Le registre d'information DORA est l'inventaire structuré de tous les accords contractuels portant sur des services TIC fournis par des tiers. Il doit être tenu au niveau de l'entité et, le cas échéant, aux niveaux sous-consolidé et consolidé, distinguer les accords qui soutiennent des fonctions critiques ou importantes et être communiqué aux autorités compétentes 1. Son contenu est fixé par quinze modèles standardisés définis par le règlement d'exécution (UE) 2024/2956 2.
Sur le papier, l'exercice ressemble à un inventaire fournisseurs. En pratique, il exige de relier des contrats, des fonctions métier, des services TIC, des entités juridiques et des chaînes de sous-traitance, avec des identifiants vérifiables. C'est pourquoi les premières collectes ont produit beaucoup d'erreurs : lors de l'exercice à blanc de 2024, seuls 6,5 % des registres analysés ont passé l'ensemble des contrôles de qualité des données 3.
Ce guide fait le point sur le contenu attendu, sur le format et le circuit de remise en France, puis sur les erreurs les plus fréquentes et la manière de les éviter.
Ce que doit contenir le registre d'information DORA
L'article 28, paragraphe 3, de DORA impose de tenir à jour un registre couvrant tous les accords contractuels relatifs à l'utilisation de services TIC fournis par des prestataires tiers 1. Le règlement d'exécution 2024/2956 l'organise en tableaux à colonnes fixes et à nombre de lignes illimité, chaque donnée ne prenant qu'une seule valeur ; plusieurs valeurs valides imposent donc plusieurs lignes 2. Les modèles se regroupent en cinq familles :
- Les entités : entité qui tient le registre (B_01.01), entités du périmètre de consolidation (B_01.02), succursales situées hors du pays d'origine (B_01.03).
- Les accords contractuels : informations générales (B_02.01), informations spécifiques (B_02.02), accords intragroupe (B_02.03).
- Les signataires et les utilisateurs : entités qui signent pour recevoir des services (B_03.01), prestataires signataires (B_03.02), entités qui fournissent des services TIC au sein du groupe (B_03.03), entités qui utilisent les services (B_04.01).
- Les prestataires et leurs chaînes : prestataires tiers de services TIC (B_05.01), chaînes d'approvisionnement de services TIC (B_05.02).
- Les fonctions et les évaluations : identification des fonctions (B_06.01), évaluation des services TIC qui soutiennent des fonctions critiques ou importantes (B_07.01), définitions propres à l'entité (B_99.01).
Deux notions structurent l'ensemble. Le rang, d'abord : le prestataire direct a toujours le rang 1, ses sous-traitants des rangs supérieurs, et le modèle B_05.02 permet de reconstituer la chaîne en indiquant, pour chaque sous-traitant, le prestataire du rang précédent 2. L'identification, ensuite : un prestataire personne morale doit être identifié par un LEI valide et actif ou par un EUID, et la même exigence s'applique aux sous-traitants qui soutiennent des fonctions critiques ou importantes 2.
Le texte impose enfin six principes de qualité des données : exactitude, exhaustivité, cohérence, intégrité, uniformité et validité 2. Ce ne sont pas des recommandations de style : les contrôles automatisés des autorités les traduisent en règles de validation, dont certaines sont bloquantes.
Périmètre : les questions qui reviennent
La FAQ publiée par l'ACPR en mars 2026, à la suite de son webinaire de janvier, tranche plusieurs débats récurrents, sous réserve de confirmation par les ESAs 6. Le registre couvre tous les accords conclus avec des prestataires TIC, qu'ils aient été désignés critiques ou non, et pas seulement ceux qui soutiennent des fonctions critiques ou importantes : la distinction se fait à l'intérieur du registre 6. L'onglet B_07.01 porte sur les prestataires quel que soit leur rang, et le registre doit couvrir l'ensemble de la chaîne de sous-traitance 6.
