Le registre d’information DORA est celui de la société de gestion, pas celui de son prestataire : si vous attendez de lui un fichier tout fait, vous déposerez en 2027 des données que vous n’avez pas vérifiées.

L’idée reçue circule pourtant : « Mon prestataire informatique a son registre, le mien est donc couvert. » Elle casse sur un point précis, et il tient en une phrase du règlement.

Que dit réellement DORA du registre ?

L’article 28, paragraphe 3 du règlement DORA oblige l’entité financière à tenir et à mettre à jour un registre de tous ses accords contractuels portant sur des services TIC fournis par des tiers. L’entité financière, donc vous. Le prestataire n’est pas désigné.

Côté calendrier, l’AMF indique que la collecte 2027 devrait débuter au premier trimestre 2027 et porter sur les données de l’année 2026 (communication AMF, relayée par l’AFG). La date exacte de dépôt n’est pas donnée.

Ce que le prestataire peut vous remettre

Son identité exacte, la description des services, leur localisation, ses propres sous-traitants. Il doit le faire vite et sans qu’on le relance trois fois, et nous pensons qu’un prestataire qui y rechigne est déjà un sujet de risque.

Ce qu’il ne peut pas faire : dire à votre place quelle fonction de votre société dépend de ce service, ni si cette fonction est critique. Ce lien-là n’existe que chez vous.

Registre DORA : qui fait quoi ? Deux colonnes côte à côte. À gauche, en bleu ciel, « Le prestataire remet » : identité, services et localisation, sous-traitants. À droite, en orange, « Vous seul pouvez faire » : lier chaque service à une fonction, dire si elle est critique, valider et dater au 31 décembre 2026. Une flèche va de la colonne du prestataire vers la vôtre : ses éléments entrent dans votre registre, ils ne le constituent pas. Une accolade sous les deux colonnes rappelle que le registre d'information rassemble les deux, sous votre responsabilité. Registre DORA : qui fait quoi ? Le prestataire remet Identité Services et localisation Sous-traitants VITE, PAR ÉCRIT, SANS RELANCE Vous seul pouvez faire 1 2 3 Lier chaque service à une fonction Dire si elle est critique Valider et dater au 31 déc. 2026 CE LIEN N'EXISTE QUE CHEZ VOUS Votre registre d'information : les deux colonnes, sous votre responsabilité
Le prestataire fournit des éléments ; le lien avec vos fonctions, et la validation, restent chez vous.

Que faire d’ici le 31 décembre ?

Il reste 82 jours. Demandez par écrit à chaque prestataire ses éléments, avec une date de retour. Rapprochez-les de vos contrats et de vos fonctions critiques. Puis figez le registre tel qu’il est au 31 décembre 2026, faites-le valider par une personne nommée, et archivez-le avec la date. Cette photo datée est une recommandation de notre part, aucun texte ne l’impose, mais elle vous évite de reconstituer 2026 en février.

Pour structurer la demande, les checklists du guide DORA d’ITAIA donnent une trame, et notre modèle de registre détaille la méthode.

Gregory Moulis, directeur général chez ITAIA

Gregory vous reçoit pendant 30 minutes pour regarder ce qui manque à votre registre avant la fin de l’année : prendre rendez-vous.

Sources : Règlement (UE) 2022/2554, article 28 · Communication AMF sur la collecte des RoI 2027 (via AFG) · ACPR, page DORA