Qu’est-ce que la Résilience Opérationnelle Numérique ?
La résilience opérationnelle numérique englobe la capacité d’une institution financière à établir, garantir et évaluer la robustesse et la fiabilité de son cadre opérationnel. Cela implique, directement ou indirectement par l’utilisation de services fournis par des prestataires de services TIC tiers, le maintien d’un éventail complet de capacités liées aux TIC pour sécuriser les systèmes d’information et les réseaux utilisés par l’entité financière. Ces systèmes soutiennent la fourniture ininterrompue des services financiers et respectent leurs normes, même face à des perturbations.
Étant donné la dépendance importante du secteur financier à l’infrastructure numérique, l’émergence de nouvelles menaces cyber nécessite des mesures proactives. En réponse, l’Union européenne a introduit le Digital Operational Resilience Act (DORA) afin de renforcer la résilience opérationnelle numérique dans le domaine financier.
Qu’est-ce que le DORA ?
Le DORA représente un cadre réglementaire obligeant les acteurs du secteur financier à renforcer leur capacité à résister, répondre et se remettre de divers incidents, risques et menaces liés aux TIC. Adopté par le Parlement européen et le Conseil de l’Union européenne le 14 décembre 2022 sous le règlement (UE) 2022/2554, le DORA vise à normaliser et rationaliser la réglementation relative à la gestion des risques TIC, en favorisant l’uniformité et la cohérence à travers l’UE. Le DORA impose aux entités financières de respecter le principe de proportionnalité, en prenant en compte des facteurs tels que l’échelle, le profil de risque et la complexité de leurs opérations.
Le DORA définit les principales exigences applicables aux entités financières dans cinq domaines clés :
- Gestion des Risques TIC : Les institutions financières sont tenues d’établir et de maintenir un cadre efficace de gestion des risques TIC, garantissant ainsi l’identification, la catégorisation et l’atténuation des risques TIC de manière efficace.
- Gestion des Incidents :Les entités financières doivent mettre en place des procédures de gestion des incidents robustes et un protocole normalisé pour signaler les incidents TIC importants aux autorités réglementaires. Cela facilite une meilleure compréhension des menaces émergentes et permet de coordonner les réponses.
- Test de la Résilience Opérationnelle Numérique : Des tests réguliers sont requis pour évaluer la capacité des entités financières à supporter des perturbations TIC. Cela inclut des évaluations de vulnérabilité et des tests de pénétration, adaptés à l’échelle et au profil de risque de l’entité.
- Gestion des Risques Tiers : Reconnaissant la dépendance croissante vis-à-vis des prestataires de services tiers, y compris les services cloud, le DORA définit des réglementations pour superviser les risques TIC au sein de la chaîne d’approvisionnement. Cela garantit que les entités financières conservent un contrôle sur la résilience des prestataires tiers critiques.
- Partage d’Informations et Renseignement : Le DORA encourage le partage de renseignements sur les menaces cybernétiques et d’informations pertinentes entre les entités financières pour renforcer la compréhension collective et les mécanismes de défense contre les menaces TIC.
Pourquoi le DORA est-il important ?
À partir du 17 janvier 2025, les entités financières seront tenues de se conformer aux stipulations du DORA. Le non-respect de ces exigences peut entraîner des sanctions substantielles, soulignant ainsi la priorité donnée par l’UE à la résilience opérationnelle numérique. Les pénalités varient en fonction de la nature et de la gravité de la violation, et sont conçues pour servir à la fois de dissuasion et de réponse proportionnée.
Les organisations doivent constamment affiner et mettre à jour leurs stratégies de résilience opérationnelle numérique pour suivre les évolutions des technologies et des menaces. Cela nécessite des efforts collaboratifs à tous les niveaux de l’organisation, impliquant la direction exécutive, le personnel opérationnel, les partenaires externes et les organismes de réglementation.