Registre d’informations TIC

DORA impose à chaque entité financière de tenir un registre des accords contractuels conclus avec ses prestataires tiers de services TIC. L'objet est simple à énoncer et lourd à produire : savoir qui fournit quoi, pour quelle fonction, avec quel niveau de criticité, et jusqu'où descend la chaîne de sous-traitance.

Sa particularité, dans un paysage réglementaire qui laisse d'ordinaire la forme libre, est que le format est imposé. Le règlement d'exécution (UE) 2024/2956 en fixe les modèles à ses annexes I à IV : un classeur composé de tables liées entre elles, avec des identifiants normalisés. C'est un exercice de données plus que de rédaction — identifiants d'entité, fonctions supportées, criticité, pays de traitement des données, sous-traitance en chaîne — et la difficulté tient à la cohérence entre les tables, pas à la prose.

Le registre n'est pas un document que l'on écrit une fois. Il vit au rythme des contrats signés, renouvelés et résiliés, et il doit être exact au moment où l'autorité le demande. C'est la raison pour laquelle il se prépare en amont, en même temps que la revue des contrats fournisseurs, et non la veille d'une demande.