Les montages de groupe demandent une attention particulière. Un prestataire utilisé directement ou indirectement, y compris par l'intermédiaire d'une entité de services centralisée, doit figurer au registre 6. Les prestataires des succursales établies dans l'Union doivent être déclarés, sans remise d'un registre individuel par la succursale 6. Enfin, le registre DORA ne remplace pas le registre des externalisations, qui doit continuer à être tenu à jour 6.
Le registre d'information n'est pas un inventaire fournisseurs enrichi : c'est une base relationnelle qui relie contrats, fonctions, services et chaînes de sous-traitance.
Format et circuit de collecte en France
Le registre est remis au format xBRL-CSV, que l'EBA appelle plain CSV, selon la taxonomie du cadre de reporting 4.0 de l'EBA, dont le paquet technique intègre les exigences relatives aux registres DORA 46. Pour les entités supervisées par l'ACPR, le fichier est déposé sur OneGate : l'instance xBRL-CSV, une archive zip encodée en base 64, est insérée dans une enveloppe XML qui comprend une partie administrative et une partie données 5. Le dépôt suppose une accréditation obtenue avec le LEI, par la collecte SOLVA pour l'assurance ou SURFI pour la banque, avec des demandes distinctes pour la production et pour l'environnement de test 5. Les entités relevant de l'AMF remettent leur registre par l'interface ROSA, selon le dossier thématique de l'autorité 8.
Pour la campagne 2026, l'ACPR a ouvert la plateforme le 1er janvier, avec une date d'arrêté au 31 décembre 2025 et une date limite de remise au 31 mars 2026 5. Après chaque dépôt, un compte rendu de traitement détaille les anomalies et leur sévérité. L'ACPR indique avoir stabilisé les règles de validation, qui avaient évolué pendant la campagne 2025, et automatisé l'envoi de ces comptes rendus 5.
Ces données ne servent pas qu'au contrôle individuel. Les ESAs les agrègent pour évaluer la criticité des prestataires TIC à l'échelle de l'Union, d'où leur insistance sur des identifiants vérifiables, y compris pour la maison mère des prestataires, afin de pouvoir regrouper les fournisseurs d'un même groupe 3.
Les erreurs fréquentes et comment les éviter
Les erreurs de contenu
L'exercice à blanc mené par les ESAs en 2024 donne la mesure du problème. Sur 1 039 registres reçus, 947 ont pu être analysés, et seuls 6,5 % ont passé l'ensemble des contrôles 3. Les informations obligatoires manquantes représentaient 86 % des échecs, en particulier les codes d'identification des prestataires et de leur maison mère, l'identifiant de fonction et le type de service TIC 3. Les codes LEI invalides comptaient pour 6,5 % des échecs, souvent parce que des codes nationaux avaient été saisis à la place du LEI 3. Les clés en double et les dates invalides complétaient le tableau 3.
Les ESAs ont prévenu que les registres partiels ne seraient pas acceptés dans le reporting officiel et que les registres sans LEI pour les entités financières seraient rejetés 3. Pour les prestataires hors Union qui n'ont pas de LEI, la FAQ de l'ACPR renvoie aux codes alternatifs prévus par les instructions du modèle B_05.01 6. Chaque accord direct doit aussi porter un numéro de référence unique 6.
Les erreurs techniques
En France, les rejets techniques les plus courants relevés par l'ACPR sont d'une banalité instructive : date limite saisie à la place de la date d'arrêté, niveau manquant dans l'arborescence des fichiers par rapport à l'exemple de l'EBA, encodage ANSI au lieu d'UTF-8 5. Leur effet est pourtant lourd : lors de la campagne 2025, l'ACPR constatait que seuls 39 % des registres remis avaient pu être traités au niveau européen 7.
Faire du registre d'information un outil de pilotage
L'ACPR attend que le registre soit intégré à la gestion du risque tiers, avec une revue de l'analyse de risque lorsque les critères de criticité évoluent 7. Cela suppose de traiter le registre comme un produit de données, avec des sources, des propriétaires et des contrôles, plutôt que comme un fichier reconstruit chaque année dans l'urgence. Les étapes suivantes structurent cette démarche :
- Désigner un propriétaire du registre et des propriétaires de données par domaine : achats pour les contrats, métiers pour les fonctions, DSI pour les services TIC, risques et conformité pour l'évaluation de criticité.
