Règlement DORA : le cadre européen de résilience opérationnelle numérique

Le 17 janvier 2025, le règlement UE 2022/2554, appelé Digital Operational Resilience Act (DORA), est entré en vigueur dans tous les États membres de l’Union européenne. Adopté le 14 décembre 2022, ce règlement s’intègre dans un ensemble plus large d’initiatives visant à faire de la transition numérique de l’Europe l’une des principales priorités pour l’UE.

En septembre 2020, la Commission européenne a adopté le Digital Finance Package (DFP), un paquet législatif destiné à harmoniser la réglementation financière européenne en partant du constat que les services financiers numériques peuvent contribuer à moderniser l’économie européenne dans tous les secteurs et à faire de l’Europe un acteur numérique mondial.

Le DFP définit donc la stratégie globale de finance numérique de la Commission européenne, qui cherche à stimuler l’innovation et l’adoption de nouvelles technologies, tout en garantissant la stabilité financière et la protection des consommateurs. Il repose sur trois piliers :

Le premier pilier concerne la régulation des cryptoactifs et de la blockchain. Il inclut le règlement sur les marchés de cryptoactifs (P-MiCAR, ou MiCA) et un projet de régime pilote pour les infrastructures de marché basées sur la technologie des registres distribués (DLT).

Le deuxième pilier inclut un règlement visant à améliorer la résilience opérationnelle numérique du secteur financier, et deux directives dont le but respectif est de renforcer la cybersécurité dans les pays de l’UE et de consolider la résilience des entités critiques. Il s’agit notamment de :

La directive UE 2022/2555, connue sous le nom de Network and Information Security (ou NIS 2) du 16 janvier 2023, qui établit un cadre juridique unifié pour renforcer le niveau de cybersécurité dans 18 secteurs critiques dans l’ensemble de l’Union européenne. L’enjeu est de mieux protéger les réseaux et les systèmes d’information servant à fournir des services essentiels dans ces secteurs clés. Pour garantir une proportionnalité de traitement, la directive NIS 2 classifie les entités entrant dans son périmètre d’application entre « entités essentielles » et « entités importantes » et introduit des exigences plus strictes par rapport à NIS 1 en matière de gestion des risques, de notification des incidents et de mesures de sécurité.
La directive UE 2022/2557 sur la résilience des entités critiques, dite directive REC, a été adoptée le 14 décembre 2022. Cette directive vise à réduire les vulnérabilités et à renforcer la résilience physique des entités critiques, qui sont définies par ladite directive et qui, plus généralement, fournissent des services indispensables pour maintenir les fonctions sociétales vitales, les activités économiques, la santé et la sécurité publiques ainsi que l’environnement
Le Règlement UE 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), du 14 décembre 2020, visant à renforcer la gestion des risques informatiques (TIC) par les entités financières.

Le troisième pilier concerne la stratégie de la Commission européenne en matière de paiements de détail modernes et sûrs. Il vise à développer davantage le marché européen des paiements afin que l’Europe puisse tirer pleinement parti de l’innovation et des possibilités offertes par la numérisation.

La stratégie se concentre sur : la création des conditions permettant de rendre possible le développement des paiements instantanés et des solutions de paiement à l’échelle de l’UE, la protection des consommateurs et la sécurité des solutions de paiement, et la réduction de la dépendance de l’Europe vis-à-vis des grands acteurs mondiaux dans ce domaine.

Cet article analyse les finalités du règlement DORA et ses six principaux piliers autour desquels s’articule le dispositif de la cyber résilience.

