Le Royaume-Uni commencera le 13 juillet à superviser directement quatre fournisseurs de cloud qui soutiennent son secteur financier. HM Treasury a désigné Amazon Web Services EMEA SARL, Google Cloud EMEA Limited, Microsoft Ireland Operations Ltd et Oracle Corporation UK Limited comme premières Critical Third Parties (CTP). Leurs services concernés entreront dans un régime conjoint piloté par la Bank of England (BoE), la Prudential Regulation Authority (PRA) et la Financial Conduct Authority (FCA). [1][2][3]
Ce que la désignation change
Le régime cible une vulnérabilité précise : de nombreuses banques, assurances et infrastructures de marchés financiers dépendent d'un petit nombre de fournisseurs technologiques externes. Si un fournisseur commun subit une cyberattaque ou une panne, la perturbation peut toucher plusieurs entreprises ou marchés à la fois, au lieu de rester un problème opérationnel isolé. [1][2]
Les trois régulateurs se concentreront sur la résilience des services critiques fournis à la finance britannique. Les fournisseurs désignés doivent identifier et gérer les risques pertinents, ainsi que communiquer rapidement avec les régulateurs et les entreprises qui dépendent d'eux, en particulier lors d'incidents majeurs. Reuters indique que des tests de résilience, des auto-évaluations régulières et des signalements d'incidents majeurs seront également exigés. [1][2][3]
Ce que la désignation ne change pas
Le statut de CTP n'est pas une autorisation à fournir des services financiers et ne rend pas un fournisseur de cloud responsable de chaque décision opérationnelle prise par une banque. La BoE précise que la supervision se limite à la résilience des services fournis aux entreprises financières britanniques. Chaque entreprise reste responsable de sa diligence, de sa gestion des risques et de sa planification de continuité pour ses propres accords avec des tiers. [2]
Cette distinction est importante. Il ne s'agit pas d'une tentative générale de réguler le secteur du cloud, mais d'une réponse systémique à une dépendance partagée au sein de la finance. La politique donne aux régulateurs une vision transversale des services utilisés par de nombreuses institutions, tandis que ces institutions conservent la responsabilité de gérer leur propre exposition. [2][3]
Pour les apprenants, l'événement rend plus visible une dépendance habituellement invisible. La politique repose sur une dépendance technique partagée : de nombreuses institutions peuvent être exposées au même fournisseur et à la même perturbation. [1][2] La résilience devient ainsi une question collective, et non seulement une préoccupation informatique privée. Le prochain test sera celui de l'application : cette supervision améliorera-t-elle la préparation aux incidents sans traiter les fournisseurs technologiques comme des banques ? [2]
