Supervision européenne des prestataires informatiques critiques

Le droit prudentiel s'adresse aux entités réglementées, et un fournisseur d'hébergement n'en est pas une : le superviseur ne pouvait l'atteindre qu'indirectement, par le contrat de l'assureur qui l'emploie, ce qui suppose un rapport de force que l'assureur n'a pas. DORA franchit le pas. Les autorités européennes de surveillance désignent les prestataires de services informatiques jugés critiques pour le secteur financier, au vu de l'importance systémique des entités qui en dépendent, du degré de substituabilité et du caractère critique des fonctions servies. Un superviseur principal est désigné pour chacun, qui peut demander des informations, mener des enquêtes et des inspections y compris sur site, et émettre des recommandations sur la sécurité, la sous-traitance et les conditions contractuelles. Le prestataire qui ne s'y conforme pas s'expose à une astreinte périodique, et les entités financières peuvent se voir demander de suspendre ou de résilier le recours à ses services. Le régime ne transforme pas le fournisseur en entité réglementée, mais il déplace la frontière de la supervision hors du secteur financier, ce qui est sans précédent dans le droit européen des services financiers.