Finalités du règlement DORA et normes d’application RTS et ITC

L’objectif principal du règlement DORA est promouvoir la résilience opérationnelle numérique – telle que définie dans l’article 3 du même règlement – qui se traduit par la capacité d’une entité financière « à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelles en assurant directement ou indirectement par le recours aux services fournis par des prestataires tiers de services TIC, l’intégralité des capacités liées aux TIC nécessaires pour garantir la sécurité des réseaux et des systèmes d’information qu’elle utilise, et qui sous-tendent la fourniture continue de services financiers et leur qualité, y compris en cas de perturbations »

Le règlement DORA impose donc aux entités financières de mettre en place des cadres robustes pour identifier, gérer et atténuer les risques liés aux technologies de l’information et de la communication (TIC) et aux attaques ou menaces de cybersécurité au sein des services financiers, s’alignant ainsi sur des initiatives telles que le RGPD pour la réglementation de la confidentialité des données.

Pour aider les entités concernées à se conformer aux nouvelles exigences, le règlement DORA habilite les trois autorités de supervision (ESMA, EBA et EIOPA) à développer des normes techniques de réglementation (RTS) qui complètent et précisent les dispositions du règlement, ainsi que des normes techniques d’application (ITS) servant de guide pratique sans ajouter ni modifier le contenu.

À ce jour, en se basant sur les orientations fournies par ces autorités, la Commission européenne a adopté les règlements délégués suivants :

Règlement d’exécution (UE) 2024/2956 de la Commission du 29 novembre 2024 définissant des normes techniques d’exécution pour l’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil en ce qui concerne les modèles types pour le registre d’informations
Règlement délégué (UE) 2025/295 de la Commission du 24 octobre 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation relatives à l’harmonisation des conditions permettant l’exercice des activités de supervision
Règlement d’exécution (UE) 2025/302 de la Commission du 23 octobre 2024 définissant des normes techniques d’exécution pour l’application du règlement (UE) 2022/2554 du Parlement européen et du Conseil en ce qui concerne les formulaires, modèles et procédures types permettant aux entités financières de notifier un incident majeur lié aux TIC et de notifier une cybermenace importante
Règlement délégué (UE) 2025/301 de la Commission du 23 octobre 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu et les délais pour la notification initiale des incidents majeurs liés aux TIC, et pour les rapports intermédiaire et final y afférents, et le contenu de la notification volontaire en ce qui concerne les cybermenaces importantes
Règlement délégué (UE) 2024/1772 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les critères de classification des incidents liés aux TIC et des cybermenaces, fixant des seuils d’importance significative et précisant les détails des rapports d’incidents majeurs
Règlement délégué (UE) 2024/1773 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant le contenu détaillé de la politique relative aux accords contractuels sur l’utilisation de services TIC soutenant des fonctions critiques ou importantes fournis par des prestataires tiers de services TIC
Règlement délégué (UE) 2024/1774 de la Commission du 13 mars 2024 complétant le règlement (UE) 2022/2554 du Parlement européen et du Conseil par des normes techniques de réglementation précisant les outils, méthodes, processus et politiques de gestion du risque lié aux TIC et le cadre simplifié de gestion du risque lié aux TIC

Ces textes ont pour objectif de réglementer, entre autres, les exigences relatives aux tests de résilience, à la déclaration des incidents et à la gestion des prestataires de services TIC tiers.

Champ d’application du règlement DORA

Le règlement DORA s’applique à la plupart des entités financières. Celles-ci réparties au sein de 4 catégories – banque, assurance, finance et prestataires de services TIC – incluent notamment : les plateformes de négociation, les entreprises d’assurance et de réassurance, les établissements de paiement, les dépositaires centraux, les gestionnaires de monnaies électroniques, les établissements de crédit, les agences de notation de crédit, les entreprises d’investissement, les prestataires de services sur cryptomonnaies, les gestionnaires de fonds alternatifs d’investissement (FIA) et les sociétés de gestion (SGP), les contreparties centrales (cf. art. 2 du règlement DORA).

En particulier, les prestataires tiers de services de technologies de l’information et de la communication (TIC), opérant au sein de l’UE, étant essentiels au bon fonctionnement des marchés financiers, font l’objet d’une surveillance stricte afin d’assurer la stabilité, la sécurité technologique et la continuité des opérations au sein du système financier européen.

