DORA : Comprendre les nouvelles exigences réglementaires

Avec la publication de la loi sur la résilience opérationnelle du numérique, l’Union européenne prend une position ferme pour renforcer la résilience du secteur financier aux incidents majeurs liés aux Technologies de l’Information et de la Communication (aussi connus sous l’acronyme « TIC »).

Avec des exigences normatives pour les entités financières et les fournisseurs de services TIC critiques, et un calendrier de mise en conformité très serré, les organisations doivent commencer à planifier dès maintenant.

L’article 2 du règlement DORA dresse un inventaire de vingt et un types d’entreprises concernées, parmi lesquelles les « établissements de crédit » et « de paiement » , les « prestataires de services sur crypto-actifs » , les « entreprises d’assurance et de réassurance » , les « intermédiaires d’assurance et de réassurance » , les « institutions de retraite professionnelle » , etc.

DORA se concentre sur la résilience aux incidents liés aux TIC et introduit des exigences très spécifiques et normatives. Il ne s’agit pas seulement d’un ensemble de lignes directrices, mais plutôt de critères, de modèles et d’instructions qui détermineront la manière dont les organismes financiers gèrent les risques liés aux TIC.

La DORA introduit des exigences qui s’articulent autour de cinq piliers.

1. Une gouvernance renforcée et la gestion des risques liés aux TIC

2. La gestion des incidents liés aux TIC

3. Des tests de résilience opérationnelle numérique

4. La gestion des risques liés aux prestataires de services TIC

5. Le partage d’informations liées aux cybermenaces

L’article 64 de DORA version Parlement UE prévoit un délai de (seulement) 24 mois avant entrée effective en application. Cela signifie que les entités financières devront être conformes aux obligations de DORA en décembre 2024, sauf à vouloir encourir les sanctions des autorités nationales de contrôle.