DORA et prestataire critique TIC : ce que change la désignation européenne pour vos contrats

Le 18 novembre 2025, l'Europe a franchi une étape inédite dans la régulation financière : pour la première fois, des autorités de supervision ont officiellement désigné des prestataires technologiques comme systémiques pour la stabilité du secteur financier. Cette désignation, prévue de longue date par le règlement DORA, entré en application le 17 janvier 2025, n'a pourtant rien d'automatique ni d'universel : elle ne concerne qu'un nombre restreint d'acteurs, sélectionnés selon des critères précis, et emporte des conséquences juridiques qui leur sont propres.

Pour une direction juridique ou une direction des systèmes d'information, la confusion la plus fréquente porte sur la notion même de « prestataire critique ». Un fournisseur cloud utilisé pour une fonction sensible n'est pas nécessairement un prestataire critique au sens de DORA, et inversement, un acteur désigné critique par les autorités européennes ne l'est pas pour cette seule raison vis-à-vis de chacun de ses clients. Cet article revient sur cette distinction essentielle, détaille les critères et le processus de désignation, présente la première liste publiée en 2025, et expose les conséquences contractuelles concrètes pour les entités financières comme pour leurs prestataires.

DORA : rappel du cadre général avant d'aborder les prestataires TIC

Avant d'entrer dans le vif du sujet, il est utile de resituer la question des prestataires critiques dans l'architecture d'ensemble du règlement DORA, dont elle ne constitue qu'un des cinq piliers.

Un règlement européen d'application directe depuis janvier 2025

Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA, a été adopté le 14 décembre 2022 et publié au Journal officiel de l'Union européenne le 27 décembre 2022. Son entrée en application est intervenue le 17 janvier 2025, sans période transitoire supplémentaire pour les entités financières entrant dans son champ. Ce texte s'inscrit dans le paquet législatif européen relatif à la finance numérique, aux côtés d'autres textes structurants pour la gouvernance des entreprises, tels que la directive CSRD sur le reporting de durabilité, qui poursuit un objectif de transparence extra-financière distinct mais complémentaire.

Les cinq piliers du dispositif

DORA structure ses exigences autour de cinq axes complémentaires. Le premier concerne la gestion des risques liés aux TIC, avec une gouvernance interne clairement définie. Le deuxième porte sur la notification des incidents majeurs, selon des délais resserrés comprenant une notification initiale, un rapport intermédiaire puis un rapport final. Le troisième impose des tests de résilience numérique réguliers, dont des tests de pénétration fondés sur la menace pour les entités les plus significatives. Le quatrième encadre la gestion du risque lié aux prestataires tiers de TIC, sujet central de cet article. Le cinquième, enfin, organise le partage d'informations sur les cybermenaces entre acteurs du secteur financier.

Cette exigence de notification rapide des incidents rejoint, dans sa logique, celle qui structure la procédure interne de signalement imposée par la loi Sapin 2, où le respect de délais précis conditionne également la sécurité juridique du dispositif.

Un champ d'application large mais proportionné

Le règlement couvre plus de vingt catégories d'entités financières énumérées à son article 2, parmi lesquelles les établissements bancaires, les entreprises d'assurance, les sociétés de gestion, les prestataires de services de paiement ou encore les plateformes d'actifs numériques. Un principe de proportionnalité, prévu à l'article 3(60), permet toutefois aux petites entités et aux microentreprises de bénéficier d'un cadre allégé, notamment en matière de gestion des risques liés aux TIC.

Prestataire TIC « classique » et prestataire TIC « critique » : ne pas confondre

C'est le point de méthode le plus important de cet article, car la plupart des malentendus sur DORA proviennent d'une confusion entre trois notions pourtant bien distinctes en droit. Cette section vise précisément à les démêler avant d'aborder les critères de désignation proprement dits.

Le prestataire de services TIC au sens large

DORA retient une définition volontairement large du prestataire de services TIC, entendu comme toute entité externe fournissant à une entité financière un service lié aux technologies de l'information et de la communication, qu'il s'agisse d'hébergement, de solutions cloud, de maintenance applicative ou de fourniture logicielle. Ce qui compte n'est ni la taille du prestataire ni la durée du contrat, mais la dépendance opérationnelle que ce service crée pour l'entité financière. Cette définition s'étend d'ailleurs aux sous-traitants du prestataire lui-même : si un éditeur de logiciel de gestion de portefeuille externalise l'hébergement de ses données à un tiers, ce dernier entre également dans la chaîne de dépendance numérique de l'entité financière cliente.

