenser les prestataires TIC et qualifier les fonctions critiques ou importantes

Avant toute renégociation de contrat, DORA impose aux entités financières de savoir à qui elles confient quoi. L'article 28.3 du règlement (UE) 2022/2554 en fait une obligation documentaire : un registre d'information portant sur tous les accords contractuels de services TIC, tenu à jour et communicable à l'autorité compétente.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que l'article 28.3 impose

Les entités financières tiennent et mettent à jour, au niveau de l'entité et, le cas échéant, aux niveaux sous-consolidé et consolidé, un registre d'information relatif à tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers.

Le registre distingue les accords qui portent sur des fonctions critiques ou importantes de ceux qui n'en portent pas. Les autorités compétentes peuvent en demander la totalité ou des sections déterminées.

L'entité informe en outre l'autorité compétente, en temps utile, de tout projet d'accord portant sur des services TIC qui soutiennent des fonctions critiques ou importantes, ainsi que du moment où une fonction est devenue critique ou importante.

Le format n'est pas libre : les modèles normalisés du registre sont fixés par le règlement d'exécution (UE) 2024/2956, adopté en application de l'article 28.9.

Qualifier une fonction critique ou importante : l'article 3, point 22

Est critique ou importante une fonction dont la perturbation nuirait sensiblement à la performance financière de l'entité, à la solidité ou à la continuité de ses services et activités, ou dont l'exécution interrompue, défectueuse ou défaillante nuirait sensiblement au respect continu des conditions et obligations de son agrément ou de ses autres obligations au titre du droit applicable aux services financiers.

Cette qualification commande tout le reste : elle détermine si le contrat doit comporter, en plus du socle de l'article 30.2, le bloc renforcé de l'article 30.3 (niveaux de service, plans d'urgence, audits, stratégies de sortie).

L'évaluation ex ante de l'article 28.4

Avant de conclure un accord, l'entité vérifie s'il porte sur une fonction critique ou importante, si les conditions de surveillance sont réunies, identifie et évalue tous les risques pertinents, y compris le risque de concentration de l'article 29, et conduit une diligence raisonnable sur le prestataire pressenti. Le registre est le support naturel de cette évaluation : il garde la trace de la qualification retenue et de ses motifs.

L'intervention correspondante

Le registre précède la renégociation : il identifie les contrats concernés et le jeu de clauses applicable à chacun.

Constituer le registre TIC et renégocier les contrats de prestation

Textes et sources cités

Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.