Certaines entités sont, en revanche, expressément exclues du champ d’application du règlement DORA. Il s’agit des entités identifiées par l’art. 2, point 3, dudit règlement, telles que :

Les gestionnaires de fonds d’investissement alternatifs visés à l’art. 3, paragraphe 2, de la directive 2011/61/UE
Les entreprises d’assurance et de réassurance en fonction de leur taille, telles que visées à l’art. 4 de la directive 2009/138/CE
Les institutions de retraite professionnelle qui gèrent des régimes de retraite qui, ensemble, ne comptent pas plus de quinze affiliés au total
Les personnes physiques ou morales exemptées en vertu des artt. 2 et 3 de la directive 2014/65/UE
Les intermédiaires d’assurance, intermédiaires de réassurance et intermédiaires d’assurance à titre accessoire qui sont des micro-entreprises ou des PME. La définition est donnée dans l’art. 3, paragraphe 60 du règlement DORA : qui emploie moins de dix personnes et dont le CA annuel et/ou le total du bilan annuel n’excède pas 2 millions d’euros
Les offices des chèques postaux visés à l’art. 2, paragraphe 5.3, de la Directive 2013/36/UE.

Les États membres peuvent choisir d’exclure du champ d’application du règlement DORA certaines entités nationales de crédit ou d’investissement très spécifiques, telles que visées à l’art. 2, paragraphe 5, de la directive 2013/36/UE.

Les six principaux piliers du règlement DORA

La gestion des risques liés aux technologies de l’information et de la communication (TIC) constitue une priorité stratégique pour toute entité financière, et le règlement DORA vise à encadrer les six thématiques principales autour desquelles s’articule le dispositif de la cyber résilience.

Gouvernance et organisation des entités concernées

Dans la gestion du risque lié aux technologies de l’information et de la communication (TIC) l’organe de direction joue un rôle central. Son engagement va bien au-delà d’une simple approbation formelle : il s’agit d’une responsabilité active qui touche à la fois à la gouvernance, à la stratégie et à la supervision des mesures visant à assurer la résilience opérationnelle numérique.

L’art.5 du règlement DORA précise que l’organe de direction doit assumer la responsabilité ultime de la gestion des risques TIC. Cela signifie qu’il doit non seulement comprendre les enjeux liés aux cybermenaces et aux disruptions technologiques, mais aussi veiller à ce que l’entité financière soit équipée pour y faire face. Cette responsabilité se traduit par une vision claire des priorités et une volonté de promouvoir une culture de la cybersécurité au sein de l’organisation, et par la mise de plusieurs actions concrètes, telles que :

Élaboration de stratégies robustes visant à maintenir des standards élevés en matière de disponibilité, d’authenticité, d’intégrité et de confidentialité. Ces stratégies ne se limitent pas à des mesures techniques, mais englobent des politiques organisationnelles qui assurent que les données, qu’elles soient sensibles ou critiques, sont protégées contre les accès non autorisés, les pertes ou les altérations.
Définition des rôles et responsabilités des fonctions liées aux TIC. L’organe de direction doit s’assurer que chaque acteur impliqué dans la gestion des TIC – qu’il s’agisse des équipes informatiques, des responsables de la conformité ou des auditeurs – sait précisément ce qu’on attend de lui. Pour ce faire, des mécanismes de gouvernance sont mis en place afin de garantir une communication fluide, une coopération efficace et une coordination rapide entre ces différentes fonctions. Cette structure permet à l’entité de réagir avec agilité face aux incidents ou aux évolutions technologiques.
Définition et approbation de la stratégie globale de résilience opérationnelle numérique, conformément à l’article 6, paragraphe 8. Cette stratégie inclut la détermination d’un niveau de tolérance au risque TIC, c’est-à-dire le seuil au-delà duquel un incident pourrait compromettre les opérations ou la réputation de l’entité. Cette démarche exige une analyse approfondie des risques potentiels et une capacité à anticiper les scénarios les plus critiques. La stratégie de résilience opérationnelle numérique repose donc sur plusieurs piliers :

