En 2020, l'UE a introduit un nouveau cadre réglementaire centré sur des mesures visant à accroître la numérisation du secteur financier. Il sera plus tard appelé le Règlement sur la résilience opérationnelle numérique (DORA), et fait partie du Paquet Finance numérique (DFP), qui vise à soutenir les produits financiers innovants et à établir des règles sur les crypto-actifs et la résilience numérique.
Bien que DORA s'appuie largement sur des réformes existantes (RGPD, directive NIS2 et MiFID II, par exemple), la nouveauté de ce règlement est qu'il s'agit du premier règlement à harmoniser les normes de gestion des risques liés aux TIC en Europe. DORA a été adopté le 16 janvier 2023 et s'appliquera à tous les États membres le 17 janvier 2025, laissant une période de deux ans aux entités concernées pour adapter les changements nécessaires afin de se conformer au règlement. En attendant, que pourraient mettre en place les institutions financières pour se préparer à DORA ?
Quelles entreprises sont concernées par DORA ?
DORA a un champ d'application assez large. Il inclut toutes les institutions financières de l'Union européenne (UE). Par là, nous entendons toutes les institutions financières traditionnelles, telles que les banques, les compagnies d'assurance, les sociétés d'investissement et les établissements de crédit.
DORA inclut également les institutions financières numériques, y compris les prestataires de services d'actifs virtuels et les plateformes de financement participatif. Au total, 21 types d'entités différents sont inclus dans le règlement.
En bref, le règlement affectera tout fournisseur de services TIC de services financiers, les entreprises de technologie financière et les entreprises désignées comme fournisseurs critiques opérant en Europe, que ces fournisseurs soient basés en Europe ou ailleurs dans le monde.
Qu'en est-il de la « Résilience opérationnelle » ?
Avant d'approfondir ce qu'est DORA, nous devons expliquer l'un des termes sur lesquels le règlement se concentre. Le terme « Résilience opérationnelle » implique que, quelle que soit la situation critique à laquelle une entreprise peut être confrontée, le système d'information doit être capable de résister au « choc » et de poursuivre son activité. La résilience informatique est la capacité d'une organisation à assurer la continuité de son système d'information, même en cas de panne matérielle, de surcharge, de piratage ou d'autres incidents.
Qu'est-ce que DORA ?
DORA vise à renforcer la sécurité informatique des entités financières précédemment citées et à traiter de manière exhaustive la gestion des risques liés aux TIC dans le secteur des services financiers et à harmoniser les réglementations existantes en matière de gestion des risques liés aux TIC dans les différents États membres de l'UE. Le règlement vise à garantir la résilience financière des entreprises et à maintenir leurs opérations, même en cas d'incidents. DORA repose sur cinq piliers principaux :
Gestion des risques liés aux TIC : Cela implique l'établissement d'un cadre complet pour la gestion des risques liés aux TIC, englobant les principes et exigences essentiels adaptés aux pratiques de gestion des risques des entités financières.
Classification et déclaration des incidents liés aux TIC : L'objectif est de normaliser et de simplifier les procédures de déclaration, d'étendre les obligations de déclaration à toutes les entités financières et d'élargir le spectre des incidents déclarables. De plus, le cadre permet la déclaration volontaire des cybermenaces significatives parallèlement aux incidents majeurs liés aux TIC.
Tests de résilience opérationnelle numérique : Les entités financières sont soumises à des tests de base ou avancés pour évaluer leur résilience opérationnelle numérique. Les tests avancés, mandatés par DORA, utilisent des tests d'intrusion menés par des menaces (TLPT) pour les entités désignées relevant de son champ d'application.
Gestion des risques liés aux tiers dans les TIC : Cela implique la mise en œuvre de lignes directrices fondées sur des principes pour surveiller les risques liés aux tiers, la définition de dispositions contractuelles cruciales et l'établissement d'un cadre de surveillance pour les prestataires tiers de services TIC (PTT) critiques.
Partage d'informations : Encourage l'échange volontaire d'informations et de renseignements concernant les cybermenaces entre les entités financières. L'objectif est de renforcer la résilience opérationnelle numérique des institutions financières grâce au partage collaboratif d'informations et de renseignements sur les cybermenaces.
Dans ce règlement, l'accent est mis sur l'amélioration de la gestion des risques, la gestion des incidents informatiques, la réalisation de tests, la supervision des prestataires de services informatiques critiques et le renforcement des structures de gouvernance et organisationnelles. De plus, le règlement DORA exige que les entités financières notifient rapidement et en détail aux autorités de surveillance et aux acteurs du marché les incidents majeurs liés aux technologies de l'information et de la communication (TIC). L'objectif est de garantir que le système financier de l'UE réagisse rapidement et de manière appropriée aux perturbations, maintenant ainsi sa résilience.
Pourquoi DORA est-il nécessaire ?
Aujourd'hui, les institutions financières traditionnelles, et surtout numériques, dépendent fortement de la technologie et des services technologiques proposés au-delà des frontières. Cela peut à son tour avoir un impact sur d'autres entreprises, secteurs et même sur le reste de l'économie, ce qui souligne l'importance de la résilience opérationnelle numérique du secteur financier. Le secteur financier devient plus exposé aux problèmes sous-jacents liés à la technologie, comme les cyberattaques.
