Conformité DORA : ce que les établissements financiers doivent savoir

Conformité DORA : ce que les établissements financiers doivent savoir

Le règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA) est en vigueur depuis le 17 janvier 2025 et change la façon dont les établissements financiers aux Pays-Bas gèrent les risques informatiques. Ce règlement européen impose des exigences strictes en matière de résilience numérique et ne concerne pas seulement les banques et les assureurs, mais aussi leurs prestataires informatiques. Dans ce guide, nous expliquons ce que recouvre DORA et comment vous mettre en conformité.

L'essentiel (TL;DR)

• DORA s'applique directement depuis le 17 janvier 2025 : il n'y a plus de période de transition
• 5 piliers : gestion du risque lié aux TIC, notification des incidents, tests de résilience numérique, risque lié aux tiers, partage d'informations
• Les prestataires informatiques sont aussi concernés : DORA impose des exigences aux contrats conclus avec les prestataires TIC critiques
• Tests annuels obligatoires : tests d'intrusion, tests de continuité d'activité et analyses de scénarios
• Supervision par la DNB et l'AFM : en cas de non-conformité, les amendes peuvent atteindre 2 % du chiffre d'affaires annuel

Qu'est-ce que DORA ?

DORA signifie Digital Operational Resilience Act. Il s'agit d'un règlement européen qui fixe des règles uniformes de résilience opérationnelle numérique pour le secteur financier. Contrairement à une directive, un règlement s'applique directement dans tous les États membres de l'UE, y compris aux Pays-Bas.

Le cœur de DORA : les établissements financiers doivent pouvoir démontrer qu'ils résistent aux perturbations informatiques et aux cyberattaques. Pas seulement sur le papier, mais dans la pratique.

Qui est concerné par DORA ?

DORA a un champ d'application large et vise plus de 20 catégories d'entités financières :

Sous supervision directe :

• Banques et établissements de crédit
• Entreprises d'investissement
• Assureurs et réassureurs
• Fonds de pension
• Établissements de paiement
• Établissements de monnaie électronique
• Prestataires de services sur crypto-actifs
• Plateformes de financement participatif

Concernés indirectement :

• Prestataires de services TIC des acteurs ci-dessus
• Fournisseurs de cloud
• Prestataires de services managés (MSP)
• Éditeurs de logiciels
• Exploitants de datacenters

Si vous fournissez des services informatiques à un établissement financier, DORA vous concerne via les exigences contractuelles.

Les cinq piliers de DORA

DORA repose sur cinq piliers qui forment ensemble un cadre de résilience numérique.

1. Gestion du risque lié aux TIC

Les organisations doivent disposer d'un cadre solide pour identifier, évaluer et atténuer les risques liés aux TIC.

Obligations :

• Politique documentée de gestion des risques TIC
• Identification des fonctions et actifs critiques
• Mesures de protection proportionnées au risque
• Capacités de détection des anomalies et des incidents
• Procédures de réponse et de rétablissement
• Revue et mise à jour régulières

Ce n'est pas un exercice ponctuel. DORA exige une surveillance continue et une adaptation à l'évolution des menaces.

2. Incidents liés aux TIC

Les établissements financiers doivent classer, gérer et notifier les incidents selon des critères normalisés.

Obligation de notification :

• Notifier les incidents TIC majeurs à l'autorité de supervision (AFM ou DNB)
• Notification initiale dans les 4 heures suivant la classification
• Rapports intermédiaires dans les 72 heures
• Rapport final dans un délai d'un mois

Les seuils qui qualifient un incident de « majeur » sont définis dans des normes techniques. Par exemple : le nombre de clients touchés, la durée de la perturbation, l'impact financier et les effets transfrontaliers.

3. Tests de résilience opérationnelle numérique

Les tests ne sont pas facultatifs. DORA exige des tests réguliers des systèmes et processus TIC.

Programme de tests :

• Évaluations et analyses de vulnérabilités annuelles
• Tests d'intrusion annuels
• Tests de réponse aux incidents fondés sur des scénarios
• Pour les fonctions critiques : tests d'intrusion fondés sur la menace (TLPT) au moins tous les trois ans

Le TLPT est une forme avancée de red teaming dans laquelle des spécialistes externes mettent en œuvre des scénarios d'attaque réalistes. Il est obligatoire pour les plus grands établissements.

4. Risques liés aux prestataires tiers de services TIC

La chaîne d'approvisionnement fait l'objet d'une attention particulière. L'externalisation ne réduit pas la responsabilité.

Obligations :

• Registre de tous les prestataires de services TIC
• Analyse des risques pour chaque externalisation
• Dispositions contractuelles sur la sécurité, les audits et la sortie
• Analyse du risque de concentration
• Stratégies de sortie pour les services critiques

Les prestataires doivent coopérer aux audits et être en mesure de démontrer qu'ils respectent les exigences de sécurité.

5. Partage d'informations

DORA encourage le partage d'informations sur les menaces entre établissements financiers. Ce partage est volontaire, mais vivement encouragé.

Possibilités :

• Participation à des plateformes d'échange sectorielles
• Partage d'indicateurs de compromission (IOC)
• Alertes sur les nouvelles menaces
• Bonnes pratiques d'atténuation

La supervision aux Pays-Bas

Aux Pays-Bas, l'Autorité des marchés financiers (Autoriteit Financiële Markten, AFM) et la banque centrale néerlandaise (De Nederlandsche Bank, DNB) contrôlent le respect de DORA. L'autorité compétente dépend du type d'établissement.