Soutien à la stratégie d’entreprise : le cadre en matière de gestion des risques liés aux TIC doit être aligné sur les objectifs globaux de l’entité.
Niveau de tolérance au risque : l’entité doit déterminer un seuil acceptable de risque TIC, en tenant compte de son appétit global pour le risque.
Objectifs de sécurité : des indicateurs de performance et de risque clairs doivent être établis.
Architecture des TIC de référence : la stratégie décrit l’architecture technologique et les changements nécessaires pour atteindre des objectifs spécifiques de l’entité financière
Détection et prévention : des mécanismes doivent être mis en place pour détecter, prévenir et se protéger contre les incidents TIC.
Évaluation de la résilience : la stratégie doit permettre d’évaluer la situation actuelle en fonction des incidents TIC signalés.
Tests de résilience : des tests réguliers, conformes au chapitre IV du règlement, doivent être réalisés afin de vérifier la robustesse des systèmes et mesures de prévention.
Communication en cas de crise : une stratégie de communication claire doit être définie pour gérer la divulgation des incidents TIC majeurs.

Dans le cadre de cette stratégie, les entités financières peuvent adopter une approche multifournisseur pour gérer leurs dépendances vis-à-vis des prestataires tiers de services TIC. Cette approche met en lumière les relations clés avec ces prestataires et justifie les choix effectués, afin d’optimiser la résilience tout en maîtrisant les risques liés à l’externalisation.

Approbation et supervision de la politique de continuité des activités TIC, ainsi que des plans de réponse et de rétablissement, tels que décrits aux paragraphes 1 et 3 de l’article 11. Ces documents, qui peuvent s’inscrire dans le cadre plus large de la continuité des activités de l’entité, sont essentiels pour garantir que l’organisation peut maintenir ses opérations en cas de crise, qu’il s’agisse d’une cyberattaque, d’une panne système ou d’une autre perturbation. Ces plans sont régulièrement révisés pour s’adapter aux nouvelles menaces ou aux évolutions technologiques.
Validation et révision périodique des plans internes d’audit des TIC, ainsi que des audits des TIC de l’entité financière, en veillant à ce que toute modification significative soit soigneusement examinée. Cela permet de s’assurer que les systèmes TIC sont conformes aux normes réglementaires et aux meilleures pratiques du secteur.
Allocation d’un budget adéquat pour répondre aux besoins de résilience opérationnelle numérique. Ce budget ne couvre pas seulement l’acquisition de technologies ou d’outils de cybersécurité, mais inclut également des programmes de sensibilisation à la sécurité TIC, des formations sur la résilience numérique (art. 13, paragraphe 6, du règlement DORA) et le développement des compétences TIC pour l’ensemble du personnel. Cette approche garantit que tous les employés, quel que soit leur rôle, sont préparés à contribuer à la sécurité de l’entité.
Approbation et mise à jour périodique de la politique relative à l’utilisation des services TIC fournis par des prestataires tiers. Ces services, souvent essentiels pour les opérations numériques, doivent être encadrés par des règles claires afin de minimiser les risques liés à l’externalisation.
Institution de canaux de notification efficaces. Ces canaux permettent de recevoir des informations sur les accords conclus avec les prestataires tiers, sur tout changement significatif concernant ces prestataires, ainsi que sur les impacts potentiels de ces changements sur les fonctions critiques ou importantes. De plus, l’organe de direction est tenu informé des incidents majeurs liés aux TIC, de leurs conséquences, ainsi que des mesures prises pour y répondre, se rétablir et corriger les failles. Une analyse des risques accompagne ces notifications pour évaluer les impacts potentiels et guider les décisions.

En somme, l’organe de direction ne se contente pas de superviser la gestion des risques TIC, il doit garantir que l’entité financière est protégée contre les menaces numériques, et qu’elle est capable de s’adapter et de prospérer dans un environnement technologique en constante évolution.

