Entrée en vigueur de DORA, un règlement européen pour améliorer la résilience numérique des institutions financières

Qu’est-ce que le règlement DORA ?

Le règlement DORA vise à renforcer la résilience numérique du secteur financier en établissant un cadre de gestion des risques liés aux technologies de l’information et à la cybersécurité. Il impose des règles strictes sur la gestion des incidents majeurs, les tests de résilience et la gestion des prestataires tiers.

Les principales obligations pour les entités financières sont :

• Mettre en place un cadre de gestion des risques TIC, avec un focus sur la cybersécurité ;
• Signaler les incidents majeurs liés aux TIC aux autorités ;
• Réaliser des tests réguliers de résilience numérique ;
• Gérer les risques liés aux prestataires tiers avec des exigences contractuelles et un registre des accords ;
• Partager volontairement des informations sur les menaces et vulnérabilités cyber au sein du secteur.

Un dossier thématique pour accompagner les entités financières

Afin d’aider les entités financières à se conformer aux nouvelles obligations de DORA, l’AMF a publié un dossier thématique détaillant les principales mesures du règlement. Ce dossier présente des explications sur la gestion des incidents majeurs, la tenue du registre des prestataires tiers, ainsi que des recommandations pratiques pour assurer une mise en œuvre efficace du règlement.

Qui est concerné par DORA ?

Le règlement DORA s’applique à une large gamme d’entités financières, telles que les sociétés de gestion de portefeuille, les infrastructures de marché, les entreprises d’investissement (y compris sous la Directive MIF 2) et les prestataires de services de crypto-actifs. Il inclut également les prestataires tiers de services TIC critiques, désignés par les autorités européennes (ESMA, EBA, EIOPA) en 2025.

Le règlement prévoit un principe de proportionnalité : les microentreprises et petites entités financières peuvent bénéficier de régimes simplifiés, notamment pour la gestion des risques TIC. Tandis que certaines entités, comme les gestionnaires de fonds d’investissement alternatifs à petite échelle, sont exclues.

Les principales mesures de DORA

1. Gestion du risque TIC

Les entités financières doivent établir un cadre de gouvernance pour gérer les risques TIC, incluant :

• Identification et évaluation des risques avec révision annuelle ;
• Politique de sécurité de l’information pour assurer la confidentialité, l’intégrité et la disponibilité des données ;
• Plan de continuité des activités TIC et communication en cas de crise. ;
• Formation du personnel et audits réguliers.

2. Notification des incidents majeurs

Les incidents majeurs doivent être classés et notifiés aux autorités compétentes. Les critères incluent la criticité des services, le nombre de clients impactés, et les pertes économiques. Un rapport initial, intermédiaire et final doit être envoyé.

3. Tests de résilience opérationnelle numérique

Des tests réguliers de résilience doivent être réalisés, incluant des évaluations de vulnérabilité et des tests de pénétration, au moins une fois par an. Pour les entités systémiques, des tests approfondis sont requis tous les trois ans.

4. Gestion des risques liés aux prestataires tiers de services TIC

Les entités doivent :

• Mettre en place un cadre de gestion des risques pour les prestataires externes.
• Signer des contrats conformes à DORA, incluant des clauses de sécurité.
• Tenir un registre des accords contractuels, soumis annuellement aux autorités.
• Réaliser des audits pré-contractuels pour vérifier la conformité des prestataires.

5. Notification des cyber-menaces

Les entités doivent signaler volontairement les cyber-menaces importantes, bien que ce ne soit pas obligatoire, pour anticiper les risques dans le secteur.

Textes d’application et normes techniques

Le règlement DORA prévoit l’adoption de textes d’application détaillant les exigences précises pour les entités financières, dont des normes techniques de réglementation (RTS) et d’exécution (ITS). Ces textes, élaborés par les autorités européennes de supervision, fournissent des précisions sur la gestion des risques TIC, la classification des incidents, les tests de résilience et la gestion des prestataires tiers.

Pour consulter le règlement (UE) 2022/2554 du Parlement européen du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier en intégralité :

• Le règlement (UE) 2022/2554 du Parlement européen du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no° 1060/2009, (UE) no° 648/2012, (UE) no° 600/2014, (UE) no° 909/2014 et (UE) 2016/1011
  

Pour consulter le dossier thématique de l’AMF à propos de DORA :

• Le règlement sur la résilience opérationnelle numérique dans le secteur financier (DORA)