Ressources › Guide
B_05.02 : sept colonnes, et une seule que presque tout le monde remplit à l'envers
Le tableau B_05.02 décrit la chaîne d'approvisionnement de vos services TIC : qui fournit quoi, et qui se trouve derrière. Il tient en sept colonnes, dont quatre sont obligatoires. C'est l'un des plus courts du registre, et l'un des plus fréquemment mal renseignés — parce que trois de ses règles ne se déduisent pas de la lecture des intitulés.
Cet article les parcourt une par une, à partir du layout annoté publié par l'ABE le 17 décembre 2024 et de la FAQ des autorités européennes de surveillance du 28 mars 2025.
Les sept colonnes, telles que l'ITS les définit
| Code | Intitulé officiel | Obligatoire | Ce qu'il faut y mettre |
|---|---|---|---|
| 0010 | Contractual arrangement reference number | Oui | La référence du contrat entre l'entité financière — ou la filiale du groupe — et le prestataire TIC direct. C'est la clé qui relie cette chaîne au tableau B_02.01. |
| 0020 | Type of ICT services | Oui | Une valeur de liste fermée. Avec la colonne 0010, c'est ce couple qui définit une chaîne : deux types de services sur un même contrat, ce sont deux chaînes distinctes. |
| 0030 | Identification code of the ICT third-party service provider | Oui | Le prestataire décrit par cette ligne. Il doit exister dans B_05.01 : un code cité ici et absent là-bas est un renvoi cassé, et le dépôt est refusé. |
| 0040 | Type of code to identify the ICT TPP | Conditionnel | Liste fermée — LEI, EUID ou autre type de code. Il doit être cohérent avec le code fourni en 0030. |
| 0050 | Rank | Oui | 1 pour le prestataire direct, puis 2, 3, n pour chaque niveau de sous-traitance. Un entier, sans limite théorique. |
| 0060 | Identification code of the recipient of sub-contracted ICT services | Selon le rang | Le prestataire de rang n−1 : celui qui a sous-traité au prestataire de cette ligne. Vide au rang 1. C'est la colonne qui pose problème. |
| 0070 | Type of code to identify the recipient | Selon le rang | La même liste fermée que la colonne 0040, appliquée au destinataire. |
Le rang : 1 est bien votre prestataire direct
Une confusion circule sur ce point, et elle mérite d'être coupée court. Le rang 1 désigne le prestataire TIC direct, celui avec lequel l'entité financière a signé le contrat référencé en colonne 0010. La FAQ des autorités est explicite lorsqu'elle définit ce qu'est une chaîne d'approvisionnement :
« The ICT service supply chain is defined by […] the contractual arrangement reference number between the financial entity and the direct ICT TPP (rank 1 in the ICT service supply chain). »
FAQ « DORA RoI reporting », 28 mars 2025, question 85.
La même FAQ précise deux choses utiles. Le rang désigne la position dans la chaîne de services TIC indépendamment de la structure de groupe des entités financières : ce n'est pas un organigramme. Et il n'existe aucune limite théorique au nombre de rangs — une chaîne à quatre ou cinq niveaux n'a rien d'anormal.
La colonne 0060 : le « destinataire », ce n'est pas vous
L'intitulé de la colonne 0060 — « identifiant du destinataire des services sous-traités » — se lit spontanément comme désignant celui qui reçoit le service. C'est-à-dire vous. C'est la lecture naturelle, et c'est la mauvaise.
« The recipient is the ICT third-party service provider at rank n−1 and the subcontractor providing service is then at rank n. »
FAQ « DORA RoI reporting », 28 mars 2025, question 81.
Le destinataire est donc le maillon précédent de la chaîne : le prestataire qui a sous-traité au prestataire décrit par la ligne. Pour un sous-traitant de rang 3, la colonne 0060 contient le code du prestataire de rang 2 de la même chaîne — jamais votre propre identifiant, jamais le prestataire direct par défaut.