Gestion des risques liés aux TIC

La gestion des risques liés aux TIC est une composante essentielle de la stratégie des entités financières, et le règlement DORA fournit un cadre réglementaire rigoureux pour garantir leur résilience opérationnelle numérique. Les articles 6 à 16 du règlement précisent que ce cadre doit être conçu pour identifier, évaluer et atténuer les risques liés aux TIC de manière rapide, efficace et exhaustive. L’objectif ultime est de garantir un niveau élevé de résilience opérationnelle numérique, permettant à l’entité de poursuivre ses activités même en cas de perturbations technologiques majeures, comme une cyberattaque ou une panne système.

Les entités financières doivent se doter de stratégies, politiques, procédures, protocoles et outils TIC nécessaires pour protéger les actifs informationnels (données sensibles, bases de données, etc.) et les actifs TIC (logiciels, matériels, serveurs, centres de données, etc.). Cette protection vise à prévenir les dommages, les accès non autorisés ou les utilisations inappropriées. Ainsi, l’entité doit veiller à sécuriser non seulement les systèmes informatiques, mais aussi les infrastructures physiques associées, telles que les locaux ou les zones sensibles, pour garantir une protection complète contre les menaces numériques.

Pour minimiser l’impact des risques TIC, les entités financières doivent déployer des mesures adaptées, incluant des stratégies et des outils permettant de réduire les vulnérabilités. Elles sont également tenues de fournir, à la demande des autorités compétentes, des informations actualisées sur leur cadre de gestion des risques TIC et sur les menaces identifiées. Cette transparence est essentielle pour démontrer leur conformité et leur capacité à gérer les risques de manière proactive.

Le règlement DORA précise que – compte tenu du principe de proportionnalité – la responsabilité de la gestion et de la supervision des risques TIC doit être confiée à une fonction de contrôle dédiée, qui doit être suffisamment indépendante pour éviter tout conflit d’intérêts. Cette séparation des fonctions est cruciale, que l’entité adopte le modèle des trois lignes de défense (gestion des risques, contrôle, audit interne) ou un autre modèle de gestion des risques. Cette structure garantit que les responsabilités sont clairement définies et que les risques TIC sont surveillés de manière rigoureuse.

Le règlement DORA insiste sur le fait que le cadre de gestion des risques TIC doit être entièrement documenté et révisé au moins une fois par an. Ce réexamen s’appuie sur les leçons tirées des incidents passés, des tests de résilience ou des audits, et vise à améliorer continuellement la mise en œuvre effective et le suivi du cadre de gestion des risques liés aux TIC. Un rapport sur ce réexamen doit être soumis aux autorités de contrôle compétentes sur demande, assurant ainsi une traçabilité et une accountability.

Sur la base des conclusions de l’audit interne, les entités financières doivent mettre en place un processus de suivi formel, avec des règles claires pour corriger rapidement les failles critiques identifiées, garantissant ainsi une amélioration continue de la sécurité.

Enfin, les entités financières ont la possibilité d’externaliser certaines tâches de vérification de la conformité aux exigences de gestion des risques TIC, que ce soit à des entités intra-groupe ou à des prestataires externes, conformément au droit de l’Union et national. Toutefois, cette externalisation n’exonère pas l’entité de sa responsabilité pleine et entière de garantir le respect des exigences en matière de gestion des risques liés aux TIC.

Gestion, classification et déclaration des incidents liés aux TIC

Les articles 17 à 23 du règlement DORA imposent aux entités financières d’établir un processus structuré de gestion des incidents liés aux TIC afin de détecter, gérer, notifier et enregistrer tous les incidents TIC et cybermenaces importantes.

Pour ce faire, les entités financières doivent se doter de procédures et de mécanismes permettant d’assurer une surveillance efficace, ainsi qu’une gestion et un suivi cohérents de ces incidents. Cela inclut l’identification et la documentation des causes profondes des incidents, ainsi que la mise en œuvre de mesures correctives pour prévenir leur répétition.

