Registre d'information DORA : partir de vos sous-traitants RGPD

Le registre d'information DORA ne part pas de zéro : dans la plupart des banques et des assurances, une bonne partie de ses données existe déjà dans la documentation RGPD des sous-traitants. L'article 28, paragraphe 3, du règlement (UE) 2022/2554 (DORA) impose aux entités financières de tenir un registre de tous leurs accords contractuels portant sur des services TIC. Le DPO, lui, suit depuis 2018 les prestataires qui traitent des données personnelles, leurs contrats au titre de l'article 28 du RGPD, leurs sous-traitants ultérieurs et la localisation des données.

Les deux exercices se recoupent sans se confondre. Ce guide reprend la lettre des textes, montre ce qui se réutilise, ce qu'il faut ajouter, et propose une méthode pour faire vivre un seul référentiel prestataires au lieu de deux tableurs qui divergent.

Ce que l'article 28 de DORA impose : le registre d'information

DORA est applicable depuis le 17 janvier 2025. Son article 28, paragraphe 3, est explicite : les entités financières « tiennent et mettent à jour, au niveau de l'entité et aux niveaux sous-consolidé et consolidé, un registre d'informations en rapport avec tous les accords contractuels portant sur l'utilisation de services TIC fournis par des prestataires tiers de services TIC ».

Le même paragraphe fixe trois obligations qui structurent tout le travail :

• Distinguer les contrats critiques. Les accords sont documentés « en opérant une distinction entre ceux qui couvrent des services TIC qui soutiennent des fonctions critiques et ceux qui ne le font pas ».
• Rendre compte chaque année. L'entité communique « au moins une fois par an » à l'autorité compétente le nombre de nouveaux accords, les catégories de prestataires, le type d'accords et les services et fonctions fournis. En France, l'autorité compétente est l'ACPR ou l'AMF selon l'entité.
• Tenir le registre complet à disposition. Le superviseur peut demander le registre entier ou certaines de ses sections, et l'entité l'informe en temps utile de tout projet de contrat portant sur une fonction critique ou importante.

Le format est imposé par un règlement d'exécution

Contrairement au registre des activités de traitement du RGPD, dont la forme est libre, le registre DORA a un format réglementaire. Le règlement d'exécution (UE) 2024/2956 du 29 novembre 2024 fixe ses modèles types : l'article 3 impose d'utiliser les modèles de ses annexes I à IV, et l'article 4 précise que chaque modèle est « un tableau comportant un nombre prédéfini de colonnes ». L'article 5 en liste le contenu, du modèle B_01.01 (l'entité qui tient le registre) au modèle B_07.01 (l'évaluation des services qui soutiennent une fonction critique ou importante).

Deux exigences de ce texte n'ont pas d'équivalent côté RGPD. L'article 3, paragraphe 5, impose d'identifier chaque prestataire personne morale par un identifiant d'entité juridique (LEI) valide et actif, ou par l'identifiant unique européen (EUID). Et l'article 2 impose d'attribuer un « rang » à chaque prestataire de la chaîne d'approvisionnement : 1 pour le prestataire direct, au-delà de 1 pour ses sous-traitants.

Ce que le RGPD vous a déjà fait documenter

Le RGPD n'impose pas, à proprement parler, un « registre des sous-traitants ». Il impose un registre des activités de traitement (article 30), qui mentionne pour le responsable de traitement « les catégories de destinataires » et les transferts hors de l'Union, et un contrat avec chaque sous-traitant (article 28). La plupart des DPO ont tiré de ces deux obligations un inventaire des prestataires, avec le contrat, les sous-traitants ultérieurs autorisés, la localisation des données et le résultat des audits. Si ce suivi reste à structurer, notre guide sur l'audit des sous-traitants RGPD détaille la méthode, et celui sur le registre des traitements rappelle son contenu.

C'est cet inventaire qui sert de point de départ au registre DORA.

Registre DORA et suivi RGPD des sous-traitants : ce qui se recoupe, ce qui diffère

Les données qui se recoupent

• L'identité du prestataire et le contrat. Nom, contrat signé, dates de début et de fin : le DPA de l'article 28 RGPD et le modèle B_02.02 du registre DORA portent sur les mêmes accords dès que le service TIC traite des données personnelles.
• La localisation des données. Le RGPD vous a fait documenter les pays de traitement et les transferts. Le registre DORA demande le pays de fourniture du service (B_02.02.0130), le pays des données au repos (B_02.02.0150) et celui de leur traitement (B_02.02.0160), en codes ISO.
• La sous-traitance ultérieure. L'article 28, paragraphe 2, du RGPD encadre le recrutement d'un autre sous-traitant. DORA demande de décrire la chaîne d'approvisionnement (modèle B_05.02) pour les services qui soutiennent une fonction critique ou importante.
• La sensibilité des données. Le registre DORA demande un niveau de sensibilité des données stockées ou traitées par le prestataire (B_02.02.0170 : faible, moyen, élevé), que votre classification RGPD alimente directement.

