Le 18 novembre 2025, les autorités européennes de supervision (EBA, ESMA, EIOPA) ont désigné une première liste de 19 prestataires TIC critiques, les CTPP, désormais supervisés directement au niveau européen. Bonne nouvelle : vos plus gros fournisseurs cloud sont regardés à la source. Mais attention au contresens, car cette supervision ne vous décharge de rien. Sous DORA, la responsabilité de votre résilience reste entièrement la vôtre, y compris pour la longue liste de prestataires qui, eux, ne seront jamais « critiques » au sens européen. C’est là que se joue le vrai sujet.

L’essentiel en trente secondes

DORA a créé un régime de supervision européen des prestataires TIC jugés systémiques pour le secteur financier. Les autorités en ont désigné 19 le 18 novembre 2025 : hyperscalers du cloud, éditeurs de logiciels, fournisseurs de données financières, télécoms, informatique managée. Ces acteurs relèvent maintenant d’un superviseur principal, d’obligations de reporting et d’analyses de risque, dont la conduite opérationnelle revient à des équipes conjointes d’examen réunissant les autorités européennes et nationales.

Pour une société de gestion, trois conséquences pratiques. Vos plus gros fournisseurs sont mieux surveillés. Votre responsabilité et votre registre d’information restent intacts, puisque vous devez toujours cartographier tous vos prestataires TIC et remettre ce registre à votre régulateur. Et l’essentiel de votre risque réel se loge chez les prestataires non critiques : votre infogéreur, vos petits éditeurs métier, vos accès délégués.

Qu’est-ce qu’un prestataire TIC critique ?

Un CTPP, pour Critical ICT Third-Party Provider, est un prestataire de services numériques dont la défaillance ferait courir un risque systémique au secteur financier européen, du fait de sa taille et de la concentration qu’il représente. DORA prévoit que ces acteurs soient supervisés directement au niveau européen, indépendamment des entités financières qui les utilisent.

La désignation ne s’est pas faite au jugé. Les autorités ont exploité les registres d’information que les entités financières leur remettent, puis conduit une évaluation de criticité intersectorielle portant sur trois critères : l’importance systémique du prestataire, son rôle dans le soutien de fonctions critiques ou importantes, et la substituabilité de ses services. Autrement dit, ce sont vos propres déclarations qui ont servi à dresser la liste.

C’est une avancée réelle : le risque de concentration sur quelques hyperscalers, longtemps un angle mort du secteur, entre enfin dans un cadre de contrôle formel.

Ce que cette supervision ne règle pas pour vous

Le piège serait de conclure que vos fournisseurs étant supervisés, vous seriez couvert. C’est faux, pour trois raisons.

Votre responsabilité reste entière. DORA ne transfère pas la responsabilité de votre résilience vers le superviseur du prestataire. Vous restez comptable devant l’ACPR et l’AMF de la maîtrise de vos risques liés aux tiers : contrats, stratégies de sortie, plans de continuité, tests.

La supervision ne couvre qu’une poignée d’acteurs. Dix-neuf prestataires, quand une société de gestion en compte des dizaines entre la messagerie, le cloud, l’infogérance, les éditeurs métier, les outils de reporting et la sauvegarde. La quasi-totalité de vos prestataires TIC ne sera jamais classée critique. Ils n’en restent pas moins des points de défaillance, et c’est vous qui devez les tenir.

Votre registre d’information doit tous les recenser. DORA impose de tenir un registre de l’ensemble des accords contractuels portant sur des services TIC et de le remettre à votre régulateur. Ce registre distingue les fonctions critiques ou importantes, identifie les prestataires, les chaînes de sous-traitance et les stratégies de sortie. La liste publiée par les autorités ne le remplit pas à votre place : elle vous dit seulement lesquels de vos fournisseurs sont, en plus, supervisés d’en haut.

Votre prestataire est votre risque : les questions à poser

Puisque l’essentiel de votre exposition se loge chez des prestataires qui ne seront jamais critiques, le contrôle se déplace sur votre capacité à les tenir. Quatre questions concrètes, à poser à chaque prestataire TIC et en commençant par votre infogéreur.

Qui, chez vous, peut accéder à mes systèmes, et qui le vérifie ? Les accès délégués d’un infogéreur à votre environnement Microsoft 365 ou Azure sont un chemin d’attaque privilégié. Ils doivent être nominatifs, à moindre privilège, journalisés et revus.

Que fournissez-vous exactement pour mon registre d’information ? Un prestataire mûr sait vous donner les éléments à y porter : nature du service, localisation des données, sous-traitants, caractère critique ou non de la fonction soutenue.

Vos engagements sont-ils mesurés et publiés, ou seulement promis ? Des délais affichés et suivis valent mieux qu’un discours commercial. C’est toute la différence entre du démontrable et du déclaré, et c’est aussi ce que nous détaillons dans nos accords de niveau de service.

Quelle est la stratégie de sortie ? Réversibilité documentée, formats de données ouverts, absence de verrou propriétaire. DORA l’exige, et c’est ce qui vous protège le jour où il faut changer. Le sujet est traité en détail dans notre guide pour changer de prestataire informatique.

Ce qu’ITAIA fournit en tant que prestataire TIC

ITAIA n’est pas un prestataire critique au sens des autorités européennes, et c’est très bien ainsi : nous ne sommes pas un hyperscaler systémique. Mais nous sommes un prestataire TIC de votre chaîne, et à ce titre nous nous appliquons la transparence que DORA vous demande d’exiger de vos tiers.

Concrètement, nos engagements de service sont publics et mesurés, avec une prise en charge en moins de 10 minutes en moyenne et 97 % de SLA respectés. Nos accès à vos environnements sont nominatifs, tracés et revus. Et nous fournissons les éléments dont vous avez besoin pour alimenter votre registre : nature des services, périmètre, sous-traitants, preuves de journalisation et de restauration testée. Notre page Transparence expose ce que nous livrons, sans zone grise.

Par indépendance, nous ne réalisons ni audit ni test d’intrusion sur les environnements que nous exploitons : on ne s’audite pas soi-même. Notre métier est le socle technique qui rend votre résilience démontrable, et le fait d’être un tiers que vous pouvez inscrire au registre sans mauvaise surprise.

Ce qu’il faut retenir

  • Dix-neuf prestataires désignés le 18 novembre 2025, supervisés directement au niveau européen : le risque de concentration cloud entre enfin dans un cadre.
  • Cela ne vous décharge de rien. Votre responsabilité, vos contrats, vos stratégies de sortie et votre registre d’information restent à votre charge.
  • Votre vrai risque est chez les prestataires non critiques, l’infogérance, les éditeurs métier et les accès délégués. C’est vous qui devez les tenir et le prouver.
  • Le registre doit recenser tous vos prestataires TIC, pas seulement les dix-neuf supervisés.
  • Un bon prestataire est transparent et démontrable, pas seulement conforme sur le papier.

Vous devez cartographier vos tiers TIC et alimenter votre registre d’information ? Prenez 30 minutes avec un ingénieur, sans engagement.

Sources