Le registre d'informations est l'inventaire, exigé par l'article 28 du règlement DORA, de tous les accords contractuels qu'une entité financière a conclus avec des prestataires de services TIC. Tenu à jour en continu et transmis au superviseur (AMF, ACPR) lors des collectes annuelles, il distingue les services qui soutiennent des fonctions critiques ou importantes et retrace la chaîne de sous-traitance.
Sur le papier, c'est un tableau. En pratique, c'est l'exercice DORA qui révèle le plus vite les angles morts d'une société de gestion : les contrats jamais relus, les outils SaaS souscrits sans revue, les sous-traitants de vos prestataires dont personne ne connaît le nom. Voici ce que le registre doit contenir, comment le construire en quatre étapes, et un modèle prêt à remplir.
Qui doit le tenir, et sur quel fondement
L'article 28(3) de DORA impose le registre à toutes les entités financières : sociétés de gestion, fonds, entreprises d'investissement, courtiers, établissements de paiement, quelle que soit leur taille. Il se tient à trois niveaux quand ils existent (entité, sous-consolidé, consolidé) et couvre tous les accords contractuels TIC, pas seulement ceux jugés critiques : la criticité est une colonne du registre, pas un filtre d'entrée.
Le format n'est pas libre : le règlement d'exécution (UE) 2024/2956 fixe les modèles de l'EBA (les « templates ITS »), avec leurs champs normalisés et leurs identifiants (LEI notamment). Les superviseurs collectent les registres depuis le printemps 2025, et l'exercice est désormais récurrent : l'AMF et l'ACPR peuvent en outre demander le registre à tout moment, en contrôle comme après un incident.
Cette page vous a aidé ? C’est notre métier.
- Support 8h-20h · 7j/7
- SOC 24/7
- < 10 min
- Équipe dédiée
Un ingénieur décroche · prise en charge moyenne < 10 min · 7j/7 de 8h à 20h · devis sans frais de mise en service. Standard fermé pour le moment (ouvert 7j/7 de 8h à 20h) : choisissez votre créneau, un ingénieur vous rappelle · devis sans frais de mise en service. Simuler mon devis en ligne : prix publics dès 55 € HT par poste, résultat immédiat, aucun formulaire →
Les informations à consigner, champ par champ
| Champ | Ce qu'on y inscrit | Où trouver l'information |
|---|---|---|
| Prestataire et identifiant | Dénomination légale, LEI (ou SIREN/EUID à défaut) | Le contrat ; bases GLEIF ou registre du commerce pour l'identifiant |
| Type de service TIC | La catégorie selon la nomenclature EBA : infogérance, cloud, sauvegarde, sécurité managée, logiciel… | Le descriptif contractuel du service |
| Fonction soutenue et criticité | La fonction de l'entreprise que le service soutient, et si elle est critique ou importante au sens de DORA | Votre cartographie des fonctions ; à défaut, c'est l'occasion de la faire |
| Localisation | Pays de fourniture du service et de stockage des données | Le contrat et ses annexes de traitement des données |
| Vie du contrat | Dates de début et d'échéance, préavis de résiliation, droit applicable | Le contrat |
| Chaîne de sous-traitance | Les sous-traitants de vos prestataires (rang 2 et plus) qui participent au service, surtout sur les fonctions critiques | À demander au prestataire ; il doit savoir répondre |
| Stratégie de sortie | Réversibilité prévue (restitution des données, accès, documentation) et difficulté de remplacement du prestataire | La clause de réversibilité ; son absence est en soi une information |
La méthode en quatre étapes
1. Recenser tous les accords. Contrats d'infogérance et de cloud, mais aussi les licences SaaS souscrites au fil de l'eau, souvent par carte bancaire et hors de tout circuit de validation. La facturation et les relevés bancaires sont un bon filet de rattrapage.
2. Qualifier les fonctions. Pour chaque service, identifier la fonction de l'entreprise qu'il soutient et trancher son caractère critique ou important : celle dont la défaillance compromettrait l'agrément, les obligations réglementaires ou la continuité de l'activité. C'est la colonne que le superviseur regarde en premier.