La fonction « critique ou importante » : un critère propre à l'entité financière

Cette seconde notion ne porte pas sur la nature du prestataire, mais sur la place qu'occupe le service externalisé dans le fonctionnement de l'entité financière elle-même. Une même solution technique peut ainsi soutenir une fonction critique chez un établissement bancaire de taille significative, et une fonction beaucoup plus périphérique chez un acteur de taille modeste utilisant ce service à titre accessoire. Cette qualification conditionne directement le niveau de détail attendu dans le registre d'informations tenu au titre de l'article 28, les clauses contractuelles imposées par l'article 30, ainsi que la fréquence des contrôles et audits à mener.

Le prestataire critique désigné au niveau européen (CTPP)

La troisième notion, celle qui retient le plus l'attention médiatique, est distincte des deux précédentes : il s'agit d'une désignation officielle et centralisée, prononcée par les autorités européennes de supervision, et non d'une appréciation contractuelle laissée à l'entité financière. Un prestataire tiers critique de services TIC, ou CTPP selon l'acronyme retenu par les autorités, est un prestataire dont les autorités estiment qu'il est susceptible d'avoir un impact systémique sur la stabilité, la continuité ou la qualité des services financiers dans l'Union. Cette désignation déclenche un régime de supervision directe organisé par les articles 31 à 44 du règlement, avec un superviseur principal désigné parmi l'ESMA, l'EBA ou l'EIOPA.

Le tableau ci-dessous synthétise ces trois notions, souvent confondues à tort dans la pratique.

Ce tableau appelle un commentaire important pour la pratique contractuelle : la colonne la plus déterminante pour une entité financière donnée n'est pas nécessairement celle du CTPP, mais celle de la fonction critique ou importante, qui reste une appréciation propre à chaque contrat. Une entité financière peut ainsi être tenue d'appliquer les clauses renforcées de l'article 30 à un prestataire qui n'a jamais été désigné critique par les autorités européennes, dès lors que le service qu'il fournit s'avère déterminant pour son propre fonctionnement.

Les critères de désignation d'un prestataire TIC comme critique

Après avoir distingué ces trois notions, il reste à comprendre comment les autorités européennes procèdent concrètement pour désigner un prestataire comme critique, et sur quelle base juridique repose cette procédure.

Le fondement réglementaire

La désignation des prestataires critiques repose sur le règlement délégué (UE) 2024/1502, qui précise les critères que doivent appliquer les autorités européennes de supervision. Ce processus s'appuie directement sur le registre d'informations, ou ROI, que chaque entité financière est tenue de transmettre à son autorité nationale de contrôle, laquelle consolide ensuite ces données au niveau européen pour permettre l'analyse des autorités.

Les critères qualitatifs et quantitatifs retenus

L'importance systémique du prestataire pour le secteur financier européen constitue le premier critère d'appréciation. S'y ajoutent le nombre d'entités financières dépendantes de ses services, la substituabilité du service, c'est-à-dire l'existence ou non d'alternatives réalistes sur le marché, ainsi que la criticité des fonctions concrètement supportées par le service en question. Le degré de concentration du marché autour d'un nombre restreint de fournisseurs complète cette analyse, les autorités cherchant précisément à identifier les points de vulnérabilité systémique du secteur.

Le déroulement concret de la procédure de désignation

La procédure suit un déroulement structuré, engagé dès l'été 2025 pour la première vague de désignations. Les prestataires concernés ont d'abord reçu, fin juillet 2025, une lettre de notification exposant l'analyse préliminaire des autorités au regard des différents critères. Ils ont ensuite été invités à présenter leurs observations dans le cadre d'un « reasoned statement », leur permettant de discuter, voire de contester, cette analyse préliminaire. À l'issue de l'examen de ces observations, les autorités ont communiqué leur analyse finale ainsi que, le cas échéant, leur décision de désignation et l'identité du superviseur principal retenu. Ces décisions ont été notifiées aux prestataires concernés en novembre 2025, juste avant la publication officielle de la liste.

La première liste des prestataires TIC critiques (CTPP)

Après ce rappel de la procédure, il convient de s'arrêter sur son résultat concret : la première liste de prestataires critiques, dont la publication a marqué une étape symbolique forte pour l'ensemble du secteur financier européen.

