La loi sur la résilience opérationnelle numérique (DORA) est un cadre réglementaire important mis en place par l’Union européenne afin de renforcer la résilience opérationnelle des systèmes numériques dans le secteur financier. La réglementation devrait entrer en vigueur le 17 janvier 2025.
À mesure que la technologie s’intègre de plus en plus aux services financiers, le besoin de mesures de cybersécurité robustes et d’infrastructures numériques résilientes n’a jamais été aussi crucial. Voici un guide détaillé sur la manière dont les organisations peuvent se préparer à se conformer à la directive DORA et renforcer leur résilience opérationnelle numérique.
1. Comprendre le champ d’application et les exigences de la directive DORA
Vous devez bien comprendre le champ d’application de la directive DORA et les exigences spécifiques qu’elle impose aux entités financières. La directive DORA vise à consolider et à renforcer la gestion des risques informatiques dans l’ensemble du secteur financier. Elle s’applique à un large éventail d’entités, notamment les banques, les compagnies d’assurance et les entreprises d’investissement, ainsi qu’aux prestataires de services tiers essentiels, tels que les services de cloud computing.
Les organisations doivent déterminer si elles relèvent du champ d’application de la directive DORA et comprendre les obligations qui en découlent, telles que la notification des incidents, les tests de résilience opérationnelle numérique et la gestion des risques liés aux tiers dans le domaine des TIC.
2. Réaliser une évaluation complète des risques
En vertu de la loi DORA, les entités financières sont tenues d’identifier, de documenter et de gérer tous les risques liés à leurs systèmes et services informatiques et de communication (TIC). Il est essentiel de procéder à une évaluation complète des risques.
Cela implique de recenser tous les actifs numériques, d’évaluer les risques associés à chacun d’entre eux et de comprendre l’impact potentiel des perturbations informatiques sur les services et les opérations de l’organisation. L’évaluation des risques doit être un processus continu, avec des mises à jour régulières afin de tenir compte des nouvelles technologies, des nouveaux processus et des menaces émergentes.
3. Renforcer les mesures de sécurité des TIC
Le renforcement de la sécurité des TIC est un élément central de DORA. Les organisations doivent mettre en œuvre des mesures de sécurité rigoureuses pour protéger leur infrastructure numérique et leurs données contre les cybermenaces. Cela implique notamment le déploiement de technologies avancées de cybersécurité dans des domaines tels que l’identification des risques, la protection et la prévention, la détection, la réaction et la Recovery, ainsi que la sauvegarde. S’appuyant sur l’approche popularisée par de nombreuses bonnes pratiques et normes (par exemple, le NIST CSF), DORA propose aux organisations une série d’objectifs permettant de hiérarchiser et de traiter les risques liés à la cybersécurité, mais ne précise pas les actions à mener pour atteindre ces objectifs.
La DORA insiste fortement sur l’importance des tests. Vous devez effectuer régulièrement des audits de sécurité et des tests d’intrusion afin d’identifier et de corriger les vulnérabilités, mais aussi tester et documenter la résilience opérationnelle de votre organisation. Vérifiez que vos politiques et procédures de sécurité sont à jour et conformes aux meilleures pratiques du secteur.
4. Élaborer un plan d’intervention en cas d’incident
La réglementation DORA impose aux entités financières de mettre en place et de maintenir un plan d’intervention efficace en cas d’incident. Ce plan doit définir les procédures à suivre en cas d’incident lié aux technologies de l’information et de la communication (TIC), afin de garantir une intervention rapide et structurée permettant de minimiser l’impact. Il doit inclure une définition claire des rôles et des responsabilités, des stratégies de communication et des procédures de Recovery. Organisez régulièrement des formations et des exercices de simulation afin que l’équipe d’intervention soit bien préparée à gérer d’éventuels incidents.
