La loi sur la résilience opérationnelle numérique (DORA) est entrée en vigueur le 17 janvier. Elle prévoit des lignes directrices exhaustives et un cadre réglementaire détaillé régissant la manière dont toutes les entités du secteur des services financiers exerçant leurs activités dans l’Union européenne doivent assurer la résilience de leurs données face à des perturbations imprévues.
La loi DORA reconnaît également une réalité largement admise par les professionnels de la cybersécurité, à savoir qu’il ne s’agit plus de savoir si une cyberattaque aura lieu, mais quand. Cette législation cruciale apporte un nouveau niveau de rigueur et de responsabilité au secteur des services financiers, qui continuera à évoluer afin de préserver la stabilité de l’écosystème financier de l’Union européenne et du monde entier.
De nombreux segments du secteur des services financiers, au-delà des banques traditionnelles et des établissements de crédit, relèvent désormais du champ d’application de la DORA, notamment les prestataires de services de paiement, les entreprises d’investissement, les plateformes de négociation, les assureurs et les prestataires tiers de services liés aux technologies de l’information et de la communication (TIC).
Les entreprises qui découvrent ce niveau de réglementation pourraient avoir du mal à s’y conformer, comme l’a montré l’exercice de simulation « DORA » mené par les régulateurs financiers européens.¹ Elles devront également s’attendre à faire l’objet d’une surveillance accrue de la part de leurs clients, partenaires et autres parties prenantes, qui y verront un nouveau risque opérationnel. Le non-respect de ces règles n’entraîne plus seulement le risque d’une amende très lourde, mais aussi une atteinte à la réputation et une responsabilité civile pour l’entreprise, ses dirigeants et ses partenaires.
Même s’il reste à voir à quelle vitesse les régulateurs financiers agiront, la DORA marque un tournant : on passe de simples lignes directrices en matière de Readiness des données et de cyber-résilience à la mise en œuvre effective de ces dispositions. Compte tenu de la portée étendue de la directive DORA, qui élargit considérablement la réglementation financière de l’UE en matière de technologies de l’information, les régulateurs, qui ne disposent pas d’une expertise et de ressources illimitées, pourraient rencontrer des difficultés à faire respecter immédiatement tous les aspects de cette directive. En conséquence, ils sont susceptibles d’adopter une approche ciblée, en se concentrant sur les domaines de non-conformité les plus critiques et les plus visibles.
Les priorités des établissements financiers
L’une des principales priorités en matière de conformité à la directive DORA est la soumission de registres d’informations exacts et techniquement conformes. Les autorités de régulation financière ont souligné que ces registres constitueront un axe prioritaire de leur action de contrôle, et elles attendent des organisations qu’elles les soumettent dès le début de l’année 2025. Il peut s’avérer plus avantageux de soumettre un registre précis détaillant les principaux prestataires informatiques de l’organisation que de fournir des informations incomplètes sur l’ensemble de ses prestataires informatiques.2
Pour les délégués à la protection des données et les directeurs des systèmes d’information, la directive DORA constitue un appel à l’action visant à examiner les systèmes existants et à déterminer s’ils sont capables de résister aux cybermenaces actuelles et d’offrir les performances nécessaires à une reprise efficace et rapide des services.
Au-delà de l’identification et de la cartographie des systèmes, applications et charges de travail clés auprès de leurs fournisseurs TIC respectifs, les organisations doivent examiner attentivement les capacités essentielles qui permettent de protéger, de défendre et de restaurer ces systèmes. Parmi ces capacités essentielles, on peut citer :
- Protection des données et reprise
après sinistre informatique : dans le cadre de la directive DORA, il est essentiel de disposer de capacités de reprise rapide afin de minimiser l’impact opérationnel d’une attaque. La seule façon d’atteindre le RTO (délai de reprise des opérations) ultra-court et extrêmement strict requis pour les systèmes critiques consiste à effectuer la reprise à l’aide de snapshots immuables basés sur le stockage. Ces snapshots doivent être stockés en toute sécurité dans un référentiel isolé (ou virtuellement « air-gapped »). - Détection
précoce des menaces : l’identification et la correction rapides des cybermenaces potentielles constituent un aspect essentiel de la protection des données et de la Readiness. La capacité à analyser en continu les données afin de détecter les anomalies et d’identifier en temps réel les menaces telles que les ransomwares et les logiciels malveillants, puis d’automatiser les mesures correctives, est indispensable pour endiguer plus rapidement une attaque. - Environnements de reprise isolés (IRE) ou « salles blanches » pour les tests
de résilience : la mise en place d’un IRE entièrement autonome, dans lequel les données peuvent être restaurées à des fins d’analyse forensic et d’analyse des applications, puis validées comme « saines » avant leur retour en production, accélère la reprise. Les IRE permettent également aux organisations de tester et d’améliorer en continu leurs pratiques de reprise après incident informatique afin d’assurer leur Readiness. - Évolutivité et performances
Les entreprises continueront à faire évoluer leurs services, à faire face à de nouvelles exigences réglementaires et à lutter contre les cybermenaces émergentes. Il est important de prendre en compte la capacité d’une solution à s’adapter à l’évolution des besoins en matière de données dans des environnements distribués et hybrides, tout en conservant des performances élevées pour la protection et la Recovery des données.
La conformité en toute confiance
Les organisations qui tardent à mettre en place des capacités solides pour se conformer à la directive DORA et à d’autres réglementations en constante évolution en matière de résilience – telles que la directive PSD2, la directive NIS2, la norme CPS 230 de l’APRA et la loi européenne sur la cyber-résilience qui entrera en vigueur en 2026 – pourraient se retrouver confrontées à des défis de plus en plus difficiles à surmonter. Elles pourraient également se retrouver en situation de désavantage concurrentiel par rapport aux entreprises capables de démontrer leur capacité à rester résilientes face aux perturbations de l’écosystème financier mondial.
Collaborer avec des partenaires qui maîtrisent les exigences réglementaires en matière de résilience et déployer des solutions robustes peuvent aider les organisations à se mettre en conformité et à mieux se préparer à relever les nouveaux défis réglementaires, ainsi qu’à protéger leur environnement de données contre les menaces émergentes.
Pure Storage et Commvault se sont associés pour développer une solution commune, de conception modulaire, qui aide les établissements financiers à renforcer leurs pratiques en matière de cyber-résilience et à répondre aux principaux piliers de la directive DORA concernant la réponse aux incidents et les tests de résilience. Cette solution repose sur l’intégration des capacités de pointe de Commvault Cloud à la plateforme Pure Storage, hautement sécurisée et performante. Pour en savoir plus sur cette solution et sur notre engagement en faveur de la cyber-résilience, cliquez ici.
Êtes-vous prêts pour l’informatique ?
L’état de préparation reflète une cyber-résilience mature, où la technologie, les personnes et les processus fonctionnent de manière transparente pour assurer la continuité des activités face à n’importe quel défi cybernétique. Évaluez la cyber-résilience de votre organisation grâce à l’évaluation de la maturité cybernétique de Commvault.
1 Principales conclusions de l’exercice de simulation des AES de 2024, Autorité bancaire européenne, 17 décembre 2024.
2 Compte à rebours avant l’entrée en vigueur de la loi DORA – Quatre points à retenir des déclarations des autorités de régulation publiées en décembre, Skadden, Arps, Slate, Meagher & Flom, LLP, 3 janvier 2025