Une publication inédite le 18 novembre 2025

Le 18 novembre 2025, les autorités européennes de surveillance ont publié la toute première liste de prestataires tiers désignés comme critiques au niveau de l'Union européenne. Plusieurs acteurs technologiques majeurs figurent parmi les entités désignées, notamment des fournisseurs cloud de premier plan ainsi que des éditeurs et intégrateurs de solutions technologiques pour le secteur financier. Cette désignation confère à ces acteurs un statut inédit : ils deviennent, de fait, des acteurs directement régulés du système financier européen, alors qu'ils échappaient auparavant à toute supervision sectorielle propre.

L'obligation de filiale européenne pour les prestataires de pays tiers

Le règlement prévoit une exigence particulière pour les prestataires critiques établis en dehors de l'Union européenne : ils ne peuvent être utilisés par une entité financière que s'ils disposent d'une filiale établie dans l'Union. Si cette filiale n'existe pas encore au moment de la désignation, le prestataire dispose d'un délai d'un an pour la constituer. En pratique, la plupart des grands acteurs concernés disposaient déjà de filiales européennes bien avant leur désignation officielle, ce qui a limité l'impact opérationnel immédiat de cette exigence pour la première vague de désignations.

Une liste amenée à évoluer chaque année

Le tableau suivant présente le calendrier de cet exercice de désignation et de son suivi annuel, tel qu'il se dessine depuis 2025.

Ce calendrier illustre un point souvent sous-estimé par les entités financières : la désignation de 2025 n'est pas un événement isolé mais le point de départ d'un cycle de supervision continu, avec des échéances récurrentes de reporting et de paiement qui structurent désormais la relation entre les CTPP et leurs superviseurs. La coopération internationale s'inscrit également dans cette dynamique, comme en atteste l'accord signé en janvier 2026 entre les autorités européennes et leurs homologues britanniques, destiné à faciliter la supervision de prestataires opérant au-delà des seules frontières de l'Union.

Les obligations renforcées liées à la désignation critique

Une fois désigné, un prestataire critique se voit soumis à un ensemble d'obligations spécifiques, distinctes de celles qui pèsent sur les prestataires TIC non désignés, même lorsque ces derniers soutiennent des fonctions critiques ou importantes chez leurs clients.

Les obligations du prestataire désigné critique (CTPP)

Le prestataire désigné doit fournir régulièrement des informations à l'autorité compétente, en l'occurrence son superviseur principal. Il doit également participer à des tests de résilience numérique organisés à l'échelle européenne, et se conformer à des exigences de sécurité renforcées, définies sur la base des recommandations émises par les autorités de surveillance. À ces obligations s'ajoute le paiement d'une redevance de supervision, dont le montant est calculé sur la base du chiffre d'affaires de référence du prestataire, avec des modalités transitoires ayant permis, pour la première année, une répartition égale de ces redevances entre les CTPP désignés.

Les pouvoirs du superviseur principal (Lead Overseer)

Le superviseur principal dispose de pouvoirs d'enquête et d'inspection sur site, ainsi que d'un pouvoir de recommandation pouvant devenir contraignant en cas de non-conformité persistante du prestataire. Dans les situations les plus graves, il peut aller jusqu'à recommander aux entités financières clientes de suspendre, voire de résilier, leurs contrats avec le prestataire concerné. Ce pouvoir, inédit dans la réglementation financière européenne, place les grands acteurs technologiques du secteur dans une situation de dépendance réglementaire directe à l'égard d'une autorité qui, jusqu'alors, n'avait aucune prise sur eux.

Ce que la désignation ne change pas automatiquement

La désignation d'un fournisseur comme critique ne modifie pas, par elle-même et de façon automatique, les contrats en cours entre ce prestataire et ses clients entités financières. Le cadre de supervision européen se superpose à la relation contractuelle existante sans s'y substituer immédiatement. L'impact contractuel et opérationnel de la désignation reste néanmoins bien réel à moyen terme, en particulier au moment du renouvellement des contrats ou de la négociation d'avenants, moments où les nouvelles exigences réglementaires doivent être intégrées.

Les clauses contractuelles devenues indispensables sous DORA

Au-delà du seul cas des prestataires désignés critiques, DORA impose un socle contractuel renouvelé pour l'ensemble des relations avec les prestataires TIC, dont l'intensité varie selon que le service soutient ou non une fonction critique ou importante.

Le socle contractuel exigé pour tout prestataire TIC

L'article 30 du règlement impose, pour tout contrat conclu avec un prestataire de services TIC, un socle de clauses écrites portant sur la description précise des services fournis, la localisation des données et des traitements, des niveaux de service mesurables, des clauses de sécurité des données, ainsi que des conditions de résiliation et des modalités de sortie clairement définies.

