Prestataire critique
Fournisseur de services informatiques désigné par les autorités européennes de supervision comme systémique pour le secteur financier, et soumis à ce titre à un régime de surveillance directe.
La désignation suppose la réunion de quatre conditions cumulatives : l'impact systémique d'une défaillance opérationnelle de grande ampleur, le caractère systémique ou l'importance des entités financières dépendantes, le fait que cette dépendance porte sur des fonctions critiques, et le degré de substituabilité du prestataire. Le quatrième critère est le seul qui mesure réellement le caractère systémique, et il inverse le réflexe concurrentiel : ce qui rend un prestataire critique n'est pas sa part de marché mais l'impossibilité de s'en passer rapidement. La méthode employée pour établir la liste intéresse l'assurance davantage que la liste elle-même, puisqu'un superviseur a obtenu par obligation déclarative la carte des dépendances techniques communes que le marché réclamait depuis quinze ans sans jamais pouvoir la produire, faute de pouvoir contraindre à la déclaration. À ne pas confondre avec la fonction critique ou importante, qui qualifie ce que l'entité financière confie à un tiers : le prestataire critique est désigné par les autorités européennes, la fonction critique est déclarée par l'entité dans son registre d'information. Où le mot se lit : dans le règlement (UE) 2022/2554, dit DORA, à partir de son article 31 ; dans une police, le même risque se lit sous la garantie de carence de fournisseur.
Une surveillance de la gouvernance réduit la probabilité d'une défaillance, elle ne modifie en rien sa conséquence : un régulateur peut rendre un point de défaillance unique plus fiable, il ne peut pas le rendre moins unique. Cas daté : le 18 novembre 2025, les autorités européennes de surveillance ont publié la première liste des prestataires tiers critiques de TIC désignés au titre de DORA, dix-neuf noms où figurent les grands fournisseurs de nuage.
CTPP, critical ICT third-party provider, prestataire tiers critique, prestataire informatique critique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.