Alors que nous approchons de la fin de l’année 2024, la loi DORA se profile de plus en plus à l’horizon. La loi sur la résilience opérationnelle numérique, qui s’applique aux entités financières de l’Union européenne, entrera en vigueur le 17 janvier 2025. Les banques, les compagnies d’assurance et les prestataires de services tiers dans le domaine des technologies de l’information et de la communication (TIC) font partie des institutions qui doivent se conformer à cette réglementation, conçue pour renforcer la cyber-résilience.
Il est essentiel que toutes les parties prenantes comprennent les principales dispositions et leur impact sur l’écosystème financier. Voici une analyse approfondie des principaux éléments de la directive DORA et de leur signification pour le secteur.
1. Exigences en matière de gestion des risques
La directive DORA impose aux entités financières des exigences strictes en matière de mise en place et de maintien de cadres solides de résilience opérationnelle numérique. Cela signifie que les entreprises doivent disposer de politiques complètes pour gérer les risques liés aux technologies de l’information et de la communication (TIC). Ces politiques doivent couvrir l’ensemble du cycle de vie des systèmes TIC, depuis leur développement et leur déploiement jusqu’à leur maintenance et leur mise hors service. Les entités financières sont tenues de revoir et d’actualiser régulièrement leurs stratégies de gestion des risques afin de s’adapter aux menaces nouvelles et émergentes.
2. Notification des incidents
L’un des éléments centraux de la directive DORA est l’obligation pour les entités financières de signaler rapidement les incidents cybernétiques importants à leurs autorités de régulation respectives. Cette disposition garantit un flux d’informations rapide entre les institutions financières et les autorités de surveillance financière, ce qui est essentiel pour gérer les risques systémiques et renforcer la résilience globale du secteur financier. La directive précise les types d’incidents devant faire l’objet d’un signalement, les délais de signalement et les informations détaillées devant figurer dans les rapports.
3. Tests de résilience opérationnelle numérique
Afin de garantir que les entités financières soient en mesure de résister efficacement aux perturbations informatiques et de s’en remettre, la DORA impose la réalisation de tests réguliers de résilience numérique. Cela comprend toute une série d’activités de test, telles que des évaluations de vulnérabilité, des tests d’intrusion et des exercices basés sur des scénarios. Ces tests sont conçus non seulement pour identifier les vulnérabilités des systèmes et processus informatiques, mais aussi et surtout pour évaluer l’efficacité des capacités de prévention, de détection, de réaction et de Recovery de l’entité.
4. Gestion des risques liés aux tiers
Consciente du recours croissant à des prestataires de services TIC tiers, la DORA définit des exigences spécifiques pour la gestion des risques liés à ces parties externes. Les entités financières doivent sélectionner et surveiller avec soin leurs prestataires de services afin de s’assurer qu’ils respectent des normes de résilience élevées. Elles doivent mener une diligence raisonnable approfondie avant de conclure des accords et surveiller en permanence les performances des prestataires de services ainsi que leur respect des obligations contractuelles.
5. Cadre de surveillance
La directive DORA met en place un cadre de surveillance permettant aux autorités de surveillance européennes de contrôler directement les prestataires de services tiers essentiels dans le domaine des TIC. Ce cadre vise à obliger ces prestataires à respecter des normes rigoureuses en matière de résilience, compte tenu de leur importance pour le secteur financier. La surveillance comprend des évaluations régulières et, si nécessaire, l’imposition de mesures correctives pour remédier aux lacunes identifiées.
Sanctions en cas de non-conformité
Le non-respect de la loi DORA peut entraîner des sanctions importantes, qui sont essentielles pour préserver l’intégrité et l’efficacité de cette loi. Ces sanctions peuvent varier en fonction de la gravité et de la nature de l’infraction. Elles sont conçues pour être dissuasives et proportionnées à la capacité financière et à la taille de l’entité, ainsi qu’à l’ampleur des perturbations causées par le non-respect de la loi.
En cas d’infractions mineures, les entités financières s’exposent à des avertissements ou à des réprimandes. Toutefois, pour les infractions plus graves, les sanctions peuvent inclure des amendes substantielles. En cas de non-respect répété ou d’infractions particulièrement graves, les autorités de régulation ont le pouvoir d’imposer des sanctions supplémentaires. Celles-ci peuvent inclure le retrait des agréments, l’interdiction temporaire d’exercer certaines activités commerciales ou toute autre restriction nécessaire à la protection du système financier.
Impact positif sur la stabilité financière
La mise en place de la directive DORA marque une avancée significative dans la quête d’une plus grande résilience opérationnelle numérique dans le secteur financier. En définissant des exigences claires pour les entités financières et les prestataires de services, l’Union européenne vise à protéger le secteur contre les perturbations et les menaces liées aux technologies de l’information et de la communication. Il est impératif que toutes les entités concernées comprennent pleinement ces dispositions et s’y préparent en conséquence afin de garantir leur conformité et de renforcer leurs capacités de résilience.
Cette approche globale renforce non seulement la sécurité des institutions individuelles, mais aussi la stabilité du système financier dans son ensemble. À l’approche de janvier 2025, l’anticipation de l’impact de la DORA continue de croître, promettant une nouvelle ère de résilience numérique dans le domaine financier.
Pour en savoir plus sur la gestion de la conformité à la DORA avec Commvault Cloud, cliquez ici.
Pour en savoir plus sur la manière dont vous pouvez vous préparer à la loi sur la résilience opérationnelle numérique, consultez notre série d’articles de blog « Exploring DORA » :
- Aperçu de la loi sur la résilience opérationnelle numérique
- 9 étapes vers la conformité
- Comprendre le paysage réglementaire mondial
- Renforcer la résilience : stratégies de Recovery après incident cybernétique dans le cadre de la DORA
- Le rôle de la gestion des données dans la conformité réglementaire
- Gestion des risques et DORA : se préparer à l’imprévu