Le durcissement des exigences pour les fonctions critiques ou importantes

Lorsque le service concerné soutient une fonction critique ou importante de l'entité financière, ces exigences se durcissent sensiblement. Des normes de sécurité renforcées doivent être prévues, alignées sur les recommandations des autorités européennes. Le prestataire peut être appelé à participer aux tests de pénétration fondés sur la menace organisés par l'entité financière. Les droits d'accès, d'inspection et d'audit de l'entité financière sur le prestataire se trouvent également élargis, tout comme les exigences de réversibilité et de continuité de service en cas de défaillance.

Le tableau ci-dessous synthétise ce durcissement progressif des exigences contractuelles selon la qualification du service concerné.

Le commentaire à retenir de ce tableau est le suivant : l'essentiel du travail contractuel ne se joue pas sur la question de savoir si le prestataire figure ou non sur la liste des CTPP, mais sur la qualification, propre à chaque entité financière, du service comme soutenant ou non une fonction critique ou importante. C'est cette qualification interne, et non le statut européen du prestataire, qui déclenche l'essentiel des clauses renforcées à négocier.

Pourquoi les fournisseurs cloud et SaaS sont en première ligne

Cette dynamique contractuelle et de supervision touche de façon disproportionnée un type d'acteurs particulier, dont la position dans l'écosystème financier européen justifie qu'on s'y attarde spécifiquement.

Un changement de paradigme pour les hyperscalers

Les grands fournisseurs cloud ne sont plus de simples prestataires commerciaux vis-à-vis du secteur financier : ils deviennent, lorsqu'ils sont désignés critiques, des acteurs directement régulés du système financier européen. Cette évolution impose à ces acteurs d'anticiper des clauses contractuelles plus strictes, des audits plus fréquents, des délais de notification d'incident plus courts, ainsi que des exigences accrues en matière de réversibilité des données et des traitements.

Ces mêmes acteurs se trouvent d'ailleurs souvent exposés à un second cadre de conformité, distinct mais concomitant : celui de l'AI Act et de la définition du système d'IA à haut risque, dès lors qu'ils fournissent également les modèles ou infrastructures d'intelligence artificielle utilisés par leurs clients du secteur financier.

Le risque de concentration au cœur du dispositif

Le risque de concentration constitue l'une des préoccupations centrales des autorités de supervision : il se matérialise lorsqu'un nombre important d'entités financières dépend du même fournisseur, ou d'un nombre restreint de fournisseurs, pour des fonctions essentielles à leur activité. Une défaillance majeure d'un fournisseur cloud ou d'une plateforme technique transversale pourrait ainsi produire des effets simultanés sur plusieurs acteurs de marché. Cette logique de risque systémique, propre au secteur financier, rejoint d'ailleurs une préoccupation plus large que l'on retrouve dans d'autres textes européens portant sur la chaîne de valeur des grandes entreprises, telle qu'encadrée par la directive CS3D sur le devoir de vigilance : dans les deux cas, le législateur européen cherche à responsabiliser des acteurs centraux au regard des risques qu'ils font peser sur l'ensemble d'un écosystème, qu'il s'agisse de droits humains et d'environnement pour la CS3D, ou de stabilité financière pour DORA.

Les enjeux commerciaux pour les prestataires

Pour les prestataires eux-mêmes, l'enjeu dépasse la seule dimension juridique et touche directement à leur modèle commercial. Ils doivent anticiper des coûts de mise en conformité liés aux audits et à la supervision renforcée, revoir leurs modèles contractuels standards pour intégrer par défaut les exigences de DORA, et peuvent, à l'inverse, transformer cette conformité en argument commercial différenciant auprès de leurs clients du secteur financier.

La responsabilité de l'entité financière reste entière malgré la supervision européenne

Il convient enfin de lever une dernière ambiguïté, particulièrement importante en pratique : la mise en place d'une supervision européenne directe sur certains prestataires ne dispense en rien l'entité financière de ses propres obligations de conformité.

La supervision européenne ne transfère pas la responsabilité

La désignation d'un fournisseur comme prestataire critique ne transfère jamais la responsabilité de conformité de l'entité financière vers le superviseur européen. La banque, l'assureur ou la société de gestion demeure seule responsable du respect de ses obligations DORA, y compris lorsqu'elle externalise une fonction essentielle auprès d'un prestataire par ailleurs supervisé au niveau européen. Cette articulation rappelle, par analogie, le principe déjà bien établi en matière de devoir de vigilance : une société mère reste responsable de sa chaîne de sous-traitance, quand bien même certains de ses partenaires feraient l'objet d'un encadrement réglementaire propre.

