Prestataire tiers TIC DORA : définition et impact sur le suivi des fournisseurs IT

Un prestataire tiers TIC DORA est, au sens du règlement, une entreprise qui fournit des services numériques ou de données de manière permanente par l’intermédiaire de systèmes informatiques. Cette notion élargit le suivi au-delà des fournisseurs classés « IT » par les Achats. Elle entraîne trois conséquences principales : recenser les prestations concernées, adapter les contrats et conserver la responsabilité de leur maîtrise.

C’est quoi un prestataire tiers TIC

L’article 3 du règlement DORA donne une définition volontairement large : un « prestataire tiers de services TIC » est « une entreprise qui fournit des services TIC ». La nature ou le secteur d’activité déclaré du fournisseur ne suffit donc pas à décider s’il entre dans cette catégorie.

Le même article définit les « services TIC » comme des services numériques et de données fournis de manière permanente par l’intermédiaire de systèmes de TIC à des utilisateurs internes ou externes. La notion couvre également le matériel en tant que service et certains services matériels comprenant une assistance technique assurée au moyen de mises à jour logicielles ou micrologicielles, à l’exclusion de la téléphonie analogique traditionnelle.

Le critère déterminant est ainsi le service réellement fourni. Un fournisseur présenté comme cabinet de conseil peut relever de cette qualification s’il met durablement à disposition une plateforme numérique. À l’inverse, une dépense engagée auprès d’une entreprise technologique ne constitue pas automatiquement un service TIC : il faut examiner l’objet et les modalités de la prestation.

Exemples concrets

Pour une société de gestion de portefeuille, plusieurs prestations courantes correspondent à cette définition :

• l’hébergement cloud d’une application métier ou de données de portefeuille ;
• un logiciel SaaS de gestion de portefeuille, de contrôle des risques ou de conformité ;
• un service externalisé de supervision de la cybersécurité, tel que la détection et le traitement des alertes ;
• une prestation d’infogérance comprenant l’exploitation, la maintenance ou le support des systèmes informatiques.

Ces services ont en commun d’être délivrés de manière permanente au moyen de systèmes informatiques. Le fournisseur intervient dans le fonctionnement quotidien du dispositif numérique de la SGP, même lorsqu’il n’est pas identifié comme un prestataire informatique dans les référentiels internes.

En pratique, c’est souvent là que ça coince : la catégorie renseignée dans l’outil Achats ne reflète pas nécessairement le service livré. Un fournisseur enregistré sous « conseil » peut fournir un accès SaaS continu ; un contrat d’« assistance » peut inclure l’administration d’une infrastructure. Le premier inventaire doit donc partir des contrats, des bons de commande et des usages opérationnels, et non de la seule catégorie comptable ou Achats.

Ce que ça change pour vous

La qualification d’une prestation comme service TIC ne se limite pas à une question de vocabulaire. Elle modifie concrètement son suivi sur trois plans.

1. Le registre des informations. La relation contractuelle doit être recensée dans le registre prévu par DORA avec les informations attendues sur le prestataire, le service fourni et son utilisation par l’entité. Le registre ne peut donc pas être construit uniquement à partir d’une liste historique de fournisseurs IT.

2. L’encadrement contractuel. Le contrat doit être examiné au regard des exigences DORA applicables aux services TIC. L’objectif est de vérifier que les droits, obligations et modalités de maîtrise du service sont suffisamment formalisés, sans présumer qu’un contrat standard SaaS ou d’infogérance est déjà adapté.

3. La responsabilité de l’entité financière. Le recours à un prestataire tiers ne transfère pas la responsabilité réglementaire. L’entité financière demeure pleinement responsable du respect de ses obligations DORA, y compris lorsque l’exploitation technique, l’hébergement ou la surveillance ont été externalisés.

Une solution SaaS métier fournit un exemple simple : elle doit être identifiée dans le registre, couverte par un contrat adapté et suivie par la SGP qui l’utilise. La délégation de l’exécution technique ne vaut pas délégation de responsabilité.

Pour aller plus loin

Une fois les prestataires tiers de services TIC identifiés, l’étape suivante consiste à examiner leurs contrats et les modalités de suivi associées. Consultez les clauses contractuelles obligatoires DORA prévues par l’article 30 pour approfondir ce volet. La page officielle de l’ESMA consacrée à DORA permet également de suivre le cadre européen et ses textes associés.