Dans le cadre de son objectif d’harmonisation sectorielle visant à renforcer la résilience opérationnelle du secteur financier, le règlement (UE) 2022/2554 (« DORA ») adopte une définition particulièrement large des services TIC. L’article 3 (21) de DORA définit les services TIC comme étant :
« les services numériques et de données fournis de manière permanente par l’intermédiaire des systèmes de TIC à un ou plusieurs utilisateurs internes ou externes, dont le matériel en tant que service et les services matériels qui englobent la fourniture d’assistance technique au moyen de mises à jour de logiciels ou de micrologiciels réalisées par le fournisseur de matériel, à l’exclusion des services de téléphonie analogique traditionnels. »
Cette définition doit être interprétée de manière extensive, comme le précise le considérant 35 du règlement. En effet, cette définition, vise à inclure non seulement les services explicitement qualifiés de services TIC, mais également ceux dits « par contournement » relevant de la catégorie des services de communications électroniques. Par conséquent, seuls les services de téléphonie analogique traditionnelle sont expressément exclus du champ d’application ; à l’inverse, les services téléphoniques numériques sont considérés comme des services TIC au sens du règlement DORA.
Pour autant, il semblerait que l’article 3 (21) et les considérants y afférant ne permettent pas d’identifier clairement les service TIC puisque la Commission européenne a été interrogée1 sur la question de savoir quels types de services devaient être considérés comme tels au sens de DORA.
Plus précisément, la question posée à la Commission européenne portait sur une situation spécifique où un service serait fourni par une entité financière à une autre entité financière soumise à DORA. Dans ce cadre, le service devait-il être considéré comme un service TIC ou un service financier ?
Sans surprise, la Commission européenne confirme que chaque entité soumise à DORA doit adopter une interprétation très extensive de la définition de services TIC afin de déterminer si les services sur lesquels elle s’appuie relèvent ou non de la définition de « services TIC » au sens de l’article 3 (21) de DORA.
En effet, le considérant 63 de DORA précise que :
« les entités financières fournissant des services TIC à d’autres entités financières, devraient également être considérées comme des prestataires tiers de services TIC au titre du présent règlement. »
Dès lors, la Commission européenne estime que l’entité qui bénéficie du service doit déterminer si :
- le service en question constitue un service TIC au sens de DORA ; et
- l’entité fournissant le service et le service fournit sont régulés par le droit de l’Union européenne ou le droit national d’un état membre de l’Union européenne ou d’un pays tiers.
Dans l’hypothèse où l’entité bénéficiant du service détermine que le service en question est un service TIC au sens de DORA et qu’il est fourni par une entité réglementée, alors ledit service devrait être considéré comme un service financier et non un service TIC.
En revanche, la Commission précise que le service doit être directement lié aux activités financières pour lesquelles l’entité est agréée. A défaut, le service devra être traité comme un service TIC au sens de DORA.
1 Question ID2999 - DORA030
