{"id":39289,"date":"2025-07-16T11:03:47","date_gmt":"2025-07-16T11:03:47","guid":{"rendered":"https:\/\/2b-advice.com\/?p=39289"},"modified":"2026-04-14T15:25:53","modified_gmt":"2026-04-14T13:25:53","slug":"dora-guide-de-surveillance-des-fournisseurs-tiers-critiques-ctpp","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2025\/07\/16\/dora-leitfaden-zur-aufsicht-ueber-kritische-drittanbieter-ctpp\/","title":{"rendered":"Guide DORA sur la surveillance des fournisseurs tiers critiques (CTPP)"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\n\t\t\t\t\t\"Image\n\t\t\t\t<\/a>\n\t\t\t\n\t\t\t
\n\t\t\t\t\t\t\t\t\t\n\t\t\t\t\t\t

\n\t\t\t\t\t\t\t Aristotelis Zervos\t\t\t\t\t\t<\/h4>\n\t\t\t\t\t<\/a>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Aristotelis Zervos, directeur de la r\u00e9daction de 2B Advice, allie expertise juridique et journalistique en Protection des donn\u00e9es<\/a>, la conformit\u00e9 informatique et la r\u00e9glementation de l'IA.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Depuis janvier, le Digital Operational Resilience Act (DORA) est appliqu\u00e9. En juillet, les autorit\u00e9s de surveillance europ\u00e9ennes EBA, ESMA et EIOPA ont pr\u00e9sent\u00e9 un guide pour la surveillance des fournisseurs de services TIC tiers critiques. L'accent est mis en particulier sur les fournisseurs tiers critiques de technologies de l'information et de la communication (Critical Third-Party Provider, CTPP).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Objectif et pertinence de la surveillance<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le guide DORA concr\u00e9tise les pouvoirs de surveillance des CTPP par les autorit\u00e9s de surveillance europ\u00e9ennes. Il s'inscrit dans l'approche r\u00e9glementaire globale de l'Union visant \u00e0 renforcer la r\u00e9silience num\u00e9rique du secteur financier. L'objectif central est de r\u00e9duire structurellement la vuln\u00e9rabilit\u00e9 des march\u00e9s financiers aux d\u00e9faillances des TIC (technologies de l'information et de la communication) et aux cyber-risques. Pour ce faire, le guide poursuit plusieurs objectifs interd\u00e9pendants :<\/p>

Il s'agit d'identifier et de minimiser \u00e0 un stade pr\u00e9coce les risques syst\u00e9miques r\u00e9sultant de la d\u00e9pendance croissante de nombreuses entreprises financi\u00e8res vis-\u00e0-vis d'un petit nombre de fournisseurs de services TIC performants. La probl\u00e9matique dite du risque de concentration, c'est-\u00e0-dire la d\u00e9pendance critique de nombreux acteurs du march\u00e9 vis-\u00e0-vis de certains fournisseurs, comporte des dangers consid\u00e9rables pour la stabilit\u00e9 de l'ensemble du syst\u00e8me financier. Le recensement et l'\u00e9valuation prudentiels de ces risques dans le cadre de DORA doivent permettre de rendre ces risques de concentration plus transparents et plus faciles \u00e0 g\u00e9rer.<\/p>

Il s'agit \u00e9galement de contribuer \u00e0 la stabilit\u00e9 intersectorielle du march\u00e9 financier europ\u00e9en. La d\u00e9finition et les crit\u00e8res d'\u00e9valuation uniformes des fournisseurs de services tiers critiques cr\u00e9ent non seulement une comparabilit\u00e9 r\u00e9glementaire, mais aussi une plateforme pour des mesures coordonn\u00e9es. Cela contribue \u00e0 la coh\u00e9rence des mesures de surveillance dans tous les sous-secteurs.<\/p>

Enfin, le renforcement de la r\u00e9silience op\u00e9rationnelle des entreprises financi\u00e8res elles-m\u00eames est une pr\u00e9occupation centrale. Les exigences de DORA ont un effet compl\u00e9mentaire sur les syst\u00e8mes internes de gestion des risques TIC existants des FE (Financial Entity). La surveillance directe des CTPP ne signifie pas que les entreprises financi\u00e8res peuvent se d\u00e9gager de leur responsabilit\u00e9. Au contraire, les connaissances externes doivent leur permettre de mieux prendre leurs propres d\u00e9cisions en fonction des risques.<\/p>

