Entreprises financières : déclaration cloud à BaFin
D’ici le 30 mars 2026, les entreprises financières allemandes devront pour la première fois transmettre intégralement à la BaFin leur registre complet des prestataires externes de technologies de l’information et de la …
D’ici le 30 mars 2026, les entreprises financières en Allemagne devront transmettre pour la première fois à la BaFin leur registre complet des prestataires TIC tiers. Le règlement européen Digital Operational Resilience Act (DORA) est en vigueur depuis janvier 2025 et la première grande obligation de déclaration approche. Date de référence pour les données déclarées : 31 décembre 2025. Les entreprises qui utilisent AWS, Azure ou Google Cloud doivent documenter intégralement leurs contrats, les lieux de stockage des données et les sous-traitants.
L’essentiel en bref
- 📋 Date limite BaFin du 30 mars 2026 : première déclaration du registre des prestataires TIC tiers au format xBRL-CSV (ADVISORI).
- 📊 Seuls 50 % des établissements financiers européens avaient atteint une conformité DORA complète fin 2025 (The Next Web).
- ☁️ 19 prestataires TIC tiers sont soumis directement à la supervision de l’UE en tant que Critical Third-Party Providers (CTPPs), dont AWS, Azure et Google Cloud.
- ⚖️ À déclarer : type de service, lieu de stockage des données, sous-traitants, durée du contrat, stratégie de sortie.
- ⏰ 38 % des établissements financiers ont reporté leur objectif de conformité à 2026 (The Next Web).
Ce que DORA exige des entreprises financières
Le Digital Operational Resilience Act (règlement (UE) 2022/2554) s’applique directement dans tous les États membres de l’UE depuis le 17 janvier 2025. Contrairement à NIS2, qui nécessite des lois nationales de transposition, DORA est un règlement et est donc directement applicable. Le règlement concerne les banques, les assurances, les entreprises d’investissement, les prestataires de services de paiement, les prestataires de services sur crypto-actifs et de nombreux autres acteurs du secteur financier européen.
DORA poursuit un objectif clair : renforcer la résilience numérique du secteur financier. Cela repose sur cinq piliers : gestion des risques liés aux TIC, notification des incidents, tests de résilience, gestion des risques liés aux tiers et échange d’informations. Le troisième pilier, la gestion des risques liés aux tiers, est le domaine qui mobilise actuellement le plus les équipes IT.
Concrètement, DORA exige que chaque entreprise financière tienne un registre complet de tous les prestataires tiers de services TIC. Ce registre doit être transmis à l’autorité de surveillance compétente sur demande et, désormais pour la première fois, aussi de manière proactive. La BaFin a fixé le 30 mars 2026 comme date limite pour la première transmission.
Ce que doit contenir le registre des prestataires tiers TIC
Le registre n’est pas une simple feuille de calcul. La BaFin exige une déclaration structurée au format xBRL-CSV, contenant des champs spécifiques pour chaque prestataire tiers TIC.
Informations obligatoires par prestataire :
Nom et LEI (Legal Entity Identifier) du prestataire. Type de service fourni (infrastructure cloud, SaaS, traitement des données). Lieux de stockage des données, y compris les sites de sauvegarde et les régions de reprise après sinistre. Sous-traitants auxquels le prestataire fait appel (par ex. Azure utilise des centres de données Equinix). Durée du contrat et délais de résiliation. Stratégie de sortie : que se passe-t-il si le prestataire est défaillant ou doit être remplacé ?
Pour les fournisseurs cloud comme AWS, Azure et Google Cloud, cela signifie que les équipes IT doivent non seulement documenter le contrat principal, mais aussi comprendre quels sous-traitants le fournisseur cloud utilise dans quelles régions. Pour des hyperscalers disposant de centaines de centres de données et de dizaines de sous-traitants, cela représente un travail de documentation considérable.
Critical Third-Party Providers : pourquoi AWS, Azure et Google Cloud sont particuliers
DORA introduit un nouveau concept : les Critical Third-Party Providers (CTPPs). Il s’agit de prestataires tiers TIC considérés comme d’importance systémique pour le secteur financier. Depuis novembre 2025, 19 prestataires ont été désignés comme CTPPs, dont AWS, Microsoft Azure et Google Cloud.
Ce que cela signifie : les CTPPs sont soumis à une supervision directe de l’UE par les European Supervisory Authorities (ESAs). Ils doivent réaliser leurs propres tests de résilience, transmettre des rapports d’incident aux ESAs et accorder des droits d’audit aux autorités de supervision. Pour les entreprises financières qui utilisent des CTPPs, des obligations de documentation renforcées s’appliquent dans le registre.