DNB : banques, assureurs, fonds de pension, établissements de paiement

AFM : entreprises d'investissement, gestionnaires de fonds d'investissement, plateformes de financement participatif

Les prestataires TIC critiques relèvent d'un nouveau cadre de supervision européen exercé par les autorités européennes de surveillance (AES, en anglais ESA).

Mise en œuvre pratique

La conformité à DORA exige une démarche structurée.

Étape 1 : analyse des écarts

Comparez votre situation actuelle aux exigences de DORA :

• Quels processus et quelle documentation existent déjà ?
• Où se situent les lacunes ?
• Quelle est la priorité de chaque lacune ?

Étape 2 : évaluation des risques

Identifiez les fonctions critiques et les actifs TIC qui les soutiennent :

• Quels systèmes sont critiques pour l'activité ?
• Quels sont les risques et quelles mesures sont en place ?
• Le risque est-il acceptable ou faut-il renforcer les mesures ?

Étape 3 : politiques et procédures

Documentez le cadre de gestion des risques TIC :

• Politique de gestion des incidents
• Critères de classification des incidents
• Procédures d'escalade et de notification
• Plans de continuité d'activité et de reprise d'activité

Étape 4 : gestion des fournisseurs

Cartographiez la chaîne d'approvisionnement TIC :

• Enregistrer tous les fournisseurs
• Classer chaque fournisseur selon son niveau de risque
• Revoir et adapter les contrats
• Formaliser les stratégies de sortie

Étape 5 : tests

Mettez en place un programme de tests :

• Gestion des vulnérabilités
• Tests d'intrusion
• Exercices sur table (tabletop)
• TLPT le cas échéant

Étape 6 : surveillance continue

DORA n'est pas un projet, mais un processus permanent :

• Revues régulières des politiques et procédures
• Surveillance des risques TIC
• Rapports à l'organe de direction
• Adaptation aux nouvelles menaces et exigences

Le rôle des prestataires informatiques

Pour les partenaires IT qui fournissent des services aux établissements financiers, beaucoup de choses changent.

Nouvelles obligations :

• Coopérer aux audits et aux évaluations
• Faire preuve de transparence sur les mesures de sécurité
• Notifier les incidents aux clients
• Accepter les adaptations contractuelles
• Apporter un soutien à la sortie en fin de contrat

Opportunités :

• Les établissements financiers recherchent des prestataires prêts pour DORA
• Se différencier grâce à une expertise en conformité
• Construire des relations durables par un partenariat stratégique

Recoupements avec d'autres réglementations

DORA ne s'applique pas de manière isolée : il recoupe d'autres cadres.

NIS2 : directive sur la cybersécurité qui concerne également les secteurs critiques. DORA constitue la lex specialis pour le secteur financier.

RGPD : la réglementation sur la protection des données reste applicable parallèlement à DORA.

Orientations de l'ABE et de l'AEAPP (EBA/EIOPA) : les orientations antérieures sur l'externalisation sont en partie remplacées par DORA.

ISO 27001 : non obligatoire, mais une bonne base pour la conformité à DORA.

Une approche intégrée vous évite les doublons et les incohérences.

La responsabilité de l'organe de direction

DORA place explicitement la responsabilité au niveau de l'organe de direction. Ce n'est pas uniquement un sujet informatique.

Obligations des dirigeants :

• Approuver le cadre de gestion des risques TIC
• Superviser sa mise en œuvre
• Prendre connaissance des risques et incidents TIC
• Garantir des moyens adéquats
• Formation et sensibilisation

L'organe de direction doit pouvoir démontrer qu'il est activement impliqué dans la gestion des risques TIC.

Se faire accompagner pour la conformité DORA

La conformité à DORA est complexe et exige une expertise à la croisée de l'informatique, de la sécurité et de la conformité. De nombreuses organisations choisissent un accompagnement externe.

Un partenaire sécurité peut vous aider pour :

• L'analyse des écarts et la feuille de route
• La mise en œuvre des mesures techniques
• La surveillance 24/7 et la réponse aux incidents
• Les tests d'intrusion et les évaluations de vulnérabilités
• La documentation et les rapports de conformité
• L'évaluation des fournisseurs

Un conseiller en conformité peut vous aider pour :

• L'interprétation de la réglementation
• L'élaboration des politiques
• Les échanges avec l'autorité de supervision
• La formation de la direction et des collaborateurs

Sanctions

DORA confère des pouvoirs de sanction aux autorités de supervision. En cas de non-conformité, des amendes pouvant atteindre un pourcentage du chiffre d'affaires annuel peuvent être infligées. L'atteinte à la réputation peut en outre être considérable.

Passer à l'action

DORA est en vigueur et les autorités de supervision attendent que vous vous y conformiez. Attendre n'est pas une option.

Commencez par une évaluation honnête de votre situation actuelle. Où en êtes-vous par rapport aux cinq piliers ? Hiérarchisez les lacunes selon le risque et l'impact. Impliquez l'organe de direction et assurez-vous de son adhésion et d'un budget.

La résilience numérique n'est pas qu'une obligation de conformité. C'est une condition de la confiance de vos clients et de la continuité de votre organisation. DORA impose l'attention que ce sujet mérite.