Registre d'information DORA : dépôt, dates limites et obligations de déclaration prévues à l'article 28, paragraphe 3
Ce texte a été généré par l'intelligence artificielle (IA).Les établissements financiers relevant du champ d'application de la DORA transmettent chaque année leur registre d'informations à la BaFin — exclusivement via une procédure spécifique de la plateforme de déclaration et de publication (MVP), soit sous forme structurée xBRL-fichier ou via la Modèle Excel de la BaFin. La base juridique est Article 28, paragraphe 3 du règlement (UE) 2022/2554, qui, conformément à son article 64, depuis le 17 janvier 2025 s'applique. Cet article précise ce qui doit figurer dans le registre, quelles sont les dates limites fixées par la BaFin et à partir de quand un dépôt est considéré comme effectué.
En bref :
- Base juridique : DORA, règlement (UE) 2022/2554, Article 28, paragraphe 3 (chapitre V, section I) ; en vigueur depuis 17 janvier 2025
- Mode de dépôt : BaFin-MVP, procédure spécialisée „ Digital Operational Resilience Act (DORA) “
- Formats : fichier structuré (xBRL, taxonomie des AES) ou Modèle Excel de la BaFin — aucun autre format
- Date butoir à partir de 2026 : 31 décembre de l'année précédente; Transmission aux AES par l'autorité de surveillance jusqu'au 31 mars de chaque année
- La déclaration n'est considérée comme effectuée que lorsque, lorsqu'elle Règles de validation des AES s'est déroulé avec succès
Ce qu'exige l'article 28, paragraphe 3 — et ce que la BaFin en fait
L'article 28, paragraphe 3, de la directive DORA oblige les établissements financiers à „ de tenir et de mettre à jour, dans le cadre de leur dispositif de gestion des risques liés aux TIC, au niveau de l’entreprise ainsi qu’aux niveaux partiellement consolidé et consolidé, un registre d’informations “ portant sur l’ensemble des accords contractuels relatifs à l’utilisation de services TIC. Le deuxième alinéa exige une documentation appropriée qui distingue les accords relatifs à des fonctions critiques ou importantes de tous les autres. Le troisième alinéa prévoit un rapport annuel sur le nombre de nouveaux accords, les catégories de prestataires de services TIC tiers et la nature des services. Le quatrième alinéa impose la présentation du registre complet „ sur demande “, tandis que le cinquième exige la notification en temps utile des accords prévus pour des fonctions critiques ou importantes.
Le site annuelle Cette obligation ne découle pas directement du texte du règlement, mais de sa mise en œuvre sur le plan prudentiel : Étant donné que les AES ont besoin des registres pour la classification annuelle des prestataires de services TIC tiers critiques, la ligne directrice n° 5 des lignes directrices communes relatives à la coopération en matière de surveillance prévoit que les autorités compétentes les leur transmettent. La BaFin en déduit l’obligation de transmission annuelle visée au quatrième alinéa.
Le rapport annuel ne constitue pas une deuxième déclaration
Il y a un point qui génère régulièrement des efforts inutiles : le rapport sur la Nombre de nouveaux contrats dans le secteur des TIC Conformément au troisième alinéa, selon l'interprétation actuelle de la BaFin, pas de déclaration à effectuer séparément. La BaFin part du principe que cette obligation est remplie par la transmission annuelle du registre d'informations et prévoit de recenser elle-même le nombre de nouveaux contrats relatifs aux TIC — dans le but explicite d'alléger encore la charge des entreprises du secteur financier.
Ainsi, quiconque met en place son propre processus pour déclarer cet indicateur séparément via le MVP crée, en l'état actuel des choses, une procédure à laquelle l'autorité de surveillance ne s'attend pas. Cet indicateur conserve néanmoins toute sa pertinence pratique : il découle naturellement d’un registre correctement tenu, et sa traçabilité tout au long de l’année constitue un bon indicateur permettant de déterminer si la mise à jour du registre s’effectue réellement de manière continue ou seulement peu avant la date de référence. La position de la BaFin étant formulée en l'état actuel des choses, elle fait partie des points qui devraient être réexaminés avant chaque cycle de déclaration.
