Le registre des informations DORA : un guide pratique
Si votre organisation est une entité financière exerçant ses activités dans l'UE, le registre d'informations prévu par la loi DORA n'est pas une simple formalité administrative facultative. Il s'agit d'une obligation légale, déjà en vigueur. La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, ou DORA) est entrée en vigueur le 17 janvier 2025. À compter de cette date, les entreprises concernées doivent disposer d'un registre complet et à jour de tous les accords contractuels qu'elles ont conclus avec des prestataires de services informatiques tiers.
Sur le papier, cela semble simple. Dans la pratique, cela s’est avéré être l’une des obligations de déclaration les plus exigeantes auxquelles les entités financières aient été confrontées depuis des années. L’Autorité bancaire européenne (ABE) a mené un exercice de simulation en 2024 dans le but précis d’identifier les problèmes avant le début des déclarations officielles. Malgré cela, les problèmes qu’elle avait repérés continuaient d’apparaître lors des tests jusqu’en 2025.
Cet article explique en détail les exigences réelles du registre d’informations DORA. Il explique pourquoi les autorités de régulation l’ont conçu de cette manière et ce que les conclusions de l’ABE en matière de qualité des données suggèrent que votre équipe devrait vérifier attentivement avant de procéder au dépôt.
Qu'est-ce que le registre d'informations DORA ?
Le registre d'informations DORA est un inventaire structuré des relations d'une entité financière avec des tiers dans le domaine des technologies de l'information et de la communication (TIC). Il doit être tenu à trois niveaux : celui de l'entité, celui du périmètre sous-consolidé et celui du périmètre consolidé. Une entreprise autonome établit ses rapports différemment d'un groupe bancaire comptant plusieurs filiales. Dans les deux cas, le registre doit être à jour et exact.
Il ne s'agit pas non plus d'une déclaration ponctuelle. Les entités financières doivent tenir ce registre à jour en permanence. Elles le transmettent ensuite à leur autorité compétente sur demande. Cette dernière transmet à son tour les registres collectés aux autorités européennes de surveillance, appelées « AES », en vue de leur utilisation ultérieure.
Le champ d'application est ici également déterminant. La directive DORA s'applique de manière générale à l'ensemble du secteur financier de l'UE. Elle couvre les banques, les assureurs et les entreprises d'investissement. Les établissements de paiement et une longue liste d'autres entités réglementées relèvent également de son champ d'application. Si votre organisation relève de la directive DORA, l'obligation d'enregistrement des informations s'applique très certainement à vous.
Pourquoi le registre DORA des informations existe-t-il ?
Les autorités de régulation n'ont pas mis en place cette obligation de déclaration dans le seul but d'alourdir la charge administrative. Au contraire, le registre d'informations DORA répond à trois objectifs distincts. Chacun d'entre eux détermine la forme que doivent prendre les données.
Tout d'abord, cela permet aux entités financières de surveiller leurs propres risques liés aux tiers dans le domaine des TIC. Un registre complet met en évidence les risques de concentration. Imaginons, par exemple, que cinq fonctions métier essentielles dépendent toutes du même fournisseur de services cloud. Ce schéma apparaît clairement dans les données, au lieu de rester dissimulé dans cinq dossiers contractuels distincts.
D'autre part, cela fournit aux autorités compétentes de l'UE un outil de surveillance. Les régulateurs peuvent ainsi évaluer la manière dont les entreprises gèrent les risques liés aux TIC et aux tiers sans avoir à attendre qu'un incident vienne mettre en évidence les lacunes.
Troisièmement, et c’est peut-être le plus important, les AES utilisent les registres agrégés pour désigner les fournisseurs tiers de TIC d’importance systémique. Ceux-ci sont souvent désignés par l’acronyme CTPP. Une fois qu’un fournisseur obtient cette désignation, il est soumis à une surveillance directe au niveau de l’UE. En d’autres termes, le registre d’informations ne concerne pas seulement la conformité de votre entreprise. C’est également le mécanisme qui identifie quels fournisseurs de cloud et de technologies revêtent une importance systémique pour l’ensemble du secteur financier européen.
Ce qu'a révélé la simulation de 2024
Avant le début de la déclaration officielle, les autorités de surveillance européennes (ESA) ont mené un exercice de simulation tout au long de l’année 2024. Dans ce cadre, les entités financières de toute l’Union européenne ont transmis des registres à titre d’essai. Cela a permis aux régulateurs, ainsi qu’aux entreprises elles-mêmes, d’identifier d’éventuels problèmes avant que cette obligation n’acquière une valeur juridique effective.
Cette simulation n’était pas non plus un simple projet pilote. Elle comprenait des ateliers avec les acteurs du secteur, un modèle de rapport spécifique et un projet de taxonomie. Elle s’accompagnait également de ses propres contrôles de qualité des données. L’ABE a ensuite publié un rapport de synthèse, ainsi qu’une fiche d’information expliquant les objectifs de cet exercice.
Cette préparation s’est avérée cruciale, car elle a permis de mettre en lumière très tôt des problèmes structurels. À l’issue de l’exercice de 2024, l’ABE a publié ses observations issues de l’examen des déclarations officielles de RoI. Ces conclusions ont mis en évidence des problèmes communs majeurs identifiés dans l’ensemble du secteur. Concrètement, cela signifie que les entreprises ne se contentaient pas de commettre des erreurs sur des données ponctuelles. Elles se heurtaient à des problèmes récurrents et systémiques liés à la manière même dont elles structuraient et validaient leurs registres.