Les données propres à DORA

• Le périmètre. Le registre DORA couvre tous les services TIC, y compris ceux qui ne traitent aucune donnée personnelle : supervision réseau, infrastructure, logiciel de calcul de risque. Votre inventaire RGPD n'en contient qu'une partie.
• Les fonctions critiques ou importantes. Chaque service est rattaché aux fonctions qu'il soutient (modèle B_06.01), avec un niveau de dépendance (B_02.02.0180).
• Les identifiants LEI ou EUID, pour le prestataire direct et, sur les fonctions critiques, pour les sous-traitants de la chaîne.
• La substituabilité et la sortie. Le modèle B_07.01 demande d'évaluer la substituabilité du prestataire (de « non substituable » à « facilement substituable »), l'existence d'un plan de sortie et la possibilité de réintégrer le service en interne.

Article 30 DORA et article 28 RGPD : les clauses contractuelles à aligner

Un prestataire SaaS qui héberge des données clients signe avec une banque un DPA au titre du RGPD et un contrat qui doit, en plus, porter les clauses de l'article 30 de DORA. Les deux listes se recoupent en partie. Pour le détail des clauses RGPD et des pièges fréquents, voir notre guide sur le DPA et celui sur les 12 clauses pièges d'un DPA.

Les clauses qui se répondent

• Localisation des données et des services. DORA, article 30, paragraphe 2, point b) : les lieux de fourniture et de traitement, et l'obligation d'informer au préalable de tout changement de lieu. Côté RGPD, l'article 28, paragraphe 3, point a) vise les transferts vers un pays tiers sur instruction documentée.
• Sécurité et confidentialité. DORA, article 30, paragraphe 2, point c) : des dispositions sur la disponibilité, l'authenticité, l'intégrité et la confidentialité, « y compris les données à caractère personnel ». Côté RGPD, l'article 28, paragraphe 3, points b) et c) : confidentialité du personnel et mesures de l'article 32.
• Restitution des données. DORA, article 30, paragraphe 2, point d) : l'accès, la récupération et la restitution des données « dans un format facilement accessible » en cas d'insolvabilité, de cessation d'activité ou de résiliation. Côté RGPD, l'article 28, paragraphe 3, point g) : suppression ou restitution au terme de la prestation.
• Audit. DORA, article 30, paragraphe 3, point e) : pour les fonctions critiques ou importantes, des droits « illimités » d'accès, d'inspection et d'audit, y compris pour l'autorité compétente. Côté RGPD, l'article 28, paragraphe 3, point h) : les audits et inspections par le responsable de traitement ou son auditeur.
• Sous-traitance. DORA, article 30, paragraphe 2, point a) : indiquer si la sous-traitance d'un service qui soutient une fonction critique ou importante est autorisée, et à quelles conditions, précisées par le règlement délégué (UE) 2025/532. Côté RGPD, l'article 28, paragraphes 2 et 4.

Les clauses que DORA ajoute

• l'assistance en cas d'incident lié aux TIC, sans frais supplémentaires ou à un coût déterminé à l'avance (article 30, paragraphe 2, point f)) ;
• la coopération pleine avec les autorités compétentes et de résolution (point g)) ;
• les droits de résiliation et les délais de préavis minimaux (point h)) ;
• la participation du prestataire aux programmes de sensibilisation et de formation de l'entité (point i)) ;
• pour les fonctions critiques ou importantes : des niveaux de service chiffrés, des plans d'urgence testés, la participation aux tests de pénétration fondés sur la menace et une période de transition obligatoire en cas de sortie (article 30, paragraphe 3).

Le contenu de la politique contractuelle de l'entité sur ces services critiques est lui-même précisé par le règlement délégué (UE) 2024/1773.

La méthode : un seul référentiel prestataires en cinq étapes

1. Partir de l'inventaire RGPD existant

Exporter la liste des sous-traitants et des destinataires du registre des traitements, avec le contrat, les sous-traitants ultérieurs et les pays de traitement. C'est le socle le plus fiable dont vous disposez, parce qu'il a déjà été audité.

2. Compléter le périmètre avec les services TIC sans données personnelles

Croiser cet inventaire avec la liste des contrats TIC tenue par les achats et la DSI. Les services d'infrastructure, de réseau ou de sécurité qui ne traitent pas de données personnelles n'apparaissent pas dans le registre RGPD, mais entrent dans le registre DORA.

3. Rattacher chaque service à une fonction, et qualifier les fonctions critiques

C'est l'étape qui demande le métier et la direction des risques : quelles fonctions sont critiques ou importantes, et quels services TIC les soutiennent. Le DPO n'en décide pas seul, mais il connaît souvent mieux que quiconque les flux de données entre les applications.

