Explorer DORA : comprendre le paysage réglementaire mondial

Dans un monde de plus en plus interconnecté, on ne saurait trop insister sur l’importance de cadres réglementaires solides pour renforcer la stabilité et la sécurité des systèmes financiers. La loi européenne sur la résilience opérationnelle numérique (DORA) constitue une avancée réglementaire majeure visant à renforcer la résilience opérationnelle des entités financières. Cet article examine comment la DORA se positionne par rapport aux autres grandes réglementations mondiales, en mettant en avant ses caractéristiques propres et ses implications plus larges pour le secteur financier.

Comprendre la DORA

La Commission européenne a présenté la directive DORA dans le cadre du paquet « Finance numérique » en septembre 2020. Son objectif principal est de renforcer la capacité des établissements financiers à résister à tous les types de perturbations et de menaces liées aux technologies de l’information et de la communication (TIC), à y faire face et à s’en remettre. La directive DORA s’applique à un large éventail d’entités financières, notamment les banques, les compagnies d’assurance, les entreprises d’investissement et les prestataires de services TIC tiers.

Les principaux éléments de la directive DORA sont les suivants :

1. Gestion des risques liés aux TIC : les entités financières doivent mettre en place des dispositifs complets de gestion des risques liés aux TIC afin d’identifier, d’évaluer et d’atténuer ces risques.
2. Signalement des incidents : obligation de signaler aux autorités compétentes les incidents majeurs liés aux technologies de l’information et de la communication.
3. Tests de résilience opérationnelle numérique : tests réguliers des systèmes TIC visant à garantir leur résilience face aux perturbations.
4. Gestion des risques liés aux tiers : renforcement de la surveillance des prestataires de services informatiques tiers afin de les amener à respecter les normes de résilience.
5. Partage d’informations : promotion du partage d’informations entre les entités financières afin d’améliorer la résilience collective.

Comparaison entre la DORA et d’autres réglementations ainsi que les meilleures pratiques du secteur

1. Cadre de cybersécurité du NIST (États-Unis)

Le cadre de cybersécurité de l’Institut national des normes et des technologies (NIST) est un référentiel facultatif qui fournit des lignes directrices pour la gestion et la réduction des risques liés à la cybersécurité. Bien qu’il ne s’agisse pas d’une obligation réglementaire, il est largement adopté par les établissements financiers américains.

• Champ d’application : Contrairement à la directive DORA, qui s’impose aux entités financières de l’UE, le cadre du NIST est facultatif et peut s’appliquer à n’importe quel secteur d’activité.
• Point fort : Ces deux cadres mettent l’accent sur des pratiques plus générales de gestion des risques liés à la cybersécurité, la directive DORA accordant toutefois une importance nettement plus grande à la résilience opérationnelle.
• Signalement des incidents : la directive DORA impose le signalement des incidents, tandis que le NIST l’encourage sans toutefois l’exiger.

2. RGPD (Union européenne)

Le Règlement général sur la protection des données (RGPD) est un autre texte réglementaire européen majeur, axé principalement sur la protection des données et la vie privée.

• Champ d’application : le RGPD s’applique à toutes les organisations traitant des données à caractère personnel de citoyens de l’UE, tandis que la directive DORA concerne spécifiquement les entités financières.
• Point fort : le RGPD met l’accent sur la protection des données et la vie privée, tandis que la directive DORA porte sur la résilience opérationnelle et la gestion des risques liés aux technologies de l’information et de la communication.
• Notification des incidents : les deux réglementations imposent la notification des incidents, mais le RGPD se concentre sur les violations de données à caractère personnel, tandis que la directive DORA couvre un éventail plus large d’incidents liés aux technologies de l’information et de la communication (TIC).