Le registre d'informations (ROI) : une obligation continue

L'entité financière doit tenir à jour un registre des accords contractuels conclus avec ses prestataires TIC, transmis à son autorité de contrôle nationale et consolidé au niveau européen. L'échéance de transmission pour l'exercice 2026 est fixée au 20 mars pour les entités concernées, l'exercice ayant été allégé cette année pour les structures n'ayant connu aucun changement significatif par rapport à l'année précédente.

Anticiper la gestion de la sous-traitance en chaîne

Un prestataire critique peut lui-même recourir à des sous-traitants pour exécuter tout ou partie de ses engagements, lesquels entrent alors dans la chaîne de dépendance numérique de l'entité financière au même titre que le prestataire de premier rang. Il est donc nécessaire d'étendre la cartographie des risques au-delà du seul cocontractant direct, afin d'identifier les points de vulnérabilité qui pourraient exister plus en aval dans la chaîne de sous-traitance technologique.

Foire aux questions sur DORA et le prestataire critique TIC

Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les directions juridiques et compliance confrontées à ce dispositif.

Qu'est-ce qu'un prestataire TIC critique au sens de DORA ?

Un prestataire TIC critique, ou CTPP, est un prestataire désigné par les autorités européennes de supervision (ESMA, EBA, EIOPA) comme susceptible d'avoir un impact systémique sur la stabilité, la continuité ou la qualité des services financiers dans l'Union. Cette désignation, distincte de la simple utilisation d'un prestataire pour une fonction sensible, déclenche un régime de supervision directe au niveau européen.

Quels critères permettent de désigner un prestataire comme critique ?

La désignation repose sur des critères qualitatifs et quantitatifs définis par le règlement délégué (UE) 2024/1502 : l'importance systémique du prestataire, le nombre d'entités financières dépendantes de ses services, la substituabilité du service, la criticité des fonctions supportées et le degré de concentration du marché autour d'un nombre restreint de fournisseurs.

La désignation modifie-t-elle immédiatement le contrat en cours ?

Non. La désignation d'un prestataire comme critique ne modifie pas automatiquement les contrats déjà conclus avec les entités financières. Son impact contractuel se matérialise surtout à l'occasion du renouvellement du contrat ou de la négociation d'avenants intégrant les nouvelles exigences réglementaires.

Une entité financière reste-t-elle responsable si son prestataire est un CTPP supervisé ?

Oui. La supervision européenne directe des prestataires critiques ne transfère jamais la responsabilité de conformité DORA vers le superviseur européen. L'entité financière demeure seule responsable du respect de ses obligations, y compris lorsqu'elle recourt à un prestataire par ailleurs supervisé au niveau européen.

Quels acteurs figurent sur la première liste des prestataires critiques publiée en 2025 ?

La première liste, publiée le 18 novembre 2025 par les autorités européennes de surveillance, comprend plusieurs grands fournisseurs cloud et éditeurs technologiques d'envergure internationale actifs auprès du secteur financier européen. Cette liste est appelée à évoluer chaque année, sur la base du registre d'informations mis à jour par les entités financières.

Conclusion

DORA introduit, avec la notion de prestataire critique désigné, un mécanisme sans précédent dans la régulation financière européenne : la supervision directe d'acteurs technologiques qui échappaient jusqu'alors à tout encadrement sectoriel propre. Cette avancée ne doit toutefois pas occulter une distinction essentielle, souvent négligée en pratique : le statut de CTPP, la qualification d'une fonction comme critique ou importante, et la simple utilisation d'un prestataire de services TIC relèvent de trois logiques juridiques différentes, qui n'emportent pas les mêmes conséquences contractuelles.

Cette exigence de qualification précise avant toute action se retrouve, sous une autre forme, dans le calendrier encore incertain de la transposition française de la CS3D, où trois échéances distinctes ne doivent pas davantage être confondues.

Pour les entités financières, l'enjeu de 2026 ne se limite donc pas à vérifier si leurs prestataires figurent sur la liste publiée en novembre 2025. Il s'agit, plus largement, d'auditer chaque contrat TIC à l'aune de la qualification propre de la fonction soutenue, de documenter cette analyse dans le registre d'informations, et de se rappeler, en toute hypothèse, que la responsabilité de la conformité DORA ne se délègue jamais entièrement à un prestataire, fût-il supervisé au niveau européen.

‍