La réglementation DORA : Un cadre renforcé pour la résilience opérationnelle numérique en Europe

Dans un monde où les technologies numériques sont devenues le pilier des services financiers, la gestion des risques liés à la cybersécurité et à la résilience opérationnelle des systèmes d’information est devenue une priorité. En réponse à ces défis croissants, l’Union Européenne a mis en place un cadre réglementaire appelé DORA (Digital Operational Resilience Act), ou Réglementation sur la Résilience Opérationnelle Numérique. Adoptée en 2022, cette réglementation vise à garantir que les acteurs du secteur financier au sein de l’UE sont suffisamment préparés pour gérer les risques liés aux perturbations numériques, notamment les cyberattaques.

Ce règlement entre en application le 17 janvier 2025.

Cet article détaille les aspects clés de DORA, son champ d’application et ses exigences de sécurité.

 Contexte et objectifs de la réglementation DORA

Le secteur financier européen a été confronté à une montée en puissance des cybermenaces au cours des dernières décennies. De nombreuses attaques ont démontré que les perturbations des systèmes numériques peuvent avoir des conséquences graves non seulement pour les entreprises ciblées, mais aussi pour l’ensemble du système financier. Par ailleurs, la dépendance croissante à l’égard des tiers fournisseurs de services technologiques (comme les services cloud ou les plateformes de paiement) expose les institutions financières à des risques systémiques.

La réglementation DORA s’inscrit dans cette dynamique de protection. Elle fait partie d’un ensemble de mesures plus large prises par l’UE pour renforcer la cybersécurité, la résilience et l’intégrité des entreprises européennes (Directive NIS2).

L’objectif principal de DORA est d’assurer une résilience opérationnelle robuste face aux cyberattaques et autres perturbations numériques, garantissant que les institutions financières peuvent continuer à fournir leurs services même en cas de défaillance technologique majeure.

Champ d’application de DORA

DORA s’applique à un large éventail d’acteurs dans le secteur financier. Elle concerne non seulement les banques et les compagnies d’assurance, mais également une variété d’institutions et d’entités impliquées dans la fourniture de services financiers ou technologiques. Voici une liste non exhaustive des entités concernées par DORA :

– Les établissements de crédit (banques),
– Les entreprises d’investissement,
– Les assureurs et réassureurs,
– Les institutions de paiement,
– Les prestataires de services cloud et autres fournisseurs de services TIC critiques (technologies de l’information et de la communication),
– Les infrastructures de marché (systèmes de paiement, chambres de compensation, etc.),
– Les organismes de gestion d’actifs (fonds d’investissement).

En résumé, toute entité du secteur financier ou technologique ayant un impact sur la sécurité et la continuité des opérations financières tombe sous le coup de la réglementation DORA.

Exigences principales de la réglementation DORA

La réglementation DORA impose des obligations précises aux institutions financières pour garantir une gestion rigoureuse des risques informatiques. Les principales exigences de DORA se concentrent autour de 5 piliers :

1. La gestion des risques,
2. Les tests de résilience,
3. La gestion des incidents,
4. La gestion des tiers fournisseurs
5. La notification des incidents et le partage d’informations liées aux cybermenaces

Gestion des risques liés aux TIC
DORA exige que les institutions financières mettent en place un cadre de gestion des risques liés aux technologies de l’information et de la communication (TIC). Cela implique :
– Une évaluation régulière des risques liés à la sécurité des systèmes d’information, des données et des processus numériques.
– L’adoption de politiques et de processus adaptés pour prévenir, détecter, et répondre aux incidents.
– La mise en œuvre de mesures de sécurité pour protéger l’intégrité des systèmes et des données, et garantir leur disponibilité et leur confidentialité.

Tests de résilience opérationnelle
DORA impose la mise en place de tests réguliers de la résilience opérationnelle pour évaluer la capacité des institutions financières à continuer de fonctionner pendant et après des perturbations. Ces tests comprennent :
– Des simulations d’incidents, y compris des cyberattaques,
– Des tests de continuité opérationnelle pour s’assurer que les systèmes peuvent être restaurés après une panne.
Les tests doivent être menés à différents niveaux, en incluant des tests internes mais aussi des tests réalisés par des tiers indépendants dans certains cas.

Gestion des incidents liés aux TIC
L’une des exigences clé de DORA est la mise en place de mécanisme de gestion des incidents. Les institutions financières doivent :
– Assurer une détection rapide des incidents de cybersécurité ou des perturbations des systèmes.
– Notifier les autorités compétentes de tout incident majeur, avec des délais de notification stricts.
– Mettre en place des procédures de réponse et de récupération en cas d’incidents, afin de minimiser les impacts.

Gestion des tiers fournisseurs
La dépendance aux fournisseurs externes, tels que les prestataires de services cloud ou les plateformes de traitement des paiements, pose un risque potentiel pour la résilience opérationnelle. DORA oblige les institutions financières à surveiller et gérer efficacement leurs relations avec les fournisseurs tiers critiques.

Cela inclut :
– L’évaluation des risques liés aux services fournis par des tiers critiques ;
– L’intégration de clauses contractuelles spécifiques dans les contrats avec ces fournisseurs pour garantir leur conformité aux exigences de DORA (exigences de sécurité, clause d’audit, définitions des responsabilités en cas d’incident ou de panne ; définition de SLA précisant les niveaux de service, les délais de résolution d’incidents, et les pénalités pour non-respect…) ;
– La surveillance continue des performances des tiers pour s’assurer qu’ils respectent les normes de sécurité.

Notification des incidents majeurs
DORA impose aux institutions financières de notifier rapidement les incidents majeurs aux autorités de surveillance compétentes. Cette obligation de notification vise à permettre une réponse coordonnée à l’échelle de l’UE en cas de cyberattaque ou de panne d’envergure, afin de limiter les effets d’entraînement sur le système financier européen.

Conclusion

La réglementation DORA représente une avancée majeure dans la protection du secteur financier européen contre les cybermenaces et les perturbations numériques. En établissant des normes strictes pour la gestion des risques liés aux TIC et la résilience opérationnelle, elle contribue à renforcer la sécurité et la stabilité de l’ensemble du système financier. Bien que la mise en œuvre de DORA puisse être un défi pour certaines institutions, elle offre à terme une protection accrue contre les perturbations, améliore la confiance des parties prenantes et garantit une réponse coordonnée face aux cyber incidents majeurs.

Pour découvrir notre méthodologie d’accompagnement à la mise en conformité DORA, cliquez ICI

Si vous souhaitez échanger avec un de nos experts à propos de ce règlement, veuillez vous rendre ICI