Prestataire tiers TIC DORA : définition et suivi

Réponse rapide — Un prestataire tiers TIC DORA est une entreprise qui fournit des services numériques ou de données de façon permanente via des systèmes informatiques. La désignation européenne CTPP ne dispense pas l'entité de sa propre gestion du risque : le registre et le suivi couvrent tous les prestataires TIC.

Situation	Ce que ça change	Ce que ça ne change pas
Prestation = service TIC	Entrée dans le registre ; revue contrat art. 30	La responsabilité reste celle de l'entité
Prestataire désigné CTPP	Supervision européenne du prestataire critique	L'entité garde sa gestion du risque et son RoI complet
Délégataire de gestion (SGP)	Qualification prestataire TIC si service listé à l'annexe III du 2024/2956	Pas d'exemption registre / contrats au motif « délégation AMF »

Un prestataire tiers TIC DORA est, au sens du règlement, une entreprise qui fournit des services numériques ou de données de manière permanente par l'intermédiaire de systèmes informatiques. Cette notion élargit le suivi au-delà des fournisseurs classés « IT » par les Achats. Elle entraîne trois conséquences principales : recenser les prestations concernées, adapter les contrats et conserver la responsabilité de leur maîtrise.

C'est quoi un prestataire tiers TIC

L'article 3 du règlement DORA donne une définition volontairement large : un « prestataire tiers de services TIC » est « une entreprise qui fournit des services TIC ». La nature ou le secteur d'activité déclaré du fournisseur ne suffit donc pas à décider s'il entre dans cette catégorie.

Le même article définit les « services TIC » comme des services numériques et de données fournis de manière permanente par l'intermédiaire de systèmes de TIC à des utilisateurs internes ou externes. La notion couvre également le matériel en tant que service et certains services matériels comprenant une assistance technique assurée au moyen de mises à jour logicielles ou micrologicielles, à l'exclusion de la téléphonie analogique traditionnelle.

Le critère déterminant est ainsi le service réellement fourni. Un fournisseur présenté comme cabinet de conseil peut relever de cette qualification s'il met durablement à disposition une plateforme numérique. À l'inverse, une dépense engagée auprès d'une entreprise technologique ne constitue pas automatiquement un service TIC : il faut examiner l'objet et les modalités de la prestation.

Exemples concrets

Pour une société de gestion de portefeuille, plusieurs prestations courantes correspondent à cette définition :

• l'hébergement cloud d'une application métier ou de données de portefeuille ;
• un logiciel SaaS de gestion de portefeuille, de contrôle des risques ou de conformité ;
• un service externalisé de supervision de la cybersécurité, tel que la détection et le traitement des alertes ;
• une prestation d'infogérance comprenant l'exploitation, la maintenance ou le support des systèmes informatiques.

Ces services ont en commun d'être délivrés de manière permanente au moyen de systèmes informatiques. Le fournisseur intervient dans le fonctionnement quotidien du dispositif numérique de la SGP, même lorsqu'il n'est pas identifié comme un prestataire informatique dans les référentiels internes.

En pratique, c'est souvent là que ça coince : la catégorie renseignée dans l'outil Achats ne reflète pas nécessairement le service livré. Un fournisseur enregistré sous « conseil » peut fournir un accès SaaS continu ; un contrat d'« assistance » peut inclure l'administration d'une infrastructure. Le premier inventaire doit donc partir des contrats, des bons de commande et des usages opérationnels, et non de la seule catégorie comptable ou Achats.

Cas SGP : le délégataire de gestion comme prestataire TIC

Pour une société de gestion, un délégataire de gestion doit être qualifié de prestataire tiers de services TIC si son service figure à l'annexe III du règlement d'exécution (UE) 2024/2956. C'est le critère retenu par la FAQ ACPR du 20/03/2026, sans valeur juridique (Q30) — pas le seul libellé « délégation » dans le prospectus ou le contrat AMF.

Conséquence : le délégataire concerné entre dans le registre d'information et dans la revue contractuelle article 30, au même titre qu'un hébergeur ou un SaaS métier.

Ce que ça change pour vous

La qualification d'une prestation comme service TIC ne se limite pas à une question de vocabulaire. Elle modifie concrètement son suivi sur trois plans.

1. Le registre des informations. La relation contractuelle doit être recensée dans le registre prévu par DORA avec les informations attendues sur le prestataire, le service fourni et son utilisation par l'entité. Le registre ne peut donc pas être construit uniquement à partir d'une liste historique de fournisseurs IT.

2. L'encadrement contractuel. Le contrat doit être examiné au regard des exigences DORA applicables aux services TIC. L'objectif est de vérifier que les droits, obligations et modalités de maîtrise du service sont suffisamment formalisés, sans présumer qu'un contrat standard SaaS ou d'infogérance est déjà adapté.

3. La responsabilité de l'entité financière. Le recours à un prestataire tiers ne transfère pas la responsabilité réglementaire. L'entité financière demeure pleinement responsable du respect de ses obligations DORA, y compris lorsque l'exploitation technique, l'hébergement ou la surveillance ont été externalisés.

Une solution SaaS métier fournit un exemple simple : elle doit être identifiée dans le registre, couverte par un contrat adapté et suivie par la SGP qui l'utilise. La délégation de l'exécution technique ne vaut pas délégation de responsabilité.

Liste des prestataires TIC critiques (CTPP)

Les autorités européennes de surveillance (AES) ont publié le 18 novembre 2025 la liste des prestataires TIC critiques (CTPP).

Ce que la désignation change : le prestataire critique entre dans un régime de supervision européenne spécifique.

Ce que la désignation ne change pas pour l'entité financière (FAQ ACPR du 20/03/2026, sans valeur juridique, notamment Q16/Q27) :

• la gestion du risque lié aux TIC reste à sa charge ;
• le registre d'information doit continuer de couvrir tous les prestataires TIC (critiques ou non) ;
• les obligations contractuelles (article 30) ne sont pas « absorbées » par le statut CTPP.

Pour le suivi dans la durée, voir Suivi des prestataires critiques. Pour le parcours outil, voir TPRM / tiers ICT.

Pour aller plus loin

Une fois les prestataires tiers de services TIC identifiés, l'étape suivante consiste à examiner leurs contrats et les modalités de suivi associées. Consultez les clauses contractuelles obligatoires DORA prévues par l'article 30 pour approfondir ce volet. La page officielle de l'ESMA consacrée à DORA permet également de suivre le cadre européen et ses textes associés.

Questions fréquentes

Qu'est-ce qu'un prestataire tiers TIC sous DORA ?

Une entreprise qui fournit des services numériques ou de données de manière permanente via des systèmes informatiques (art. 3 DORA).

La liste CTPP dispense-t-elle de suivre les autres prestataires ?

Non. Le registre et la gestion du risque couvrent tous les prestataires TIC ; la CTPP ajoute une supervision européenne du prestataire critique.

Un délégataire de gestion est-il un prestataire TIC ?

Il doit l'être si son service figure à l'annexe III du règlement d'exécution (UE) 2024/2956 (FAQ ACPR du 20/03/2026, sans valeur juridique, Q30).

Que faire en premier après la qualification ?

Recenser dans le registre, revoir le contrat (art. 30), conserver la responsabilité de maîtrise.