Renseigner son propre identifiant sur chaque ligne transforme la chaîne en étoile centrée sur l'entité financière : toutes les lignes pointent vers vous, et l'ordre réel des sous-traitances disparaît. Le fichier reste techniquement valide. L'information que le régulateur cherche à obtenir, elle, n'y est plus.
Le corollaire est mécanique. Au rang 1, il n'y a pas de maillon précédent : la colonne 0060 reste vide. Au rang 2 ou au-delà, elle est renseignée, et le code qu'elle contient doit correspondre au prestataire déclaré au rang immédiatement supérieur de la même chaîne.
Ce qu'est une chaîne, exactement
Une chaîne n'est pas « la liste de mes sous-traitants ». La FAQ la définit par trois éléments, et le troisième est un critère de périmètre :
- la référence du contrat entre l'entité financière et le prestataire TIC direct — le rang 1 ;
- le service TIC fourni par ce prestataire direct, si ce service soutient une fonction critique ou importante, ou une partie substantielle de celle-ci ;
- tous les sous-traitants qui sous-tendent effectivement la fourniture du service, c'est-à-dire ceux dont l'interruption porterait atteinte à la sécurité ou à la continuité de la prestation.
Le troisième point n'est pas une invitation à l'exhaustivité. La question à poser n'est pas « ce prestataire a-t-il des sous-traitants ? » mais « la défaillance de ce sous-traitant dégraderait-elle le service ? ». C'est un jugement que l'entité doit poser et savoir défendre ; aucun automatisme ne le rendra à sa place.
Trois cas qui reviennent
Un service qui relève de plusieurs types. Un SaaS qui fournit également des services de sécurité TIC, par exemple. La FAQ demande d'ajouter des lignes : un même prestataire, un même contrat, mais un type de service par ligne — donc une chaîne par type.
Un sous-traitant intragroupe. Il se déclare comme les autres. Les sous-traitants peuvent être intra ou extragroupe, et le rang décrit la chaîne de services, pas l'appartenance capitalistique.
Une chaîne profonde. Puisqu'il n'existe pas de rang maximal, la profondeur n'est jamais en soi un problème. En revanche, une chaîne systématiquement arrêtée au rang 2 pour un service qui soutient une fonction critique décrit surtout l'état de votre visibilité sur vos prestataires — et c'est précisément ce que le registre est censé rendre lisible.
Les erreurs qui font refuser un dépôt sur ce tableau
- Un code en 0030 ou en 0060 qui n'existe pas dans B_05.01 : un renvoi cassé entre deux tableaux, invisible dans un tableur.
- Une valeur de 0020 hors liste fermée — un libellé saisi à la main au lieu du code de la liste.
- Un rang 1 accompagné d'un destinataire, ou un rang supérieur à 1 sans destinataire : les deux sont contradictoires par construction.
- Deux lignes identiques sur le quadruplet contrat / type de service / prestataire / rang. Le doublon est un rejet, pas un avertissement.
Ce qu'il faut en retenir
Sur sept colonnes, deux portent l'essentiel de la difficulté, et aucune des deux n'est difficile à comprendre une fois énoncée : le rang 1 est votre prestataire direct, et le destinataire est le maillon d'avant. Le reste est de la rigueur — des codes qui doivent exister ailleurs, des valeurs qui doivent venir d'une liste, des lignes qui ne doivent pas se répéter.
C'est exactement le genre de vérification qu'un tableur ne fait pas et qu'un programme fait intégralement. Obligia contrôle les renvois entre B_05.02 et B_05.01 à chaque enregistrement, refuse les valeurs hors liste au moment de la saisie, et vérifie la cohérence des rangs sur toute la chaîne.
Pour aller plus loin : le registre d'information, modèle par modèle et pourquoi un dépôt est rejeté.
Ce guide est une information générale et non un conseil réglementaire ; la responsabilité du dépôt incombe à l'entité.