Chaque contrat avec un CTPP doit contenir des clauses spécifiques : droits d’audit, accès pour les autorités de supervision, transparence sur les sous-traitants et niveaux de service définis. Les contrats existants qui ne contiennent pas ces clauses doivent être renégociés.
Le déficit de conformité : pourquoi la moitié n’est pas encore prête
Selon The Next Web, à la fin de 2025, seuls 50 % des établissements financiers européens avaient atteint une conformité DORA complète. 38 % ont reporté leur objectif de conformité à 2026. Les raisons sont multiples :
Complexité de la chaîne d’approvisionnement. Un établissement financier de taille moyenne utilise généralement 40 à 80 prestataires tiers TIC. Documenter chacun d’eux avec son LEI, son lieu de stockage des données, sa chaîne de sous-traitance et sa stratégie de sortie est un effort manuel qui peut prendre des mois.
Adaptations contractuelles. Les contrats cloud existants contiennent rarement les clauses DORA spécifiques relatives aux droits d’audit et à l’accès des autorités de supervision. La renégociation avec les hyperscalers est complexe, en particulier parce qu’AWS, Azure et Google Cloud privilégient des contrats standardisés.
Absence d’infrastructure d’outillage. La déclaration xBRL-CSV nécessite un logiciel spécifique. De nombreux établissements ne l’ont acquis que tardivement ou travaillent encore avec des processus manuels. Les plateformes GRC comme ServiceNow, SAP GRC ou des fournisseurs RegTech spécialisés proposent des modules DORA, mais leur mise en œuvre prend du temps.
Check-list : en 4 semaines jusqu’à la déclaration à la BaFin
Pour les responsables IT et les responsables conformité qui veulent encore respecter l’échéance du 30 mars :
Semaine 1 : inventaire. Recenser tous les prestataires tiers ICT. Pas seulement les fournisseurs cloud, mais aussi les outils SaaS, les Managed Service Providers et les partenaires d’externalisation. Sources : achats, gestion des actifs IT, registre des contrats.
Semaine 2 : compléter les données. Renseigner les champs obligatoires pour chaque fournisseur : LEI, type de service, lieu de stockage des données, sous-traitants, durée du contrat. Pour les fournisseurs cloud, utiliser la documentation de Shared Responsibility comme base.
Semaine 3 : stratégies de sortie. Documenter une stratégie de sortie pour chaque fournisseur critique. Que se passe-t-il en cas de panne ? Combien de temps dure la migration ? Existe-t-il un fournisseur alternatif ?
Semaine 4 : générer et vérifier le fichier xBRL-CSV. Convertir les données au format xBRL-CSV. Validation par rapport au schéma de la BaFin. Effectuer une déclaration test avant l’envoi final.
Défis spécifiques au cloud dans le registre DORA
La documentation des fournisseurs cloud dans le registre DORA est plus complexe que celle des prestataires IT traditionnels. Trois facteurs rendent les contrats cloud particulièrement exigeants.
Infrastructure dynamique. Les fournisseurs cloud modifient régulièrement les emplacements de leurs centres de données, leurs Availability Zones et leurs sous-traitants. Un registre qui reflète l’état au 31 décembre 2025 peut être obsolète trois mois plus tard. Les équipes IT ont besoin d’un processus qui recense en continu les changements dans l’infrastructure cloud et met le registre à jour.
Shared Responsibility. Dans les services cloud, fournisseur et client se partagent la responsabilité. Infrastructure as a Service, Platform as a Service et Software as a Service ont des limites de responsabilité différentes. Le registre DORA doit montrer quelles fonctions ICT sont prises en charge par le fournisseur cloud et lesquelles restent du ressort de l’entreprise financière. Cela exige une compréhension approfondie de sa propre architecture cloud.
Complexité multi-cloud. Les établissements financiers qui utilisent plusieurs fournisseurs cloud doivent documenter chacun d’eux séparément. Cela crée des dépendances : si un système de sauvegarde fonctionne sur Google Cloud et le système principal sur AWS, les deux fournisseurs doivent figurer dans le registre, y compris la relation de dépendance entre les systèmes.
Que se passe-t-il après le 30 mars : les prochaines étapes
La première déclaration à la BaFin n’est pas la fin, mais le début d’un processus continu. DORA exige que le registre des prestataires tiers ICT soit mis à jour en permanence et transmis régulièrement à l’autorité de surveillance.
Pour 2026, deux autres évolutions sont prévisibles :
Threat-Led Penetration Testing (TLPT). DORA prescrit aux établissements financiers d’importance systémique des tests d’intrusion réguliers qui incluent l’ensemble de la chaîne d’approvisionnement ICT. La BaFin devrait publier des exigences concrètes relatives au TLPT au second semestre 2026.
