DORA art. 28: registre d’information — attentes CSSF 2026

Fait vérifiable — La CSSF a ouvert le portail eDesk et fixé la première fenêtre 2026 de soumission du « registre d’information » (RoI) DORA entre le 11 février et le 31 mars 2026. Enseignement — Le niveau de détail est fixé par l’ITS (UE) 2024/2956 et contrôlé par des règles de validation strictes. Voir l’annonce CSSF: portail eDesk ouvert et l’ITS: règlement d’exécution (UE) 2024/2956.

L’affaire

Le 11 février 2026, la CSSF a annoncé l’ouverture de son portail eDesk pour la collecte du RoI exigé par l’article 28(3) du règlement DORA (UE) 2022/2554. Les entités financières de son périmètre de surveillance devaient soumettre leur RoI au plus tard le 31 mars 2026 (branches de pays tiers de banques: 30 juin 2026 sur base du « best effort »). Cette collecte découle aussi de la Circulaire CSSF 25/882. Référence: communiqué CSSF.

Côté européen, le format et les champs à déclarer sont fixés par le règlement d’exécution (UE) 2024/2956 du 29 novembre 2024, qui établit les templates normalisés du registre au titre de l’article 28(9) DORA. La page CSSF ICT and cyber risk – for DORA entities renvoie explicitement à ce texte et à la documentation pratique (taxonomie, validations) publiée par les ESAs. Pour un rappel de fond, voir aussi notre page cadre DORA et résilience opérationnelle.

Le raisonnement juridique

• Base légale primaire. L’article 28(3) de DORA impose à chaque entité financière de tenir et mettre à jour, au niveau entité, sous‑consolidé et consolidé, un registre d’informations couvrant tous les accords contractuels portant sur l’utilisation de services TIC fournis par des prestataires tiers. Il prévoit aussi une communication annuelle d’indicateurs sur les nouveaux accords et une information en temps utile du superviseur pour tout accord soutenant une fonction critique ou importante. Réf.: page CSSF DORA.
• Normalisation du contenu. En vertu de l’article 28(9) DORA, la Commission a arrêté, via l’ITS 2024/2956, des gabarits détaillés précisant la granularité attendue: identification de chaque prestataire TIC, de chaque arrangement contractuel, des fonctions et services TIC soutenus, des sous‑traitants en chaîne, des pays, et des marqueurs « critical/important ». Voir l’ITS 2024/2956.
• Exigences et modalités au Luxembourg. La CSSF rappelle que le RoI doit être disponible et transmis annuellement (et à tout moment sur demande), que les « planned arrangements » soutenant des fonctions critiques/importantes doivent être notifiés en amont (délais précisés par la Circulaire 25/882), et que la soumission suit les règles de validation ESA/CSSF (taxonomie, contrôles, messages d’erreur). Réf.: guides CSSF.
• Clarifications ESA. Les Q&A DORA publiées par l’EBA/ESAs précisent l’articulation entre la communication annuelle prévue à l’article 28(3) (statistiques sur les nouveaux accords) et les autres obligations (RoI, notifications « planned arrangements »), confirmant leur complémentarité: Q&A 2025_7309.

Ce que ça change concrètement

1. Un inventaire « machine‑readable » au niveau contrat. Le RoI agrège, pour chaque relation TIC, des attributs normalisés (identifiants du prestataire — LEI si disponible —, type de service TIC, rattachement à des fonctions, statut « critical/important », chaîne de sous‑traitance, pays, dates clés, références contractuelles). L’exhaustivité et la cohérence inter‑tables sont testées par des validations ESA/CSSF. Voir l’ITS 2024/2956.
2. Une gouvernance de la chaîne critique. Les champs « fonctions critiques/importantes » et « sub‑outsourcing » transforment le RoI en carte des dépendances opérationnelles, utilisée par la CSSF et les ESAs (incluant l’oversight des prestataires TIC critiques). Attendez‑vous à des questions ciblées sur des chaînes où un même sous‑traitant concentre plusieurs fonctions critiques. Pour structurer ce volet, voir notre service plan de continuité et DORA résilience.
3. Un calendrier durablement cadencé. La fenêtre 2026 a fixé la barre: soumission via eDesk, contrôles automatiques, puis échanges correctifs si nécessaire. Stabilisez un processus annuel (qualité des données, ownership par domaine, outillage xBRL‑CSV/CSV, contrôles pré‑soumission) et un « trigger » pour notifier en temps utile tout projet touchant une fonction critique/importante. Réf. CSSF: mise à jour RoI. Pour un accompagnement local, voir DORA au Luxembourg (CSSF).

Exemples concrets (Luxembourg)

• Contrat SaaS RH avec hébergement chez un hyperscaler hors UE, soutenant la paie (souvent « importante »): RoI à jour, notification préalable si la paie est « important », et vérification des champs pays/sous‑traitants/clauses de réversibilité. Réf.: page CSSF DORA.
• Migration de core‑banking vers un prestataire européen avec chaîne de sous‑traitance longue: prévoir le mapping complet des sub‑outsourcers et la documentation de matérialité, puis notifier trois mois avant la signature si la fonction est « critical ». Réf.: guides CSSF.

Pièges fréquents

1. Confondre « registre fournisseurs » et RoI DORA. Un tableau achats ne suffit pas: il manque l’assignation aux fonctions, le statut « critical/important », la chaîne de sous‑traitance et les identifiants exigés (ex. LEI). Résultat: rejets par validations ESA/CSSF. Voir l’ITS 2024/2956.
2. Oublier le niveau de consolidation. DORA exige un RoI au niveau entité, sous‑consolidé et consolidé. La CSSF a publié des « guidance tables » pour savoir à quel niveau soumettre: un mauvais périmètre déclenche incohérences et demandes correctives. Réf.: guidances CSSF.
3. Zapper la notification préalable des « planned arrangements ». Le RoI annuel ne remplace pas l’obligation d’informer en temps utile le superviseur avant un accord soutenant une fonction critique/importante (délais précisés par 25/882). Les Q&A ESA confirment la complémentarité: Q&A 2025_7309.
4. Sous‑estimer le sub‑outsourcing. Les chaînes de sous‑traitance partielles ou mal rattachées aux contrats provoquent des erreurs de cohérence. La CSSF publie un guide d’interprétation et de résolution des messages d’erreur: guidance CSSF (PDF).
5. Rater des champs « identifiants » et « pays ». Les validations rejettent souvent l’absence d’identifiant (LEI, code pays) ou des formats non conformes à la taxonomie. Testez vos exports contre les règles ESA avant envoi eDesk. Réf.: page CSSF DORA.

Sources officielles

• CSSF — Délai de soumission du registre d’information — eDesk: communiqué
• CSSF — Register of Information collection — Update (31.03.2026): mise à jour
• EUR‑Lex — Règlement d’exécution (UE) 2024/2956: texte
• CSSF — ICT and cyber risk – for DORA entities: page de référence
• CSSF — Guidance for interpretation and resolution of CSSF error messages (PDF): document
• EBA/ESAs — Q&A DORA (ex. 2025_7309): Q&A

En pratique, ancrez votre dispositif sur l’ITS 2024/2956 et les guides CSSF: un RoI complet et correct est autant une exigence réglementaire qu’un levier de maîtrise de votre dépendance TIC. Au Luxembourg, la CSSF contrôle la qualité de ces données — et l’« histoire » opérationnelle qu’elles racontent. Pour renforcer la gouvernance et la résilience, notre pilotage cyber par un CISO externalisé peut compléter vos dispositifs.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.