3. Collecter les données prestataires. C'est le gros du travail : identifiants, localisations, sous-traitants de rang 2, stratégie de sortie. Un questionnaire envoyé à chaque prestataire fait gagner des semaines ; notre page questions à poser à son prestataire TIC en donne la trame.
4. Installer la tenue à jour. Un registre daté d'il y a dix-huit mois dessert plus qu'il ne protège. Revue au minimum annuelle, et mise à jour à chaque événement : nouveau contrat, avenant, résiliation, incident majeur. En cas de changement de prestataire, le registre se met à jour avant la bascule, en même temps que la récupération des journaux.
Ce que votre prestataire doit vous fournir
La moitié des champs du registre décrit vos prestataires : vous dépendez donc de leur coopération. Un prestataire au fait de DORA fournit sans qu'on le relance ses identifiants, ses localisations de service et de données, la liste de ses propres sous-traitants impliqués dans votre service, et une stratégie de sortie écrite. Chez ITAIA, ce paquet documentaire fait partie du service pour nos clients de la finance régulée, au même titre que les preuves techniques attendues lors des contrôles : le détail figure sur notre page conformité DORA.
À l'inverse, un prestataire incapable de nommer ses sous-traitants ou de produire une clause de réversibilité vous met en difficulté réglementaire : son silence deviendra une case vide de votre registre, sous votre responsabilité.
Et même quand il répond bien, son fichier ne remplace pas le vôtre : il ne sait pas quelle fonction de votre société dépend de son service, ni si elle est critique. Nous détaillons ce partage des rôles, et la date à retenir, dans Registre DORA : pourquoi le fichier de votre prestataire ne remplace pas le vôtre.
Le modèle à télécharger
Pour ne pas partir d'une feuille blanche : téléchargez notre modèle de registre d'informations (Excel). Il contient une feuille de consignes, les seize colonnes de travail alignées sur les champs clés des templates ITS, une ligne d'exemple à remplacer et des listes déroulantes pour la criticité et la substituabilité.
Une précision honnête : c'est un registre de travail. Il sert à collecter, structurer et tenir à jour la donnée ; la remise officielle au superviseur se fait, elle, au format des templates ITS lors de la collecte annuelle. Passer de l'un à l'autre est un exercice de transposition, pas de reconstruction.
Vos questions sur le registre d'informations
Qui est concerné par le registre d'informations DORA ?
Toutes les entités financières au sens de DORA : sociétés de gestion, fonds, entreprises d'investissement, courtiers en assurance au-delà des seuils, établissements de paiement et de monnaie électronique. La proportionnalité allège certaines exigences de DORA pour les petites structures, mais le registre lui-même reste dû.
À quelle fréquence faut-il le mettre à jour ?
En continu dans les faits : chaque nouveau contrat, avenant ou résiliation s'y reporte, et une revue complète au moins annuelle précède la collecte du superviseur. La date de dernière revue de chaque ligne fait partie des informations utiles à conserver, car elle prouve que le registre vit.
Que se passe-t-il si le registre est absent ou incomplet ?
C'est un manquement à une obligation directe du règlement, que l'AMF et l'ACPR relèvent en contrôle, avec les suites habituelles : demande de mise en conformité, injonction, et sanctions administratives dans les cas sérieux. Le risque le plus concret est ailleurs : sans registre, impossible de répondre vite et juste après un incident, au moment où le superviseur pose précisément ces questions.
Quelle différence avec le registre des sous-traitants du RGPD ?
Le registre RGPD (article 30) recense les traitements de données personnelles et leurs sous-traitants sous l'angle de la vie privée. Le registre DORA recense les accords TIC sous l'angle de la résilience opérationnelle : criticité des fonctions, chaîne de sous-traitance, stratégie de sortie. Les deux se recoupent sur certains prestataires mais ne se substituent pas l'un à l'autre ; le travail de recensement fait pour l'un accélère l'autre.
Besoin d'un coup de main pour le remplir ?
Si votre prestataire actuel ne vous a jamais parlé de ce registre, c'est un indice. Nos ingénieurs remplissent la partie prestataire pour nos clients et les aident à qualifier leurs fonctions critiques : 30 minutes suffisent pour cadrer l'exercice, modèle en main.
