29% des 3 383 incidents ICT majeurs déclarés par le secteur financier européen en 2025 trouvent leur origine chez un prestataire tiers (ESAs, 2026). Près d’un tiers de ces incidents ont par ailleurs eu un impact transfrontalier.
Ces chiffres illustrent une réalité : la résilience d’un établissement dépend aussi de celle de son écosystème technologique. La panne d’AWS d’octobre 2025 l’a illustré, avec des perturbations en cascade bien au-delà d’un service isolé.
Depuis novembre 2025, 19 Critical ICT Third-Party Providers (CTPPs), parmi lesquels AWS, Microsoft, Google Cloud, Bloomberg, IBM, Oracle ou SAP, ont été désignés par les ESAs et sont soumis au dispositif de supervision prévu par DORA (ESAs, 2025).
Identifier les fournisseurs critiques ne supprime pas le risque de concentration. La dépendance à un nombre restreint de fournisseurs et d’infrastructures demeure.
Pour les établissements financiers, le chantier consiste à cartographier précisément les dépendances qui soutiennent leurs fonctions critiques, évaluer leur niveau de concentration et de substituabilité, et construire des stratégies de sortie opérationnelles.
Au-delà d’être un sujet d’outsourcing, le concentration risk est un enjeu de résilience opérationnelle.