Registre d'information DORA

On ne supervise pas une concentration qu'on ne voit pas. Avant DORA, aucun superviseur ne savait combien d'assureurs européens dépendaient du même fournisseur de services en nuage pour la même fonction critique, et chaque entité l'ignorait souvent pour sa propre chaîne de sous-traitance au-delà du premier rang. Le registre d'information corrige cela par un inventaire à format imposé : identification du prestataire par un code standardisé, fonction servie, caractère critique ou important de cette fonction, pays de fourniture et de stockage des données, chaîne de sous-traitance, date de fin de contrat, stratégie de sortie. Chaque entité le tient à jour et le remet à son autorité compétente, qui le transmet aux autorités européennes de surveillance. C'est cette remontée qui alimente la désignation des prestataires critiques soumis à supervision directe. La difficulté pratique tenue pour secondaire s'est révélée centrale : identifier correctement chaque prestataire par un identifiant unique, et reconstituer les sous-traitants de rang deux et au-delà, suppose une information contractuelle que beaucoup d'entités n'avaient jamais collectée.