Le sentiment d'urgence accru est apparu suite à un rapport du Comité européen du risque systémique, identifiant le risque cybernétique comme l'une des menaces les plus significatives. Le rapport a souligné qu'un seul événement cybernétique pourrait précipiter une crise systémique, menaçant la stabilité financière dans toute l'Europe.
La pandémie de Covid-19 et l'augmentation de l'utilisation de l'accès à distance pour les services financiers ont entraîné une croissance des cyberattaques, comme l'a rapporté la Commission européenne, qui a indiqué une augmentation de 38% depuis le début de la pandémie.
Quelles actions les institutions financières pourraient-elles entreprendre pour se conformer à DORA ?
Les institutions financières devraient mener des évaluations approfondies des risques pour identifier les vulnérabilités potentielles qu'elles pourraient avoir dans leurs systèmes et processus numériques. La mise en œuvre de cadres robustes de gestion des risques devrait être une priorité absolue dans l'espoir d'atténuer efficacement ces risques. Le renforcement des mesures de cybersécurité et de la gestion des fournisseurs tiers devrait également jouer un rôle crucial dans les opérations des institutions financières.
Examiner la gestion de la maintenance et de l'administration informatique (implique également les tiers et la sécurité de leurs propres ressources informatiques). L'investissement continu dans une infrastructure numérique moderne pour renforcer la résilience face aux menaces et défis technologiques en évolution est également une étape importante que les institutions financières devront franchir à l'avenir. Investir dans l'intelligence artificielle et l'apprentissage automatique pourrait être un sujet intéressant car cela créera une détection proactive des menaces. Par exemple, les compagnies d'assurance utilisent l'IA pour prédire les pannes d'équipement, ce qui évite finalement les temps d'arrêt et réduit les coûts de maintenance.
Des audits et évaluations réguliers devraient être effectués pour surveiller et garantir la conformité aux normes de sécurité de l'information. Les institutions financières doivent se tenir informées des mises à jour et des changements des exigences réglementaires pour s'adapter en conséquence. De plus, les entreprises devraient établir des programmes réguliers de formation et de sensibilisation pour le personnel afin d'améliorer leur compréhension et leurs connaissances des exigences de résilience opérationnelle et de leur rôle dans le maintien de la résilience.
Développer une culture de la résilience, une gestion proactive des risques, encourager une communication ouverte et une collaboration entre les départements pour identifier les lacunes en matière de résilience et les opportunités d'amélioration, une approche basée sur les risques, une surveillance continue de la conformité et une amélioration continue des mesures de sécurité. Participer à des initiatives de partage d'informations et de collaboration avec d'autres institutions financières, organismes de réglementation et parties prenantes de l'industrie pour échanger les meilleures pratiques et idées sur l'amélioration des initiatives de résilience opérationnelle, avec des structures claires de responsabilité et de reporting en place. Les conseils d'administration doivent superviser activement les efforts de gestion des risques et s'assurer que des ressources adéquates sont allouées pour maintenir la résilience.
Que se passe-t-il en cas de non-conformité ?
Le règlement ne mentionne pas de pénalités d'un montant fixe. Cependant, il est indiqué que les pénalités et mesures doivent être efficaces, proportionnées et dissuasives. Les autorités compétentes disposeront des pouvoirs de supervision, d'enquête et de sanction nécessaires pour s'acquitter de leurs fonctions.
Chaque État membre établira des règles fixant des sanctions administratives et des mesures correctives appropriées en cas de violation du règlement et assurera une mise en œuvre efficace. Les autorités compétentes, qui seront désignées par les États membres, auront le pouvoir d'appliquer au moins les sanctions administratives ou mesures correctives suivantes en cas de violation du présent règlement :
Capacité d'ordonner à des personnes ou entités de cesser tout comportement violant le règlement et de s'abstenir de répéter un tel comportement.
Imposer la cessation de toute pratique contraire aux dispositions du règlement, de manière temporaire ou permanente, et assurer la non-répétition.
Mettre en œuvre diverses mesures, y compris des sanctions financières, pour assurer la conformité des entités financières.
Demander l'accès aux enregistrements existants du trafic de données auprès des opérateurs de télécommunications, dans les limites juridiques nationales, lorsqu'il existe des soupçons raisonnables de violation du règlement et que cela est pertinent pour les enquêtes.
Publier des avis publics, y compris des déclarations divulguant l'identité de la personne ou de l'organisation et les détails de la violation.
Il est également possible que les États membres choisissent de ne pas établir de sanctions administratives pour les violations qui sont passibles de sanctions pénales en vertu de leur droit national. En conclusion, le respect strict du Règlement sur la résilience opérationnelle numérique est une obligation impérative essentielle pour les institutions financières alors qu'elles affrontent les défis de la transformation numérique et des risques de cybersécurité. Grâce à une évaluation proactive des risques, une planification robuste de la réponse aux incidents et un investissement dans les mesures de cybersécurité, les institutions peuvent renforcer leur résilience opérationnelle. De plus, favoriser une culture de conformité via la formation, encourager la collaboration et renforcer les structures existantes renforcera davantage les efforts de résilience. En fin de compte, en priorisant la résilience opérationnelle, les institutions financières peuvent non seulement répondre aux mandats réglementaires, mais aussi protéger leurs opérations, leur réputation et la confiance de leurs clients au milieu de la numérisation croissante du secteur. Cependant, le coût de la conformité pourrait atteindre des sommets sans précédent. Par conséquent, les institutions financières doivent être stratégiques dans leurs priorités pour tenter de se conformer à ce nouveau cadre réglementaire.