Ce qui doit figurer dans le registre : les sous-traitants également
Son champ d'application est souvent défini de manière trop restrictive. Le registre doit donner une vue d'ensemble de l'ensemble des contrats conclus avec des prestataires tiers de services TIC qui fournissent des services TIC à l'entreprise financière. Pour les services qui fonctions critiques ou importantes Cela ne suffit pas : dans ce cas, le registre recense non seulement les prestataires tiers directs dans le domaine des TIC, mais aussi l'ensemble des sous-traitants qui assurent la prestation du service.
Une règle distincte s'applique aux prestataires internes au groupe. Si un prestataire informatique interne au groupe fait appel à des sous-traitants pour fournir ses prestations, la chaîne de prestation informatique doit toujours comporter au moins les éléments suivants dans le registre : premier sous-traitant extérieur au groupe englobent — et ce, même lorsque les services fournis ne soutiennent pas des fonctions critiques ou essentielles.
En matière de collecte de données, cela signifie que la classification „ critique ou importante “ détermine la profondeur de la chaîne d'approvisionnement qui doit être documentée. Si une fonction ne devient critique qu'au cours de l'année, le nombre de sous-traitants à recenser augmente en conséquence. Cette interdépendance entre la criticité d'une fonction et le niveau de détail du registre explique pourquoi l'évaluation de la criticité doit précéder la constitution du registre, et non l'inverse.
Soumission via le MVP : procédures spécifiques, formats, activation du compte déclarant
La BaFin reçoit les registres d'informations exclusivement via la procédure spécialisée „ Digital Operational Resilience Act (DORA) “ dans le MVP. Seuls deux formats sont autorisés : un fichier structuré au format xBRL-format conforme à la taxonomie des AES, ou qui Modèle Excel de la BaFin. Pour la procédure de soumission de 2026, les AES n'ont apporté aucune modification technique à la taxonomie.
Ce modèle Excel existe pour une raison bien précise : contrairement à la phase de test de l'été 2024, pour la soumission officielle, aucun outil de conversion des AES. La BaFin a mis à disposition ce modèle comme alternative au fichier structuré, la structure indiquée devant être impérativement respectée.
Sur le plan organisationnel, la Activation du détecteur Le premier obstacle : chaque établissement financier doit faire valider ses déclarants désignés pour la procédure spécifique DORA avant de pouvoir effectuer une soumission. Une procédure spécifique distincte intitulée „ TEST : Digital Operational Resilience Act (DORA) “ est disponible pour les tests. En complément, la BaFin met à disposition des instructions de remplissage, un modèle Excel prérempli à titre d’exemple, un aperçu des codes d’erreur possibles accompagnés des solutions correspondantes, ainsi que des conseils pour la soumission via le portail MVP.
Dates clés et cadence annuelle
Pour le premier cycle, les délais fixés permettaient d’expliquer clairement le mécanisme : les AES s’attendaient à ce que les autorités compétentes leur transmettent les registres au plus tard le 30 avril 2025, toutes les informations relatives au contrat à la date de référence devraient y figurer 31 mars 2025. Il en a résulté, pour les entreprises soumises à la surveillance de la BaFin, un délai de dépôt allant du Du 14 au 28 avril 2025, au plus tard le 28 avril 2025.
À partir de 2026, un rythme permanent s'appliquera : la transmission des registres aux AES aura lieu au plus tard le 31 mars de chaque année a lieu, et les registres doivent contenir toutes les informations relatives aux contrats à la date de référence le 31 décembre de l'année précédente comprennent. Pour le cycle 2026, la BaFin a donc fixé la date de référence 31 décembre 2025 et une période de dépôt des candidatures allant du Du 9 au 30 mars 2026 dérivé de.