- Constituer un référentiel prestataires unique, avec LEI ou EUID vérifiés, maison mère identifiée et codes alternatifs documentés pour les prestataires hors Union.
- Attribuer à chaque accord un numéro de référence unique et stable, réutilisé dans tous les modèles qui le mentionnent.
- Cartographier les chaînes de sous-traitance des services qui soutiennent des fonctions critiques ou importantes, en exigeant contractuellement des prestataires les informations nécessaires.
- Automatiser la production du fichier xBRL-CSV et exécuter les règles de validation de l'EBA avant le dépôt, en interne puis sur l'environnement d'homologation.
- Analyser chaque compte rendu de traitement et corriger les anomalies à la source, dans les référentiels, plutôt que dans le fichier remis.
Le webinaire de l'ACPR insiste sur un point simple : tester la remise sur la plateforme d'homologation avant la date limite reste le meilleur moyen d'éviter les rejets de dernière minute 5. Un registre alimenté en continu par les référentiels permet en outre de répondre rapidement à une demande ponctuelle du superviseur, que DORA autorise à tout moment 1.
En résumé
Le registre d'information DORA est devenu la principale source de données des superviseurs sur la dépendance du secteur financier à ses prestataires TIC. Sa qualité se joue moins au moment de la remise que dans la gouvernance des données en amont. DATASWING accompagne ce type de chantier en reliant référentiels, architecture SI et automatisation des contrôles.
— Questions fréquentes
Ce qu'on nous demande souvent
Quelle est la date limite de remise du registre d'information DORA en 2026 ?+
Pour les entités supervisées par l'ACPR, la plateforme OneGate a ouvert le 1er janvier 2026, avec une date d'arrêté au 31 décembre 2025 et une date limite de remise fixée au 31 mars 2026. Les entités relevant de l'AMF ou d'autres autorités nationales doivent vérifier le calendrier publié par leur propre superviseur.
Le registre d'information DORA doit-il inclure les prestataires non critiques ?+
Oui. L'article 28 de DORA vise tous les accords contractuels portant sur des services TIC fournis par des tiers. La FAQ de l'ACPR confirme que le registre couvre tous les prestataires, critiques ou non, et toute la chaîne de sous-traitance, en distinguant les accords qui soutiennent des fonctions critiques ou importantes.
Quel est le format du registre d'information DORA ?+
Le registre suit les quinze modèles du règlement d'exécution 2024/2956 et se remet au format xBRL-CSV, selon la taxonomie du cadre de reporting 4.0 de l'EBA. À l'ACPR, l'archive zip est encodée en base 64 dans une enveloppe XML déposée sur OneGate. Les fichiers doivent être encodés en UTF-8 et suivre l'arborescence de l'EBA.
Un prestataire sans LEI peut-il figurer dans le registre d'information ?+
Les prestataires personnes morales doivent être identifiés par un LEI valide ou un EUID. Pour un prestataire hors Union sans LEI, la FAQ de l'ACPR renvoie aux codes alternatifs prévus par les instructions du modèle B_05.01. Les entités financières, elles, doivent toutes disposer d'un LEI valide, sous peine de rejet.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA) ↗EUR-Lex, Union européenne · 2022-12
-
[2]
Règlement d'exécution (UE) 2024/2956 : modèles de registre d'information ↗EUR-Lex, Commission européenne · 2024-12
-
[3]
DORA Register of Information Dry Run exercise: summary report (ESA 2024 35) ↗ESAs (EBA, EIOPA, ESMA) · 2024-12
- [4]
-
[5]
Webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-01
-
[6]
FAQ du webinaire DORA du 23 janvier 2026 ↗ACPR · 2026-03
- [7]
-
[8]
Dossier thématique DORA ↗AMF · 2025-02
