DE
EN
IT
العربية
Contents 5
- Qu'est-ce que la liste du 18 novembre 2025 change concrètement ?
- Comment fonctionne la surveillance exercée par le superviseur principal (Lead Overseer) ?
- Quelles obligations contractuelles restent à la charge des entités financières ?
- Que se passe-t-il si un prestataire ne met pas en œuvre les recommandations ?
- Quelles conséquences pour les institutions suisses ?
Depuis le 17 janvier 2025, le règlement (UE) 2022/2554, dit DORA, s’applique directement à la quasi-totalité des entités financières supervisées dans l’UE. Le 18 novembre 2025, l’ABE, l’AEMF et l’AEAPP ont désigné les 19 premiers prestataires tiers de services TIC critiques, parmi lesquels figurent de grands fournisseurs de cloud et de technologies. Le dispositif de surveillance jusqu’alors abstrait devient ainsi concret : les entités financières doivent non seulement savoir lesquels de leurs prestataires ont été classés comme critiques, mais aussi suivre systématiquement leurs propres contrats, risques et dépendances. Une gestion du risque de terces parties (TPRM) structurée devient donc une composante importante de la mise en œuvre de DORA.
Depuis la désignation par les AES des 19 premiers prestataires tiers de services TIC critiques, le 18 novembre 2025, ces prestataires sont soumis à un contrôleur principal (Lead Overseer) disposant de larges pouvoirs d’examen et de collecte d’informations. Les entités financières restent toutefois responsables de leurs propres obligations : en vertu des articles 28 et 30 de DORA, elles doivent continuer à intégrer dans leurs contrats et processus la diligence raisonnable, l’évaluation du risque de concentration, les droits d’audit et d’accès, ainsi que des stratégies de sortie contraignantes. Cela renforce encore l’importance d’une gestion du risque de tiers systématique.
Qu’est-ce que la liste du 18 novembre 2025 change concrètement ?
Pour la première fois, cette liste nomme les prestataires tiers de services TIC classés comme critiques et soumis à la surveillance directe d’une autorité européenne de supervision. Les 19 premiers prestataires tiers de services TIC désignés comme critiques couvrent divers domaines technologiques, notamment le cloud computing, les centres de données, les télécommunications, les services gérés et d’autres services TIC.
Dans la première liste des prestataires tiers de services TIC critiques publiée le 18 novembre 2025, l’ABE, l’AEMF et l’AEAPP ont désigné 19 prestataires comme critiques. Figurent notamment parmi eux Amazon Web Services EMEA Sarl, Google Cloud EMEA Limited, IBM, Accenture, Capgemini, Deutsche Telekom et Bloomberg. Cette désignation repose sur les critères définis par DORA.
Pour les prestataires concernés, cette désignation implique une surveillance européenne directe. Elle ne modifie toutefois en rien la responsabilité propre des entités financières dans la gestion de leurs prestataires tiers de services TIC. Celles-ci doivent continuer à évaluer quels prestataires soutiennent des fonctions critiques ou importantes, quelles dépendances et quels risques de concentration existent, et si leurs contrats répondent aux exigences réglementaires.
C’est précisément là qu’intervient une gestion du risque de tiers (TPRM) structurée : les prestataires critiques, les dépendances, les risques, les exigences contractuelles et leur suivi continu doivent être recensés et gérés de manière centralisée, transparente et traçable.
Comment fonctionne la surveillance exercée par le Lead Overseer ?
Selon le secteur concerné, l’ABE, l’AEAPP ou l’AEMF assume le rôle de Lead Overseer pour chaque prestataire désigné et coordonne la surveillance.
Le Lead Overseer est épaulé par des équipes d’examen conjointes (Joint Examination Teams) composées de collaborateurs des autorités européennes de surveillance et des autorités compétentes concernées. Ces équipes mènent des examens fondés sur le risque et évaluent notamment, conformément à l’article 33 de DORA, si un prestataire dispose de structures efficaces de gestion du risque informatique, de gestion des incidents, de sécurité et de sous-traitance.
Le guide relatif aux activités de surveillance, publié par les autorités européennes de surveillance le 15 juillet 2025, décrit le processus allant de la désignation à l’évaluation des risques et à l’examen, jusqu’au suivi des recommandations. La surveillance comprend notamment des demandes d’information, des enquêtes et des inspections sur place.
Pour les entités financières, cette évolution signifie avant tout une chose : la surveillance directe d’un prestataire critique ne remplace pas leur propre gestion du risque de tiers. Les entreprises doivent toujours être en mesure de comprendre quels prestataires soutiennent leurs fonctions critiques, quels risques découlent de ces dépendances, et comment ces risques sont surveillés et gérés. La centralisation des informations relatives aux prestataires, à leur criticité, à leurs dépendances et aux mesures mises en œuvre crée la transparence nécessaire à cet effet.
Quelles obligations contractuelles restent à la charge des entités financières ?
Avant de conclure un contrat, les entités financières doivent continuer à évaluer elles-mêmes si une fonction est critique ou importante, quel risque de concentration en découle et si le prestataire satisfait aux exigences de diligence requises.
Conformément à l’article 28 de DORA, il convient, avant la conclusion d’un accord contractuel, d’évaluer s’il concerne une fonction critique ou importante, d’apprécier le risque de concentration informatique au titre de l’article 29, et de procéder à la diligence raisonnable du prestataire. Pour les contrats portant sur des fonctions critiques ou importantes, l’article 30 de DORA exige notamment des droits d’accès, de contrôle et d’audit appropriés au profit de l’entité financière, des tiers mandatés et des autorités compétentes.