Selon cette systématique, la date de référence du cycle suivant est déjà connue dès la fin de l'année — la période de dépôt concrète est en revanche communiquée séparément par la BaFin à chaque fois. Ceux qui organisent la mise à jour du registre à la fin de l'année civile plutôt que pendant la période de dépôt de mars travaillent en phase avec le rythme plutôt que contre lui.
Quand une demande est-elle considérée comme ayant été déposée ?
C'est là que les soumissions échouent dans la pratique : le téléchargement ne marque pas la fin du processus. Une fois la soumission effectuée, les sociétés financières reçoivent un Journal des erreurs; les éventuelles erreurs doivent être corrigées dans les plus brefs délais et le registre d'informations doit être soumis à nouveau. Le registre n'est considéré comme conforme aux exigences prudentielles que lorsqu'il conformément aux règles de validation des AES a été soumise avec succès.
Les entreprises peuvent suivre l'état d'avancement dans le journal des déclarations du portail MVP. Si la déclaration est acceptée par les AES, cela apparaît dans ce journal ; toutefois, en raison du processus de transmission, quelques jours peuvent s'écouler avant que la déclaration n'apparaisse dans le journal. En cas de rejet, le portail répertorie les erreurs signalées ; celles-ci doivent être corrigées sans délai, et le registre corrigé doit être transmis via un nouvelle annonce distincte le télécharger à nouveau.
De plus, après réception des registres, les AES procèdent à des contrôles supplémentaires de la qualité des données, qui peuvent mettre en évidence des incohérences au niveau du contenu. Ces retours d’information sont transmis à la BaFin via la boîte aux lettres MVP ; hormis la liste des anomalies, elle ne dispose d’aucune autre information. Il appartient donc à l’établissement financier d’apporter les éclaircissements nécessaires. La BaFin souligne expressément qu’elle attend un niveau élevé de qualité des données en termes d’exactitude et d’exhaustivité.
Obligation de déclaration et allègement prévu en cas de déclarations en double
Outre le dépôt du registre, l'article 28, paragraphe 3, cinquième alinéa, exige que l'autorité de surveillance soit informée en temps utile de tout accord contractuel prévu visant à soutenir des fonctions critiques ou importantes — ainsi que lorsqu'une fonction n'est devenue critique ou importante qu'ultérieurement.
Étant donné que les dispositions sectorielles en matière de délocalisation s'appliquent en complément de la directive DORA, cette déclaration fait souvent double emploi avec des obligations de déclaration existantes. La BaFin en précise concrètement les fondements : § 24, alinéa 1, point 19, de la loi allemande sur le crédit (KWG), § 47, points 8 et 9, de la loi allemande sur les assurances (VAG), § 28, alinéa 1, point 10, de la loi allemande sur les services financiers (ZAG), § 36, alinéa 2, de la loi allemande sur les fonds d'investissement (KAGB) et § 64, alinéa 1, point 13, de la loi allemande sur les valeurs mobilières (WpIG).
Afin d’éviter les doubles déclarations, la BaFin procède actuellement à la refonte de la procédure technique MVP „ Déclaration d’externalisation “ utilisée depuis fin 2022 : à l’avenir, il suffira de cocher une case pour satisfaire à la fois à l’obligation sectorielle et à celle prévue par la DORA au moyen d’une seule et même déclaration. La BaFin n'a pour l'instant pas communiqué de date pour cette mise en place. D'ici là, une solution provisoire s'applique : les déclarations d'externalisation doivent être soumises comme d'habitude via le portail MVP, et la déclaration DORA devra être ajoutée ultérieurement, une fois la révision terminée, par le biais d'une déclaration de modification ou de mise à jour. Si un cas ne nécessite pas de déclaration d’externalisation, l’entreprise en informe la BaFin par e-mail à l’aide d’un formulaire Excel mis à disposition.