Aspects techniques du registre d'informations DORA
La saisie des informations dans le registre DORA ne consiste pas simplement à remplir librement un tableur. Au contraire, le format de déclaration est strictement défini dans un cahier des charges technique officiel.
Au cœur de ce dispositif se trouvent les normes techniques d’exécution (ITS) relatives au registre d’informations. Celles-ci ont été adoptées et publiées au Journal officiel de l’Union européenne. Sur cette base, l’ABE gère un modèle de données complet. Celui-ci comprend un dictionnaire du modèle de points de données ainsi qu’un schéma de tableau annoté définissant chaque champ qu’une entreprise pourrait être amenée à remplir.
Les déclarations doivent, en définitive, être conformes à une taxonomie reposant sur l'architecture XBRL-CSV. Des fichiers types et un ensemble complet de taxonomies sont mis à la disposition des entreprises afin qu’elles puissent les tester avant de procéder à la déclaration effective. De plus, l’ABE publie des règles de validation. Elle fournit également un aperçu détaillé des contrôles techniques et métier qu’elle applique à chaque déclaration. Il existe même un ensemble de rapports au format CSV simple pour les entreprises qui souhaitent une solution plus simple que l’utilisation complète des outils XBRL, ainsi qu’un outil de conversion permettant de passer d’un format à l’autre.
Ce niveau de précision technique s'explique par une raison bien précise. Les données proviennent de centaines d'entités financières, réparties dans différents pays et utilisant différents systèmes internes. Il faut ensuite regrouper toutes ces informations en un ensemble de données cohérent que les AES puissent réellement analyser.
Pièges courants liés au registre des déclarations d'informations DORA
Compte tenu du caractère très technique du format, il n’est pas surprenant que la qualité des données soit un thème récurrent. L’ABE a publié des documents explicatifs sur les retours d’information relatifs à la qualité des données que les entreprises reçoivent à l’issue des contrôles de validation. Elle met également à disposition des exemples de réponses concernant la qualité des données, afin que les entreprises puissent se faire une idée de ce à quoi ressemble un rapport d’erreurs avant d’en recevoir un elles-mêmes.
Plusieurs tendances se dégagent de ces données. Les entreprises ont parfois du mal à classer correctement les activités faisant l'objet d'une licence, ce qui nécessite de se référer à une annexe spécifique répertoriant les valeurs possibles. D'autres rencontrent des difficultés quant à la manière dont les registres sous-consolidés et consolidés s'articulent entre eux. Le reporting au niveau du groupe introduit des interdépendances qu'un registre portant sur une seule entité n'a tout simplement pas à gérer.
L'ABE tient également à jour une FAQ sur le registre des déclarations d'informations, mise à jour à mesure que de nouvelles questions apparaissent. Il convient de considérer cette FAQ comme un document évolutif plutôt que comme un document à consulter une seule fois. Elle reflète les problèmes que l'ABE constate réellement dans les données transmises, et non des cas limites hypothétiques.
Comment se préparer à la déclaration au registre DORA des informations
Si votre organisation n'a pas encore mis en place un processus standardisé à cet effet, certaines priorités peuvent faire toute la différence.
Commencez par recenser tous les contrats informatiques conclus par votre organisation avec des tiers, et pas seulement ceux avec les fournisseurs de cloud les plus évidents. La définition des services informatiques tiers donnée par la DORA est large. Les lacunes dans votre inventaire des contrats se traduisent par des lacunes dans votre registre, et ce sont précisément ces lacunes que les contrôleurs sont formés à repérer. Ensuite, désignez clairement les responsables chargés de maintenir cet inventaire à jour. Le registre n’est pas un exercice ponctuel. Les contrats évoluent et les fournisseurs changent ; le registre doit donc refléter ces changements en temps quasi réel.
À partir de là, effectuez dès que possible des tests par rapport aux règles de validation publiées par l’ABE. N’attendez pas la date limite de dépôt pour découvrir un problème de mise en forme que vous auriez pu repérer des mois plus tôt. L’exercice de simulation et le rapport sur les problèmes courants qui s’ensuit ont tous deux pour objectif spécifique de permettre aux entreprises de tirer les leçons des erreurs commises par d’autres plutôt que des leurs. Enfin, si votre organisation met déjà en œuvre d’autres programmes de conformité aux normes européennes, recherchez les recoupements. Le travail d’évaluation des risques liés aux fournisseurs, qui sous-tend la conformité à la norme ISO 27001 ou à la directive NIS2, correspond souvent étroitement aux données de tiers désormais exigées par la DORA, mais sous un format plus structuré et plus adapté à la production de rapports.
À retenir
Le registre d’informations DORA a désormais dépassé le stade de la planification. Il s’agit désormais d’une obligation contraignante et effective, étayée par un ensemble détaillé de rapports techniques et par un corpus de conclusions concrètes sur la qualité des données issues des propres tests de l’ABE. Les entreprises qui gèrent efficacement cette obligation ne sont pas celles qui la considèrent comme une course contre la montre annuelle. Ce sont celles qui tiennent à jour un inventaire précis et constamment actualisé de leurs relations avec des tiers dans le domaine des TIC, validé au regard des règles publiées par l’ABE bien avant l’échéance de dépôt.
Si vous n’avez pas encore testé votre registre au regard des règles de validation de l’ABE, c’est la prochaine étape la plus utile. Tout le reste de ce processus repose sur le fait que ces données soient correctement structurées dès le départ.
Pour en savoir plus, consultez votre guide de mise en conformité avec la loi sur la cyber-résilience, votre aperçu des exigences de la directive NIS2 et votre liste de contrôle pour la documentation relative à la norme ISO 27001.