5. Renforcer la résilience des fonctions critiques
Vos fonctions critiques doivent être capables de résister aux perturbations informatiques et de s’en remettre. Cela implique de concevoir des systèmes et des processus résilients, capables de continuer à fonctionner dans des conditions défavorables. Il convient d’intégrer des redondances dans les systèmes critiques et de mettre en place des solutions de sauvegarde afin de garantir l’intégrité et la disponibilité des données. De plus, vous devez définir clairement vos objectifs de Recovery et tester régulièrement vos plans de Recovery afin de préparer vos collaborateurs.
6. Gérer les risques liés aux tiers
Compte tenu du recours croissant à des prestataires de services tiers, la gestion des risques liés aux tiers dans le domaine des TIC constitue une exigence fondamentale de la directive DORA. Les organisations doivent faire preuve d’une diligence raisonnable rigoureuse lors de la sélection des prestataires tiers et surveiller en permanence leurs performances ainsi que leur conformité au cadre interne de gestion des risques liés aux TIC et aux normes de sécurité applicables. Les contrats conclus avec les prestataires tiers doivent inclure des dispositions claires concernant la protection des données, le signalement des incidents et les droits d’audit. Il convient également de disposer d’un plan d’urgence au cas où le prestataire tiers ne serait pas en mesure de fournir le service requis.
7. Mettre en œuvre la gouvernance et la surveillance
Une gouvernance et un contrôle efficaces sont essentiels pour garantir la conformité à la loi DORA. Cela implique notamment la mise en place d’un cadre de gouvernance définissant les rôles et les responsabilités de toutes les parties prenantes impliquées dans la gestion des risques liés aux TIC. La direction générale doit s’impliquer activement dans le contrôle de la résilience opérationnelle numérique de l’organisation. Il convient de fournir régulièrement à la direction générale des rapports détaillant les mesures prises en matière de gestion des risques, les rapports d’incidents et le respect des exigences de la loi DORA.
8. Élaboration des rapports et des audits
La directive DORA impose la remise régulière de rapports portant sur divers aspects de la résilience opérationnelle numérique. Les organisations doivent disposer de mécanismes permettant de collecter les données nécessaires et de générer des rapports en temps opportun. Cela inclut les rapports sur la gestion des risques liés aux TIC, les rapports d’incident et les conclusions d’audit. En outre, les organisations doivent se préparer à des audits externes menés par des autorités de régulation ou des auditeurs indépendants, en veillant à ce que l’ensemble de la documentation et des preuves de conformité soient facilement accessibles.
9. Favoriser une culture de résilience
Enfin, il est essentiel de favoriser une culture de résilience au sein de l’organisation. Cela implique de sensibiliser les employés à l’importance de la résilience opérationnelle numérique et de les former à leur rôle dans son maintien. Une culture de résilience encourage l’identification et la gestion proactives des risques liés aux TIC et favorise l’amélioration continue des stratégies de résilience.
En suivant ces étapes, les organisations seront non seulement préparées pour la DORA, mais elles renforceront également leur résilience opérationnelle numérique globale, se protégeant ainsi elles-mêmes et leurs clients contre les effets néfastes des perturbations informatiques. À mesure que la transformation numérique continue d’évoluer, rester à la pointe en matière de conformité et de résilience permettra aux entreprises de bénéficier d’un avantage concurrentiel et de mieux se positionner pour assurer leur pérennité à long terme.
Pour en savoir plus sur la manière dont vous pouvez vous préparer à la loi sur la résilience opérationnelle numérique, consultez notre série d’articles de blog « Exploring DORA » :
- Aperçu de la loi sur la résilience opérationnelle numérique
- 9 étapes vers la conformité
- Comprendre le paysage réglementaire mondial
- Renforcer la résilience : stratégies de Recovery après incident cybernétique dans le cadre de la DORA
- Le rôle de la gestion des données dans la conformité réglementaire
- Gestion des risques et DORA : se préparer à l’imprévu