Ce que cela implique pour la gestion des données
Le registre n'exige pas un instantané, mais un ensemble de données fiable à la date de référence et reflétant de manière traçable les modifications intervenues au cours de l'année — signatures de contrats et résiliations, ainsi que modifications apportées aux fonctions TIC. Deux de ces exigences peuvent être prises en charge sur le plan technique :
- C-VRM (surveillance des fournisseurs) permet de collecter de manière structurée et continue des informations sur les prestataires tiers, de sorte que les données relatives aux prestataires de services TIC inscrits au registre ne soient pas rassemblées uniquement à la date de référence.
- EASM (inventaire des actifs) permet de mettre en évidence et de documenter les références aux actifs qui ne sont pas ou plus gérées en interne — ce qui s'avère utile lorsque le niveau de détail des registres dépend du caractère critique d'une fonction.
Ces deux éléments ne remplacent ni l'évaluation de la criticité ni la classification prudentielle ; ils fournissent des données de référence pour ces deux aspects. Pour les organisations qui tiennent compte du lieu de traitement dans leurs données de conformité : LocateRisk est Fabriqué en Allemagne, conçu conformément aux exigences du RGPD, Certifié ISO 27001 et est hébergé exclusivement dans des centres de données allemands certifiés, sans aucun traitement des données par des prestataires américains.
Sources et informations complémentaires
—
Remarque à titre personnel : Cet article reflète la situation juridique au moment de sa publication. Le droit des technologies de l'information et les exigences en matière de conformité étant extrêmement complexes, ce texte ne constitue qu'un premier guide et ne saurait être considéré comme un avis juridique contraignant. En cas de doute, nous vous recommandons de solliciter un avis juridique pour la mise en œuvre au sein de votre entreprise. Toute responsabilité quant au contenu est exclue.
Questions fréquentes
Le registre d'informations visé à l'article 28, paragraphe 3, de la DORA est un répertoire de tous les accords contractuels relatifs à l'utilisation des services TIC fournis par des prestataires tiers à une entreprise financière. Il est tenu au niveau de l'entreprise ainsi qu'aux niveaux partiellement consolidé et consolidé, et est mis à jour en permanence ; il convient à cet égard de distinguer les accords relatifs à des fonctions critiques ou importantes de tous les autres. Dans le cas des services destinés à des fonctions critiques ou importantes, les sous-traitants doivent également figurer dans le registre.
Pas lors du téléchargement. Une fois la déclaration soumise, les établissements financiers reçoivent un rapport d'erreurs ; les erreurs doivent être corrigées dans les plus brefs délais et le registre doit être soumis à nouveau. La déclaration n'est considérée comme valablement soumise au regard de la réglementation prudentielle qu'après avoir satisfait aux règles de validation des AES. Le statut est indiqué dans le journal des notifications du portail MVP, mais la confirmation peut prendre quelques jours en raison de la transmission aux AES. En cas de rejet, le registre corrigé doit être téléchargé via une nouvelle notification distincte.
À partir de 2026, les registres devront contenir l'ensemble des informations contractuelles à la date de référence du 31 décembre de l'année précédente ; leur transmission aux AES par les autorités compétentes devra avoir lieu au plus tard le 31 mars de chaque année. Pour le cycle 2026, la BaFin a fixé la date de référence au 31 décembre 2025 et la période de soumission du 9 au 30 mars 2026. Seuls sont autorisés un fichier xBRL structuré conforme à la taxonomie des AES ou le modèle Excel de la BaFin.
Mise à jour : 19 août 2026. Cet article est publié à titre d'information générale et ne constitue en aucun cas un conseil juridique, de sécurité ou d'action dans un cas particulier. La situation en matière de sécurité et la disponibilité des correctifs peuvent avoir évolué depuis la publication ; l'avis du fabricant accessible via le lien fait toujours foi. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude ni l'exhaustivité des informations fournies.
Français 
Deutsch 
English