Pour chaque service qui soutient une fonction critique ou importante, DORA vous oblige à connaître nommément les sous-traitants effectifs de votre prestataire informatique, à les faire figurer dans votre registre d’information et à savoir lesquels traitent vos données hors de l’Union européenne. Pas la catégorie. Le nom.

La plupart des sociétés de gestion que nous rencontrons ont rempli la case « prestataire » et laissé la chaîne en dessous à l’état de rumeur. C’est là que la supervision 2026 va appuyer.

Janvier 2025 : la Commission européenne coupe l’article 5

La chronologie de ce texte mérite d’être connue, parce qu’elle explique pourquoi les attentes des superviseurs sont plus floues qu’on ne le croit.

Les trois autorités européennes de surveillance (ABE, AEAPP, AEMF) avaient remis en juillet 2024 un projet de norme technique sur la sous-traitance des services TIC. Le 21 janvier 2025, la Commission européenne a refusé de l’adopter en l’état : son article 5, qui imposait aux entités financières de surveiller l’ensemble de la chaîne de sous-traitance, dépassait le mandat donné par DORA. Les autorités ont pris acte le 7 mars 2025. Le règlement délégué (UE) 2025/532 a été adopté le 24 mars 2025 et publié au Journal officiel le 17 avril 2025, article 5 supprimé.

Ce qui reste est plus resserré, et tient debout : le contrat doit décrire la chaîne de sous-traitance des services qui soutiennent une fonction critique, la localisation des traitements, les conditions dans lesquelles un sous-traitant peut être remplacé, et les droits d’accès et d’information qui survivent à la sous-traitance.

Cartographie de la chaîne de sous-traitance TIC sous DORA, sur trois rangs. La société de gestion contracte avec son prestataire TIC de rang 1. Au rang 2, l'hébergeur de la messagerie, la sauvegarde externalisée (traitement hors UE) et l'astreinte de nuit entrent au registre d'information ; le nettoyage des locaux reste hors périmètre. Au rang 3, l'hébergeur du sous-traitant se situe au-delà de la limite de visibilité du contrat de rang 1. Schéma ITAIA.
Le registre nomme ceux qui peuvent interrompre ou compromettre la fonction critique. La visibilité contractuelle de rang 1 s'arrête avant le rang 3 ; pas la panne.

Quels sous-traitants faut-il vraiment inscrire au registre d’information ?

Ceux qui soutiennent effectivement le service critique, pas l’annuaire fournisseurs de votre prestataire.

Un exemple concret. Votre infogéreur héberge votre messagerie chez Microsoft, sauvegarde vos boîtes chez un éditeur tiers, et sous-traite l’astreinte de nuit à une société qui dispose d’un accès administrateur à votre tenant. Les trois entrent dans le périmètre, parce que les trois peuvent interrompre ou compromettre le service. Le prestataire de nettoyage des locaux, non.

Le registre d’information reste dû au 31 mars, et ce que les superviseurs y regardent d’abord n’est pas la complétude : c’est la cohérence entre ce que déclare l’entité, ce que dit le contrat et ce que le prestataire est capable de produire s’il est interrogé séparément. Nous avons vu des écarts sur des lignes que personne n’avait relues depuis la signature.

Le point que le règlement ne tranche pas

Avec la suppression de l’article 5, aucun texte ne vous impose explicitement de surveiller en continu le sous-traitant de votre sous-traitant. L’obligation d’information existe, l’obligation de surveillance active de rang 2 et au-delà, non.

Nous assumons une position qui ne plaît pas à tout le monde : cette absence n’est pas une dispense. Le jour où l’hébergeur d’un sous-traitant de rang 2 tombe, c’est votre fonction critique qui s’arrête et c’est vous qui notifiez. Sur les 3 000 postes que nous administrons, deux incidents de service en 2026 ont eu leur cause réelle deux niveaux sous notre propre contrat. Aucun des deux n’était détectable depuis le contrat de rang 1.

La question de la profondeur exacte à documenter reste ouverte. Les 19 prestataires TIC critiques désignés sous supervision européenne directe donnent un point de repère utile, comme nous l’avons détaillé ici, mais ils ne couvrent qu’une fraction des dépendances réelles d’une société de gestion.

Comment obtenir la chaîne de sous-traitance de son prestataire informatique ?

En la demandant par écrit, avec une date de réponse, et en la comparant au contrat.

Le geste tient en une demande de quatre lignes adressée à votre responsable de compte : la liste nominative des sous-traitants intervenant sur chaque service critique, le pays de traitement pour chacun, le délai de préavis contractuel avant remplacement de l’un d’eux, et le nom de la personne qui signe cette liste. Un prestataire qui met plus de dix jours ouvrés à répondre à ces quatre points vous renseigne déjà sur sa capacité à tenir ses engagements le jour d’un incident.

Objection légitime : « mon prestataire va me répondre que c’est confidentiel ». Il peut le dire pour ses tarifs d’achat. Pas pour l’identité de qui accède à vos données, que le règlement délégué 2025/532 place dans le contrat. De notre côté, nous documentons nos propres dépendances de rang 2 en clair, Microsoft compris, et cette fiche part avec le contrat plutôt qu’après la troisième relance.

Le guide DORA d’ITAIA reprend cette demande sous forme de checklist à faire remplir par votre prestataire, avec les quatre points ci-dessus et l’endroit du registre où chaque réponse se reporte.

Trente minutes avec un de nos ingénieurs suffisent à dérouler votre chaîne service par service : réserver un créneau.

Sources