3. Bâle III (au niveau mondial)

Bâle III est un ensemble de normes réglementaires internationales élaborées par le Comité de Bâle sur le contrôle bancaire afin de renforcer la réglementation, la surveillance et la gestion des risques au sein du secteur bancaire. L’Union européenne mettra en œuvre le cadre de Bâle III à compter du 1er janvier 2025, tandis que sa mise en œuvre aux États-Unis et au Royaume-Uni devrait être reportée.

• Champ d’application : Bâle III concerne spécifiquement les banques opérant à l’échelle internationale, tandis que la directive DORA s’applique à un éventail plus large d’entités financières.
• Point fort : Bâle III porte principalement sur l’adéquation des fonds propres, les tests de résistance et le risque de liquidité de marché, tandis que la directive DORA se concentre sur la gestion des risques liés aux technologies de l’information et de la communication (TIC). Ces deux initiatives traitent de la résilience opérationnelle.
• Signalement des incidents : contrairement à la directive DORA, Bâle III n’impose pas expressément le signalement des incidents informatiques.

4. Cadre de résilience opérationnelle de la FCA (Royaume-Uni)

L’Autorité de conduite financière (FCA) du Royaume-Uni dispose de son propre cadre de résilience opérationnelle, qui présente des similitudes avec celui de la directive DORA.

• Champ d’application : ces deux cadres s’appliquent aux entités financières, mais celui de la FCA est spécifique au Royaume-Uni.
• Point fort : ces deux cadres mettent l’accent sur la résilience opérationnelle, mais DORA a une portée plus large, puisqu’il inclut la gestion des risques liés aux tiers et le partage d’informations.
• Signalement des incidents : les deux référentiels imposent le signalement des incidents, mais celui de DORA prévoit des exigences plus détaillées.

Conséquences pour le secteur financier

La mise en œuvre du règlement DORA constitue une avancée majeure vers le renforcement de la résilience opérationnelle des entités financières au sein de l’Union européenne. En imposant une gestion globale des risques liés aux technologies de l’information et de la communication (TIC), des tests de résilience réguliers et un système solide de signalement des incidents, le règlement DORA vise à atténuer l’impact des perturbations liées aux TIC sur le système financier.

Pour les entités financières opérant à l’échelle mondiale, le respect de multiples cadres réglementaires peut s’avérer difficile. Cependant, les principes de la directive DORA s’alignent sur de nombreuses réglementations existantes et sur les meilleures pratiques du secteur, telles que le cadre de cybersécurité du NIST et le cadre de résilience opérationnelle de la FCA. Cet alignement peut faciliter une approche plus intégrée de la gestion des risques liés aux TIC et de la résilience opérationnelle. Tant que les principales capacités requises par la directive DORA sont prises en compte, les entités financières restent libres d’utiliser des modèles de gestion des risques liés aux TIC dont le cadre ou la classification diffèrent.

Conclusion

La directive DORA établit des normes élevées en matière de résilience opérationnelle dans le secteur financier, grâce à son approche globale de la gestion des risques liés aux technologies de l’information et de la communication (TIC), du signalement des incidents et de la surveillance des tiers. Bien qu’elle présente des similitudes avec d’autres réglementations, son caractère contraignant et son champ d’application étendu en font un cadre réglementaire unique et influent. Alors que le paysage réglementaire mondial ne cesse d’évoluer, les entités financières doivent se tenir informées et s’adapter afin de garantir leur conformité et leur résilience dans un monde de plus en plus numérique.

Pour en savoir plus sur la manière dont vous pouvez vous préparer à la loi sur la résilience opérationnelle numérique, consultez notre série d’articles de blog « Exploring DORA » :

• Aperçu de la loi sur la résilience opérationnelle numérique
• 9 étapes vers la conformité
• Comprendre le paysage réglementaire mondial
• Renforcer la résilience : stratégies de Recovery après incident cybernétique dans le cadre de la DORA
• Le rôle de la gestion des données dans la conformité réglementaire
• Gestion des risques et DORA : se préparer à l’imprévu