4. Ajouter les champs propres à DORA

LEI ou EUID, rang dans la chaîne d'approvisionnement, niveau de dépendance, substituabilité, plan de sortie. Pour les fonctions critiques, demander aux prestataires directs l'identité et le LEI de leurs sous-traitants : c'est souvent le point le plus long à obtenir.

5. Faire vivre un seul référentiel

Une fiche prestataire unique, alimentée par le DPO, le RSSI, les achats et les risques, d'où l'on extrait d'un côté le registre d'information au format de l'ITS, de l'autre la documentation RGPD. Deux tableurs tenus en parallèle finissent toujours par se contredire, et c'est précisément ce qu'un contrôle ou un audit client fera ressortir.

Qui fait quoi : DPO, RSSI, achats, risques

• Le DPO apporte l'inventaire des sous-traitants, la localisation des données, les sous-traitants ultérieurs et le suivi des DPA. Il vérifie que les clauses de l'article 28 RGPD restent présentes quand le contrat est réécrit pour DORA.
• Le RSSI et la DSI complètent le périmètre des services TIC, les niveaux de service, les plans d'urgence et les tests.
• Les achats et le juridique portent les clauses de l'article 30 de DORA dans les contrats et collectent les LEI.
• La fonction risques qualifie les fonctions critiques ou importantes, évalue la substituabilité et la concentration (article 29 de DORA) et prépare la remise annuelle au superviseur.

Pour les services qui ne sont pas des services TIC, l'Autorité bancaire européenne a publié le 18 septembre 2026 des orientations qui alignent le suivi des autres tiers sur ce registre : voir notre actualité sur les orientations finales de l'EBA sur le risque de tiers. Et pour savoir lequel de DORA, NIS 2 ou du RGPD s'applique à chacune de vos activités, voir DORA, NIS 2, RGPD : quel texte s'applique à votre organisation ?

Questions fréquemment posées

Le registre d'information DORA remplace-t-il le registre des sous-traitants RGPD ?

Non. Les deux registres répondent à des textes différents et ne couvrent pas le même périmètre : le registre DORA porte sur tous les services TIC, avec ou sans données personnelles, et suit un format imposé par le règlement d'exécution (UE) 2024/2956 ; la documentation RGPD porte sur les traitements de données personnelles et leurs destinataires. En pratique, un référentiel prestataires unique permet d'alimenter les deux sans double saisie.

Quelles clauses ajouter à un DPA pour répondre à DORA ?

Un DPA conforme à l'article 28 du RGPD couvre déjà la sécurité, la confidentialité, la restitution des données et l'audit. Il faut y ajouter, au titre de l'article 30 de DORA, l'obligation d'informer avant tout changement de lieu de traitement, l'assistance en cas d'incident TIC, la coopération avec le superviseur, les droits de résiliation et la participation aux formations. Pour les fonctions critiques ou importantes s'ajoutent les niveaux de service chiffrés, les plans d'urgence testés, les droits d'audit illimités et une période de transition en cas de sortie.

Qui tient le registre d'information DORA ?

Le règlement l'impose à l'entité financière, au niveau de l'entité et, pour un groupe, aux niveaux sous-consolidé et consolidé. Il ne désigne pas de fonction responsable. Dans les faits, le registre est souvent porté par la fonction risques ou par la direction des achats, avec des contributions du DPO, du RSSI et du juridique.

À quelle fréquence le registre d'information est-il transmis au superviseur ?

L'article 28, paragraphe 3, de DORA impose une communication au moins une fois par an à l'autorité compétente, et la mise à disposition du registre complet sur demande. Le registre lui-même doit être tenu à jour en continu, et l'autorité doit être informée en temps utile de tout projet de contrat portant sur une fonction critique ou importante.

Faut-il un LEI pour chaque prestataire ?

L'article 3, paragraphe 5, du règlement d'exécution (UE) 2024/2956 impose d'identifier chaque prestataire personne morale par un LEI valide et actif ou par l'EUID, et le cas échéant par les deux. Les personnes physiques agissant à titre professionnel en sont exclues. Pour les services qui soutiennent une fonction critique ou importante, l'exigence s'étend aux sous-traitants de la chaîne inscrits au registre.

Piloter le volet RGPD de vos prestataires

Leto ne produit pas le registre d'information DORA, ni sa remise au superviseur. Leto tient votre registre des traitements et le suivi RGPD de vos sous-traitants, contrats et audits compris : la base dont le registre DORA réutilise une grande partie. Demander une démo de Leto.

Textes de référence : règlement (UE) 2022/2554 (DORA) et règlement d'exécution (UE) 2024/2956 sur EUR-Lex.