Incident Reporting. Les entreprises financières doivent signaler les incidents ICT graves à la BaFin dans un délai de quatre heures. Lorsqu’un incident survient chez un fournisseur cloud qui fournit des services à l’entreprise financière, l’obligation de déclaration incombe à l’entreprise financière, et non au fournisseur cloud. Cela exige des accords contractuels sur les délais de notification et les voies d’escalade.
Les équipes IT qui mettent maintenant le registre en place devraient déjà tenir compte de ces exigences ultérieures. Un registre qui ne contient que les champs obligatoires pour la première déclaration devra de toute façon être étendu pour le TLPT et l’Incident Reporting.
DORA et NIS2 : double charge pour les équipes IT
De nombreuses entreprises financières relèvent à la fois de DORA et de NIS2. Les deux réglementations se recoupent en partie, mais ont des priorités différentes. DORA se concentre sur la résilience opérationnelle numérique du secteur financier, NIS2 sur la cybersécurité générale dans les secteurs critiques.
Pour les équipes IT, cela signifie : deux enregistrements (BaFin pour DORA, BSI pour NIS2), deux obligations de déclaration en cas d’incidents et deux ensembles d’exigences de documentation. La bonne nouvelle : beaucoup de mesures se recoupent. Un registre des prestataires tiers ICT bien tenu répond à la fois aux exigences de DORA et de NIS2 en matière de sécurité de la chaîne d’approvisionnement.
Conclusion
L’obligation de déclaration DORA au 30 mars 2026 n’est pas une échéance facultative. Les entreprises financières qui n’ont pas entièrement documenté leurs prestataires cloud s’exposent à des mesures de surveillance réglementaire. L’effort est réel, mais maîtrisable si les équipes IT avancent de manière structurée. En intégrant en parallèle les exigences NIS2, elles évitent de faire le travail deux fois. La voie pragmatique pour les responsables IT et les équipes conformité : établir l’inventaire, compléter les données, documenter les stratégies de sortie et effectuer la déclaration dans les délais.
Questions fréquentes
DORA s’applique-t-il aussi aux petites entreprises financières ?
Oui, DORA s’applique de manière proportionnée. Les petits établissements bénéficient d’exigences simplifiées, mais doivent eux aussi tenir un registre des prestataires tiers ICT et le déclarer à la BaFin. Le niveau de détail de la documentation dépend de la taille et de la complexité de l’entreprise.
Que se passe-t-il si je manque l’échéance du 30 mars ?
La BaFin peut engager des mesures de surveillance réglementaire, allant de simples remarques à des injonctions, voire à des amendes. La pratique concrète en matière de sanctions ne se dessinera qu’après la première échéance de déclaration. Recommandation : même une déclaration encore incomplète est nettement préférable à l’absence totale de déclaration à la BaFin.
Dois-je également déclarer les prestataires IT internes ?
Non. DORA concerne les prestataires tiers ICT externes. Les sociétés IT internes à un groupe ne sont généralement pas soumises à l’obligation de déclaration, sauf si elles fournissent des services à plusieurs entités régulées au sein du groupe.
En quoi DORA diffère-t-il de NIS2 pour les fournisseurs cloud ?
DORA exige un registre détaillé de tous les prestataires tiers ICT avec des champs spécifiques (LEI, lieu de stockage des données, sous-traitants). NIS2 impose une sécurité générale de la chaîne d’approvisionnement et une gestion des risques. DORA est plus granulaire et propre au secteur, tandis que NIS2 est plus large et intersectoriel.
Puis-je remplir le registre de manière automatisée ?
En partie. Les plateformes GRC comme ServiceNow, SAP GRC et les fournisseurs RegTech spécialisés proposent des modules DORA qui remplissent automatiquement le registre et l’exportent au format xBRL-CSV. Les fournisseurs cloud mettent eux aussi de plus en plus à disposition une documentation de conformité spécifique à DORA, qui peut servir de source de données.
Articles complémentaires
- NIS2 et SaaS – Pourquoi la chaîne d’approvisionnement devient une faille de conformité (cloudmagazin)
- Sovereignty-Washing – Pourquoi un centre de données dans l’UE ne suffit pas encore à garantir la souveraineté des données (cloudmagazin)
- Confidential Computing – Azure permet de protéger les workloads d’IA au niveau matériel (cloudmagazin)
Plus d’articles du réseau MBF Media
- DORA et NIS2 en parallèle – Comment les prestataires de services financiers maîtrisent la double pression de conformité (SecurityToday)
- Cloud-Repatriation 2026 – Pourquoi les CIO rapatrient leurs workloads (Digital Chiefs)
Source de l’image de titre : Mikael Blomkvist / Pexels