Dans la pratique, cela signifie que la surveillance des CTPP compl\u00e8te la surveillance existante des entreprises financi\u00e8res et ne la remplace pas. Les responsables de la conformit\u00e9 devront \u00e0 l'avenir garder un \u0153il sur les deux niveaux, leur propre organisation ainsi que ses d\u00e9pendances vis-\u00e0-vis de tiers critiques, et ce de mani\u00e8re \u00e9troitement imbriqu\u00e9e.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Structure de gouvernance de la surveillance DORA<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La structure de gouvernance de la surveillance DORA repose sur une architecture organisationnelle \u00e0 plusieurs niveaux et \u00e9troitement interconnect\u00e9e, qui doit garantir \u00e0 la fois la coordination intersectorielle et l'efficacit\u00e9 op\u00e9rationnelle. Trois acteurs centraux sont au c\u0153ur de cette structure :<\/p>

Les soi-disant Lead Overseer (LO)<\/strong> jouent le r\u00f4le de chef de file dans la surveillance des fournisseurs de services tiers critiques. Chacune des trois autorit\u00e9s europ\u00e9ennes de surveillance (EBA, ESMA, EIOPA) agit en tant que LO pour les CTPP qui sont principalement actifs dans leur secteur financier respectif. La d\u00e9termination se fait sur la base des totaux de bilan agr\u00e9g\u00e9s des entreprises financi\u00e8res concern\u00e9es qui font appel aux services de ce prestataire tiers. Le LO est responsable de la planification, de la mise en \u0153uvre et du suivi des mesures de surveillance \u00e0 l'\u00e9gard du prestataire concern\u00e9.<\/p>

Les activit\u00e9s de surveillance sont assur\u00e9es par \u00c9quipes d'examen conjointes (JET)<\/strong> de mani\u00e8re op\u00e9rationnelle. Ces \u00e9quipes sont compos\u00e9es d'experts des AES ainsi que des autorit\u00e9s de surveillance nationales comp\u00e9tentes. Elles apportent une expertise \u00e0 la fois technologique et r\u00e9glementaire. Les JET m\u00e8nent des enqu\u00eates, \u00e9valuent les risques et formulent des recommandations. En fonction de la nature des risques, leur travail peut \u00eatre r\u00e9gulier ou ponctuel.<\/p>

La coordination strat\u00e9gique est assur\u00e9e par le R\u00e9seau de supervision conjoint (JON)<\/strong> et le Forum de supervision (OF)<\/strong>. Le JON sert \u00e0 la coordination entre les ESA (European Supervisory Authorities) concern\u00e9es et garantit le partage des informations sur les risques et les \u00e9volutions entre les diff\u00e9rents secteurs. L'Oversight Forum, quant \u00e0 lui, fait office d'organe consultatif r\u00e9unissant des repr\u00e9sentants de haut niveau des autorit\u00e9s de surveillance europ\u00e9ennes et nationales afin de discuter des \u00e9volutions transversales et d'assurer l'harmonisation des pratiques de surveillance.<\/p>

Cette structure de gouvernance garantit un suivi concert\u00e9, transparent et ax\u00e9 sur les risques des CTPP et favorise un \u00e9change efficace entre les niveaux europ\u00e9en et national. Pour les responsables de la conformit\u00e9, cela signifie que les exigences r\u00e9glementaires ne r\u00e9sultent pas d'une seule source, mais que l'interaction entre plusieurs acteurs doit \u00eatre prise en compte.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Aper\u00e7u des instruments de surveillance DORA<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

1. d\u00e9signation<\/h3>

Un fournisseur tiers ICT est class\u00e9 comme critique apr\u00e8s un processus d'\u00e9valuation en deux \u00e9tapes sur la base de crit\u00e8res quantitatifs et qualitatifs (notamment l'importance syst\u00e9mique, la substituabilit\u00e9, la structure de la client\u00e8le). Le classement est effectu\u00e9 chaque ann\u00e9e sur la base des donn\u00e9es enregistr\u00e9es aupr\u00e8s des autorit\u00e9s de surveillance. Les fournisseurs qui ne sont pas r\u00e9pertori\u00e9s peuvent demander une r\u00e9\u00e9valuation volontaire (opt-in).<\/p>

2. \u00e9valuation des risques et planification de la surveillance<\/h3>

Un profil de risque est \u00e9tabli chaque ann\u00e9e dans le cadre de l'Oversight Risk Assessment Process (ORAP). Il en d\u00e9coule un plan de surveillance individuel ainsi qu'un plan pluriannuel sectoriel.<\/p>

3. examens<\/h3>

Celles-ci comprennent :<\/p>