Qu’est-ce que le règlement DORA ? Le règlement européen DORA (Digital Operational Resilience Act) vise à renforcer la résilience numérique des entités financières face aux cyber-risques. Il impose des règles strictes en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC) et entre en application le 17 janvier 2025.
Qui est concerné ? DORA s’applique à un large éventail d’acteurs financiers : banques, sociétés d’investissement, prestataires de services sur crypto-actifs, infrastructures de marché, etc. Il concerne aussi les prestataires de services TIC considérés comme critiques, qui seront soumis à une supervision spécifique.
Les principales obligations du règlement DORA
- Gestion des risques liés aux TIC
Les entités financières doivent mettre en place un cadre de gestion des risques incluant :- Une gouvernance adaptée et des mesures de protection des données.
- Une politique de continuité d’activité et de réponse aux incidents.
- Une mise à jour régulière des systèmes de sécurité.
- Notification des incidents majeurs
- Les incidents critiques doivent être classifiés et signalés aux autorités compétentes sous 24 heures.
- Un rapport intermédiaire doit être envoyé sous 72 heures, suivi d’un rapport final détaillé sous un mois.
- Les clients concernés doivent être informés si leurs intérêts financiers sont impactés.
- Tests de résilience opérationnelle
- Des tests réguliers doivent être réalisés pour évaluer la robustesse des systèmes informatiques.
- Certaines entités systémiques devront effectuer des tests avancés de cybersécurité au moins tous les trois ans.
- Encadrement des prestataires tiers
- Les entités financières doivent recenser et gérer les risques liés aux prestataires TIC.
- Un registre des contrats avec ces prestataires doit être tenu à jour et communiqué aux autorités.
- Les prestataires critiques hors UE devront établir une filiale en Europe sous peine d’exclusion.
Un cadre harmonisé à l’échelle européenne
Le règlement DORA instaure des normes de sécurité communes pour l’ensemble du secteur financier européen. Grâce à ces exigences, l’objectif est de renforcer la confiance et la stabilité du marché face aux menaces cyber.
Les entreprises financières doivent dès maintenant se préparer pour être en conformité d’ici janvier 2025 et éviter tout risque de sanctions.