L’article 30 de DORA exige également une stratégie de sortie permettant une transition ordonnée. Ces exigences contractuelles minimales s’appliquent indépendamment du fait qu’un prestataire figure ou non sur la liste des prestataires tiers informatiques critiques. Leur pertinence pratique ne cesse toutefois de croître à mesure que les dépendances informatiques critiques gagnent en importance.
Pour les entreprises, cela signifie que la gestion contractuelle et la gestion du risque de tiers ne doivent pas être considérées isolément. La criticité, les risques, les exigences contractuelles et les stratégies de sortie doivent s’inscrire dans un processus de bout en bout, traçable tout au long du cycle de vie du prestataire.
Que se passe-t-il si un prestataire ne met pas en œuvre les recommandations ?
Si un prestataire critique ne met pas en œuvre les recommandations du Lead Overseer, l’autorité de surveillance nationale compétente peut, dans les conditions prévues à l’article 42 de DORA, exiger de l’entité financière concernée qu’elle suspende ou mette fin à sa relation avec ce prestataire.
Ce point est ainsi clairement établi : même si les examens directs portent sur le prestataire tiers informatique critique, l’entité financière demeure responsable de la gestion de ses propres risques informatiques. Les coûts de la surveillance européenne, en revanche, sont supportés par les prestataires tiers informatiques critiques.
Il est donc essentiel pour les entités financières de disposer d’une vue d’ensemble actualisée des prestataires critiques, de leurs profils de risque, du statut de leurs contrats, de leurs dépendances et des constats de surveillance. C’est la seule manière d’identifier les évolutions en amont et de piloter les mesures nécessaires de façon transparente et traçable.
Quelles conséquences pour les institutions suisses ?
DORA ne s’applique généralement pas directement aux entités financières suisses en tant que réglementation suisse. Le cadre européen devient particulièrement pertinent lorsque sont concernées des activités commerciales, des succursales dans l’UE ou des relations contractuelles avec des entités financières réglementées dans l’UE et leurs prestataires. Pour la réglementation nationale des établissements suisses, la Circulaire FINMA 2023/01 « Risques opérationnels », ou le cadre réglementaire FINMA applicable, reste déterminant.
En pratique, DORA peut néanmoins avoir un impact à travers les relations d’affaires transfrontalières et les exigences contractuelles. Les établissements suisses devraient donc non seulement évaluer si DORA leur est directement applicable, mais aussi analyser quelles exigences leur sont effectivement répercutées par leurs clients, partenaires commerciaux ou prestataires.
Une première étape pratique consiste à comparer son propre inventaire de prestataires avec la liste des 19 prestataires TIC critiques désignés. Il convient ensuite d’évaluer quelles fonctions critiques ou importantes sont soutenues par ces prestataires, quelles dépendances et quels risques de concentration existent, et si les contrats en vigueur couvrent les exigences pertinentes des articles 28 et 30 de DORA. Ces informations doivent être documentées de manière centralisée et régulièrement mises à jour afin que les changements de prestataires et de risques puissent être identifiés à un stade précoce.
Gérer de manière centralisée le risque de tiers et la résilience opérationnelle
La plateforme SwissGRC aide les entreprises à cartographier systématiquement les fonctions critiques, les dépendances envers les prestataires et les risques. Avec la Gestion du risque de tiers et la Résilience opérationnelle, les risques, les exigences contractuelles et les mesures peuvent être surveillés et pilotés de manière centralisée et transparente tout au long du cycle de vie des prestataires.
Résilience opérationnelleQuestions fréquentes
Quels prestataires figurent sur la liste DORA des prestataires TIC critiques depuis novembre 2025 ?
Le 18 novembre 2025, l’ABE, l’ESMA et l’AEAPP ont désigné les 19 premiers prestataires comme critiques. Ils comprennent notamment de grands fournisseurs de cloud et de technologie. La liste est publiée et mise à jour par les autorités européennes de surveillance.
Qu’est-ce qu’un Lead Overseer au sens de DORA ?
Selon le secteur financier concerné, le Lead Overseer est l’ABE, l’ESMA ou l’AEAPP, et assume la surveillance directe d’un prestataire TIC critique désigné. Avec l’appui des Joint Examination Teams, il réalise des évaluations des risques et des examens de surveillance, et assure le suivi des recommandations adressées aux prestataires.
Les entités financières doivent-elles tout de même procéder à leurs propres revues contractuelles malgré la surveillance européenne des fournisseurs cloud ?
Oui. La désignation modifie la surveillance exercée sur le prestataire, mais pas la responsabilité propre de l’entité financière. Conformément aux articles 28 et 30 de DORA, la diligence raisonnable, l’évaluation du risque de concentration ainsi que des droits d’audit, d’accès et de sortie appropriés restent pertinents, parmi d’autres exigences.
Que se passe-t-il si un prestataire TIC critique ne met pas en œuvre les recommandations du superviseur principal ?
Dans les conditions prévues à l’article 42 de DORA, l’autorité de vigilance nationale compétente peut exiger de l’entité financière concernée qu’elle suspende ou mette fin à sa relation avec un prestataire. La responsabilité propre de l’entité financière dans la gestion de ses risques TIC demeure donc inchangée.
DORA s’applique-t-il également aux banques suisses ?
DORA ne s’applique généralement pas directement aux établissements suisses. Le cadre juridique européen peut néanmoins devenir pertinent, notamment par le biais de succursales dans l’UE, de relations d’affaires transfrontalières et d’exigences contractuelles. Les établissements suisses devraient donc évaluer quels points de contact directs et indirects existent avec DORA.