Pour assurer une gestion efficace des incidents liés aux TIC, les entités financières doivent les classifier en fonction de leur gravité et de leur impact, en s’appuyant sur des indicateurs d’alerte. Ces critères permettent d’évaluer l’ampleur des perturbations et de déterminer si un incident nécessite une déclaration aux autorités compétentes. Plus précisément, les entités financières doivent examiner :

L’impact sur les clients et les transactions, ce qui inclut le nombre de clients ou de contreparties financières affectés, le volume ou le nombre de transactions touchées, ainsi que les éventuels dommages à la réputation.
La durée de l’incident, notamment les interruptions de service.
La répartition géographique, lorsqu’en particulier l’incident touche plus de deux États membres.
Les pertes de données occasionnées par l’incident lié aux TIC, en termes de disponibilité, d’authenticité, d’intégrité ou de confidentialité.
La criticité des services affectés, comme les transactions ou opérations financières essentielles.
Les conséquences économiques, ce qui inclut les coûts directs et indirects, ainsi que les pertes financières.

Les entités financières doivent identifier les cybermenaces significatives, c’est-à-dire celles qui pourraient avoir un impact majeur sur leurs opérations. Elles se basent sur la criticité des services menacés, le nombre ou l’importance des clients ou contreparties ciblés, et l’étendue géographique des zones à risque. Cette classification permet d’anticiper les menaces potentielles et de renforcer les mesures de prévention.

Le règlement DORA impose aux entités financières des obligations en matière de déclaration des incidents majeurs liés aux TIC et de notification volontaire des cybermenaces significatives.

Ce cadre vise à garantir une réponse rapide face aux incidents critiques. Ainsi, les entités financières doivent signaler ces incidents, informer leurs clients et, si nécessaire, partager des informations sur les cybermenaces. La coordination entre les autorités européennes et nationales garantit une gestion efficace des incidents, renforçant la résilience du secteur financier face aux défis numériques.

Test de résilience opérationnelle numérique

Les articles 24 à 27 du règlement DORA traitent des tests de résilience, considérés comme une pratique essentielle pour renforcer l’évaluation des risques liés aux technologies de l’information et de la communication (TIC). Le règlement établit un ensemble de règles générales pour ces tests, ainsi qu’un cadre spécifique pour les entités les plus critiques.

De manière générale, les tests de résilience opérationnelle numérique répondent au critère de proportionnalité et doivent être adaptés en fonction de la taille, du profil de risque global, ainsi que de la nature, de l’ampleur et de la complexité des activités des entités. Les entités doivent concevoir, maintenir, mettre en œuvre et réviser un programme complet qui comprend une série d’évaluations, de tests, de méthodologies, de pratiques et d’outils à mettre en œuvre.

Intégré au cadre de gestion des risques TIC, ce programme vise à évaluer la capacité des entités à gérer les incidents TIC, à identifier les faiblesses, les défaillances ou les lacunes en matière de résilience opérationnelle numérique, et à appliquer rapidement des mesures correctives.

Ces tests doivent être réalisés au moins une fois par an. Mais avant de les effectuer, il est opportun de réaliser un inventaire des systèmes et applications TIC existants et de les cartographier en les classant par niveaux de criticité et de risque.

L’art. 25 du règlement DORA détaille les diverses catégories de tests, dont la liste est la suivante : évaluation et analyse de vulnérabilité, analyse des sources ouvertes, évaluation de la sécurité des réseaux, analyse des écarts, examen de la sécurité physique, questionnaires et solutions logiciels de balayage, examen du code source, tests fondés sur des scénarios, tests de compatibilité, tests de performance, tests de bout en bout, tests d’intrusion.

