Prestataires tiers critiques TIC
Les prestataires tiers critiques TIC sont des entreprises technologiques désignées pour une supervision européenne en raison de la forte dépendance des établissements financiers à leurs services. Selon le règlement sur la résilience opérationnelle numérique, les autorités européennes de surveillance évaluent les effets d’une défaillance du prestataire sur le système financier. Les prestataires désignés reçoivent un superviseur principal chargé d’examiner les risques de leurs services.
Le cadre de supervision traite les dépendances envers des prestataires technologiques pouvant affecter simultanément de nombreux établissements financiers. Les prestataires désignés comprennent des fournisseurs d’infrastructures cloud et d’autres technologies utilisées dans les services financiers. Les établissements financiers continuent de gérer leurs relations avec les prestataires et les risques pesant sur les services fournis aux clients.
Les 19 prestataires de la liste
La liste officielle, par ordre alphabétique, nomme Accenture plc, Amazon Web Services EMEA Sarl, Bloomberg L.P., Capgemini SE, Colt Technology Services, Deutsche Telekom AG, Equinix (EMEA) B.V., Fidelity National Information Services, Inc., Google Cloud EMEA Limited, International Business Machines Corporation, InterXion HeadQuarters B.V., Kyndryl Inc., LSEG Data and Risk Limited, Microsoft Ireland Operations Limited, NTT DATA Inc., Oracle Nederland B.V., Orange SA, SAP SE et Tata Consultancy Services Limited.
Par fonction, la liste couvre quatre types de dépendance que Morgan Lewis répartit entre cloud hyperscale, centres de données, infrastructures et réseaux, et technologies pour services financiers. Certaines touchent directement Francfort: Equinix exploite le centre FR2 qui héberge les systèmes centraux principaux Eurex et Xetra, décrits dans la page centres de données pour la finance à Francfort.
Comment les AES les ont choisis
La désignation s’appuie sur des données déjà déclarées par banques et assureurs. Les AES ont recueilli les registres d’informations où chaque entité financière recense ses contrats TIC, évalué la criticité avec les superviseurs nationaux, informé les prestataires atteignant le seuil et permis à chacun de répondre par une déclaration motivée avant décision finale.
Les critères figurent à l’article 31(2) de DORA: impact systémique d’une défaillance opérationnelle majeure du prestataire, importance systémique des entités financières clientes, dépendance pour leurs fonctions critiques ou importantes et degré de substituabilité du prestataire. Un prestataire absent de la liste peut demander sa désignation selon l’article 31(11).
La supervision pour les prestataires
Chaque prestataire désigné reçoit un superviseur principal d’une des trois AES, et des équipes d’examen conjointes des AES et autorités nationales exécutent les travaux, selon PayTechLaw. Le superviseur peut inspecter le prestataire et lui adresser des recommandations. Un prestataire non conforme s’expose à des astreintes allant jusqu’à 1 pour cent de son chiffre d’affaires mondial journalier moyen, pendant six mois au maximum, selon l’article 35. Les prestataires paient chaque année des frais pour cette supervision.
Un prestataire hors UE doit établir une filiale dans l’Union sous 12 mois après sa désignation, sinon les entités financières ne peuvent plus y recourir, selon l’article 31(12). Les AES mettent cette liste à jour une fois par an.
Ce qui reste à la banque
La désignation ne retire aucune responsabilité au client du prestataire. Une banque évalue toujours le fournisseur avant signature, rédige les clauses contractuelles DORA, inscrit l’accord au registre et conserve une stratégie de sortie cloud testée. Les constats de la supervision européenne peuvent alimenter sa gestion des risques TIC.
Lorsque l’assistant IA et la plateforme bancaire centrale dépendent de prestataires de cette même liste, le plan de résilience bancaire doit montrer les conséquences de leur défaillance. En dernier recours, les superviseurs peuvent exiger des entités financières la suspension ou l’arrêt du recours à un prestataire critique ignorant les recommandations du superviseur principal.
Prochains événements sur l’infrastructure numérique
Quels sont les prestataires tiers critiques TIC selon DORA?
La première liste du 18 novembre 2025 nomme 19 entreprises: Accenture, Amazon Web Services, Bloomberg, Capgemini, Colt, Deutsche Telekom, Equinix, FIS, Google Cloud, IBM, InterXion, Kyndryl, LSEG Data and Risk, Microsoft, NTT DATA, Oracle, Orange, SAP et Tata Consultancy Services. La liste désigne des entités juridiques précises, comme Microsoft Ireland Operations Limited.
Une banque doit-elle encore évaluer un prestataire désigné?
Oui, DORA maintient l’entière responsabilité de l’entité financière pour ses risques liés aux tiers TIC. L’évaluation précontractuelle, les clauses du contrat, l’inscription au registre et le plan de sortie restent à la banque, que le prestataire soit désigné ou non.
Quelle différence entre un CTPP et une fonction critique ou importante?
Une fonction critique ou importante est une activité bancaire, classée par la banque elle-même, qui détermine les règles contractuelles DORA applicables. Un CTPP est un prestataire désigné par les AES car de nombreuses entités financières en dépendent. Un petit prestataire peut soutenir une fonction critique d’une banque sans jamais devenir CTPP.
Prestataires critiques TIC et Finance Loop
Finance Loop réunit les responsables fournisseurs et risques informatiques des banques avec leurs prestataires dans ses thèmes Infrastructure numérique & souveraineté et Risque & conformité. Finance Loop propose à un prestataire souhaitant expliquer sa préparation DORA aux établissements financiers un format via un webinaire sponsorisé ou un partenariat.
Finance Loop est un réseau professionnel qui favorise l’usage institutionnel des technologies émergentes dans la finance, comme l’IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer des compétences et des réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.