DORA przenosi odpowiedzialność za odporność cyfrową także na relacje z dostawcami ICT – i, co kluczowe, nie pozwala jej scedować. Nawet jeśli usługę świadczy zewnętrzny dostawca chmury, SaaS czy software house, to instytucja finansowa pozostaje w pełni odpowiedzialna za zgodność. Czwarty filar DORA (art. 28-30) wymaga między innymi rejestru informacji