En outre, l’art. 26 du règlement DORA établit les exigences relatives aux tests avancés d’intrusion fondés sur la menace (Threat-Led Penetration Testing, ou TLPT). Ces tests – qui doivent être réalisés au moins tous les trois ans – visent à évaluer la résilience des systèmes critiques ou importants face à des cybermenaces réalistes.

Ils concernent uniquement les entités identifiées par les autorités compétentes, sur la base de critères comme leur impact systémique, leur profil de risque TIC ou leur maturité technologique. Les autorités peuvent ajuster la fréquence des tests en fonction du profil de risque et des circonstances opérationnelles de l’entité.

En principe, la conduite des tests peut être réalisée soit par des testeurs qualifiés, soit par des testeurs internes, à condition de recourir à un testeur externe tous les trois tests, soit tous les 6 ans. La seule exception concerne les établissements de crédit classés comme importants. Ces derniers ont uniquement recours aux testeurs internes remplissant les conditions fixées par l’art. 27 du règlement DORA, c’est-à-dire des testeurs :

Possèdent l’aptitude et la réputation les plus élevées
Possèdent des capacités techniques et organisationnelles et justifient d’une expertise spécifique en matière de renseignement sur les menaces, de tests de pénétration et de tests en mode red team
Sont certifiés par un organisme d’accréditation dans un État membre ou adhèrent à des codes de conduite ou des cadres éthiques formels
Fournissent une assurance indépendante ou un rapport d’audit ayant trait à la bonne gestion des risques associés à la réalisation de tests de pénétration fondés sur la menace, y compris la protection adéquate des informations confidentielles de l’entité financière et la couverture des risques opérationnels de l’entité financière
Sont dûment et entièrement couverts par les assurances de responsabilité civile professionnelle pertinentes, y compris contre les risques de mauvaise conduite et de négligence.

A l’issue des tests, une fois les rapports et les plans de mesures approuvés, l’entité financière et le testeur externe, le cas échéant, doivent fournir à l’autorité compétente les éléments suivants : une synthèse des conclusions pertinentes, les plans de mesures correctives et la documentation démontrant que le test de pénétration fondé sur la menace a été effectué conformément aux exigences (cf. art. 26, paragraphe 6, du règlement DORA).

Gestion des tiers liés aux prestataires tiers de services TIC

Les articles 28 à 44 établissent un cadre structuré pour encadrer les relations entre les entités financières et leurs prestataires tiers de services TIC, en mettant l’accent sur la gestion des risques et la continuité des services critiques.

L’objectif est d’harmoniser les pratiques au sein de l’Union européenne, tout en imposant aux entités financières une responsabilité pleine et entière dans la gestion de leurs prestataires. Les entités doivent évaluer et documenter rigoureusement les risques liés à leurs prestataires, en particulier le risque de concentration, qui survient lorsque plusieurs entités dépendent d’un même prestataire pour des services critiques.

Le règlement DORA exige une évaluation approfondie des prestataires, incluant leurs capacités techniques, leur conformité réglementaire et les risques liés à la localisation des données. Cette évaluation doit être documentée avec des registres détaillés sur les contrats et les mesures de mitigation.

Il est recommandé de mettre en œuvre une surveillance continue de la relation contractuelle afin d’assurer le suivi des performances, des vulnérabilités et des évolutions réglementaires ou technologiques.

Les relations avec les prestataires de services TIC doivent être encadrées par des contrats robustes, incluant des clauses sur la gestion des incidents et la protection des données, les droits d’audit ou les plans de sortie. Les autorités compétentes peuvent exiger des rapports détaillés et intervenir auprès des prestataires critiques en cas de risques systémiques.

Le risque de concentration est un point central, et les entités sont encouragées à diversifier leurs prestataires, évaluer les impacts systémiques et collaborer avec les autorités compétentes.

Echange d’informations

Enfin, l’art. 45 du règlement DORA encourage les entités financières à partager des informations et des renseignements sur les cybermenaces pour renforcer leur résilience opérationnelle numérique. Ce cadre promeut une collaboration proactive tout en imposant des règles strictes pour garantir la confidentialité et la conformité.

