Cette année, l’Union européenne a adopté un règlement spécifique destiné à contrer les cybermenaces potentielles susceptibles d’affecter les entreprises opérant dans le secteur financier.
Le règlement DORA, ou règlement (UE) 2022/2554 sur la résilience opérationnelle numérique, est un nouveau règlement de l’UE destiné, conformément à l’intention du législateur, à garantir la résilience opérationnelle numérique du secteur financier et des organisations qui lui sont liées. DORA a été adopté à la fin de l’année 2022 et l’année 2023 a été consacrée à la préparation de la mise en œuvre de ses nouvelles exigences. L’ensemble des dispositions du règlement est pleinement entré en vigueur le 17 janvier 2025.
Champ d’application du règlement DORA
Son principal objectif est d’établir des exigences et des normes uniformes permettant aux établissements financiers de mieux se protéger contre les cybermenaces, ainsi que de réagir rapidement et de rétablir leurs activités en cas de cyberincident.
Le règlement s’applique à un large éventail d’organisations appartenant au secteur financier ou liées à celui-ci, notamment les banques, les compagnies d’assurance, les fonds d’investissement, les services de paiement, les plateformes d’échange de cryptoactifs, etc. Il concerne aussi bien les grandes entreprises que les petites et moyennes entreprises du secteur financier.
Les tiers peuvent également relever du champ d’application de DORA. En d’autres termes, les prestataires de services technologiques (par exemple, les services cloud) qui fournissent des services critiques aux organisations financières pourraient être soumis aux exigences de DORA.
Contrairement aux approches qui se concentrent principalement sur les risques financiers et les réserves de capitaux, DORA exige une stratégie systémique de résilience numérique. Les organisations financières doivent non seulement améliorer leurs défenses contre les cybermenaces, mais également élaborer des plans pour détecter et maîtriser les perturbations de leurs technologies de l’information et de la communication (ICT), ainsi que pour rétablir leurs activités après celles-ci.
DORA accorde donc la priorité aux risques ICT en définissant des exigences relatives à la gestion des risques, à la notification des incidents, aux tests de résilience et au suivi des risques liés aux prestataires externes de services IT. Cette approche souligne le rôle essentiel de la technologie dans le secteur financier et les risques systémiques potentiels susceptibles de découler de défaillances des ICT.
Secteurs couverts par le règlement DORA
DORA concerne un large éventail de secteurs du système financier de l’UE. Ses dispositions couvrent différents types d’organisations :
- Établissements financiers et banques : entreprises exerçant des activités de collecte de dépôts, d’octroi de prêts, d’investissement, de change, etc.
- Entreprises technologiques travaillant avec des données financières : organisations qui traitent ou stockent des informations financières (notamment les prestataires de traitement des paiements et les startups fintech).
- Grandes entreprises soumises à la législation de l’UE : grandes sociétés exerçant leurs activités dans l’UE et tenues de respecter un ensemble complet de normes financières et réglementaires, y compris DORA.
- Petites et moyennes entreprises du secteur financier : les PME fournissant des produits et services financiers sont soumises aux mêmes exigences DORA que les grandes organisations.
Principales exigences de DORA
Les principales exigences du règlement sont les suivantes :
- Gestion des risques ICT : les organisations doivent mettre en œuvre et actualiser régulièrement des processus visant à identifier, évaluer et gérer les cyberrisques. Un tel système doit couvrir l’ensemble du cycle de vie des ICT, depuis la conception et le développement jusqu’à la mise en œuvre et au déclassement.
- Surveillance et tests obligatoires : cela implique de tester régulièrement l’infrastructure IT (y compris au moyen de tests de résistance et d’exercices de cybersécurité) afin d’identifier rapidement les vulnérabilités. L’étendue des tests doit correspondre au niveau de risque propre à l’activité concernée et peut aller de contrôles élémentaires à des tests spécialisés reproduisant de véritables cyberattaques.
- Résilience face aux incidents : les organisations doivent élaborer et tenir à jour des plans de continuité et de reprise en cas de cyberincident, en précisant les procédures internes, les rôles et les responsabilités dans les situations d’urgence.
- Notification des incidents : des règles harmonisées de notification aux autorités de régulation des incidents de sécurité de l’information et des cyberattaques visent à améliorer la transparence et l’efficacité des mesures d’intervention. Elles garantissent que les problèmes liés aux ICT sont rapidement détectés, soigneusement documentés et traités sans délai afin de limiter les dommages potentiels. Un registre détaillé des incidents doit être tenu et mis à la disposition des autorités de régulation sur demande.
- Relations avec les fournisseurs : les organisations doivent maîtriser et surveiller les risques susceptibles de découler de leur dépendance à l’égard de partenaires technologiques externes (par exemple, les fournisseurs de services cloud). Elles doivent veiller à ce que ces fournisseurs soient capables de maintenir le niveau de résilience requis et vérifier que leurs activités respectent les exigences de DORA.
Objectifs et avantages
DORA vise à unifier et à normaliser l’approche de la sécurité de l’information et de la résilience opérationnelle dans l’ensemble du secteur financier de l’UE. En établissant une norme uniforme, DORA cherche à renforcer la protection contre les cybermenaces, à accroître la résilience face aux cyberattaques et à réduire les risques liés aux pertes financières et aux atteintes à la réputation.
Des règles plus strictes et une plus grande transparence renforceront à leur tour la confiance des clients dans les organisations financières. Un ensemble unique de règles simplifie également le cadre réglementaire, car les entreprises n’auront plus à se conformer simultanément à de multiples exigences nationales.
Le règlement DORA vise ainsi à renforcer la cyberrésilience et à garantir la fiabilité des services financiers dans toute l’UE, en protégeant aussi bien les organisations que leurs clients contre les cybermenaces actuelles et les risques technologiques.
Sanctions en cas de non-conformité
Le règlement sur la résilience opérationnelle numérique (DORA) prévoit des sanctions importantes en cas de non-conformité. Celles-ci comprennent des amendes administratives pouvant atteindre 1 % du chiffre d’affaires mondial quotidien moyen. En outre, l’amende peut augmenter pour chaque jour de non-conformité jusqu’à ce que toutes les violations soient corrigées. Au-delà des amendes, la non-conformité peut nuire à la réputation d’une entreprise et entraîner une perte de confiance de la part des clients, des investisseurs et des autres parties prenantes.
Les violations de DORA peuvent entraîner un renforcement de la surveillance exercée par les autorités de régulation. Le non-respect des exigences de DORA peut également provoquer des interruptions de service et des perturbations opérationnelles, ce qui affecte négativement la satisfaction des clients et la réputation. Dans des cas exceptionnels impliquant des violations graves, les personnes responsables de la prise de décision peuvent voir leur responsabilité pénale engagée.
Il est essentiel de comprendre que ces sanctions ne s’excluent pas mutuellement. Une entreprise peut subir simultanément plusieurs conséquences : des amendes, une atteinte à sa réputation et d’éventuelles mesures pénales.
Contactez-nous
Pour éviter de telles sanctions, les établissements financiers doivent prendre des mesures proactives afin de garantir leur conformité à DORA. Cela comprend l’évaluation régulière des risques, l’élaboration de plans d’intervention en cas d’incident, la réalisation de tests de résilience et le suivi des risques liés aux tiers.
Eesti Firma est une entreprise spécialisée dans l’accompagnement juridique et le conseil auprès des entreprises opérant sur le marché des actifs numériques. En tenant compte des caractéristiques propres à chaque client, Eesti Firma est prête à fournir des conseils et des précisions sur l’application pratique du règlement DORA.