Les entités financières peuvent ainsi échanger entre elles des informations et des renseignements sur les cybermenaces, notamment des indicateurs de compromis, des tactiques, des techniques et des procédures, des alertes de cybersécurité et des outils de configuration, dans la mesure où ce partage d’informations et de renseignements vise à :

Améliorer la résilience opérationnelle numérique des entités, notamment en les sensibilisant aux cybermenaces, en limitant leur propagation et en soutenant les capacités de défense, de détection et de réponse. Il permet aux entités de mieux se préparer à des attaques comme les ransomwares ou les dénis de service, renforçant ainsi la cybersécurité collective du secteur financier.
Se dérouler au sein de communautés d’entités financières de confiance, dans un cadre sécurisé et conforme à des dispositifs de partage d’informations. Ces dispositifs protègent la nature sensible des données partagées et respectent le règlement (UE) 2016/679 (RGPD) pour la protection des données, les lignes directrices sur la politique de concurrence et les principes de confidentialité des affaires. Cela garantit que les informations échangées ne compromettent ni la vie privée, ni la compétitivité du marché.
Reposer sur des dispositifs de partage des informations qui définissent les conditions à respecter pour y participer et, le cas échéant, précisent les modalités de participation des autorités publiques, et en quelle qualité elles peuvent être associées à ces dispositifs, les modalités de la participation des prestataires tiers de services TIC, ainsi que les aspects opérationnels de ce partage, y compris de l’utilisation de plateformes de TIC spécialisées.

Les entités financières doivent notifier aux autorités compétentes leur adhésion à ces dispositifs, dès sa validation, ainsi que leur cessation de participation. Cette obligation permet aux autorités de superviser ces initiatives et de s’assurer de leur conformité.

Sanctions administratives et pénales

Les articles 50 à 52 du règlement DORA fixent les sanctions administratives et pénales à appliquer aux entités financières qui ne respectent pas les dispositions visées par le règlement.

Tout d’abord, il est rappelé que les autorités de surveillance (ESMA, EBA et EIOPA) sont dotées des pouvoirs complets de contrôle, d’enquête et de sanction nécessaires à l’exercice de leurs fonctions conformément au règlement. Elles ont notamment le droit de consulter les documents pertinents, de réaliser des inspections sur les lieux, de convoquer des représentants du secteur financier pour des explications, d’interroger des personnes consentantes, et d’imposer des mesures correctives en cas de violations du règlement.

Sanctions administratives

En plus de la possibilité pour les États membres d’appliquer des sanctions pénales conformément à l’article 52, ces derniers sont tenus de mettre en œuvre des sanctions administratives et des mesures correctives, comme stipulé dans l’article 51, en cas de non-respect du règlement. Ces mesures doivent être efficaces, proportionnées et dissuasives pour garantir leur efficacité.

Les États membres autorisent les autorités compétentes à appliquer les sanctions administratives ou mesures correctives suivantes en cas de violation du règlement :

Ordonner l’arrêt immédiat du comportement non conforme et interdire sa répétition
Exiger la cessation temporaire ou permanente de pratiques non conformes
Prendre des mesures financières pour garantir la conformité des entités financières.
Demander les enregistrements de trafic de données, si nécessaire, enquêter sur des violations.
Publier des avis publics, incluant l’identité de la personne ou de l’entreprise en violation et la nature de la violation.

Sanctions pénales

L’art. 52 du règlement DORA dispose que les États membres peuvent décider de ne pas prévoir de régime de sanctions administratives ou de mesures correctives pour les violations qui font l’objet de sanctions pénales dans le cadre de leur droit national.

Cependant, si les États membres ont choisi d’instaurer des sanctions pénales en cas de violation du règlement DORA, ils doivent mettre en place des mécanismes permettant aux autorités compétentes de collaborer avec les autorités judiciaires chargées des poursuites pénales.

gp@giovannellapolidoro.com