Le Conseil européen adopte la loi sur la capacité d'action numérique (1 / 6)

L'UE renforce la sécurité informatique des entreprises financières telles que les banques, les assurances et les sociétés de valeurs mobilières par un accord préliminaire sur DORA

Introduction

Contexte

Calendriers

Portée

Exigences et éléments

Conclusion

Renforcer la résilience du secteur financier de l'UE

Le secteur financier joue un rôle crucial pour la stabilité et le fonctionnement de l'économie. Cependant, la dépendance croissante à l'égard des technologies numériques fait que le secteur est confronté à de nouveaux risques et défis. Pour relever ces défis, l'Union européenne a introduit la loi sur la résilience opérationnelle numérique (DORA). Dans cet article, nous examinerons ce qu'est DORA, son contexte, ses calendriers, sa portée et ce qu'il comprend.

Qu'est-ce que la loi sur la résilience opérationnelle numérique (DORA) ?

La loi sur la résilience opérationnelle numérique (DORA), également connue sous le nom de règlement (UE) 2022/2554, est un cadre réglementaire visant à renforcer la résilience opérationnelle des entreprises financières dans l'Union européenne. Avant l'introduction de DORA, les institutions financières géraient les risques opérationnels principalement par l'allocation du capital, mais n'abordaient pas tous les éléments de la résilience opérationnelle. DORA comble cette lacune en établissant des règles pour la protection, la détection, l'atténuation, la récupération et les capacités de réparation face aux incidents liés aux TIC.

Contexte

La nécessité d'un cadre complet traitant de la résilience opérationnelle numérique dans le secteur financier s'est avérée évidente en raison des risques croissants de cyberattaques. En réponse à ces risques, l'UE a introduit la loi sur la résilience opérationnelle numérique pour renforcer la sécurité informatique des entreprises financières, y compris les banques, les compagnies d'assurance et les sociétés d'investissement.

Calendriers

La loi sur la résilience opérationnelle numérique a été formellement adoptée par le Conseil européen le 28 novembre 2022. Elle a été publiée le 27 décembre 2022 en tant que règlement (UE) 2022/2554 au Journal officiel de l'Union européenne. Le règlement entre en vigueur le vingtième jour suivant sa publication au Journal officiel et s'applique à partir du 17 janvier 2025.

Portée

DORA établit des exigences uniformes concernant la sécurité des réseaux et des systèmes d'information qui soutiennent les processus commerciaux des entreprises financières. Ces exigences s'appliquent à diverses questions, notamment :

• Gestion des risques liés aux technologies de l'information et de la communication (TIC)
• Signalement des incidents majeurs liés aux TIC et des menaces de cybersécurité importantes
• Signalement des incidents de paiement opérationnels ou liés à la sécurité importants
• Tests de résilience opérationnelle numérique
• Échange d'informations et de renseignements concernant les menaces de cybersécurité et les vulnérabilités
• Mesures pour la gestion solide des risques liés aux TIC tiers
• Accords contractuels entre les prestataires tiers de TIC et les entreprises financières
• Établissement et application du cadre de surveillance pour les prestataires tiers de TIC critiques
• Coopération entre les autorités compétentes, la supervision et l'application

Les accords contractuels entre les entreprises financières et les prestataires tiers de TIC sont également couverts par DORA. Le règlement établit des règles pour ces accords et vise à s'assurer que les entreprises financières ont une supervision et un contrôle efficaces sur les services TIC fournis par des tiers.

Exigences et éléments de DORA

Gestion des risques liés aux TIC : Les entreprises financières doivent établir des capacités robustes de gestion des risques liés aux TIC pour identifier, évaluer et atténuer les risques potentiels. Cela comprend la mise en œuvre de mesures de sécurité appropriées, la réalisation d'évaluations régulières des risques et l'élaboration de plans de réponse aux incidents.

Signalement des incidents : DORA souligne l'importance du signalement des incidents pour améliorer la résilience opérationnelle. Les entreprises financières sont tenues de signaler les incidents majeurs liés aux TIC, les menaces de cybersécurité importantes et les incidents de paiement opérationnels ou liés à la sécurité importants aux autorités compétentes. Cela garantit que les parties prenantes concernées sont informées des risques potentiels et peuvent prendre des mesures d'atténuation appropriées.

Tests de résilience numérique : Pour assurer l'efficacité de leurs mesures de résilience opérationnelle, les entreprises financières doivent effectuer des tests de résilience numérique. Cela implique la simulation de divers scénarios et l'évaluation de la capacité à supporter et à se rétablir des perturbations liées aux TIC. Les tests aident à identifier les vulnérabilités et les lacunes, permettant aux entreprises de renforcer leurs systèmes et processus.

Gestion des risques tiers : Les entreprises financières s'appuient souvent sur des tiers pour diverses services liés aux TIC. DORA souligne la nécessité d'une gestion solide des risques liés aux TIC tiers. Les entreprises doivent établir des mesures pour évaluer et surveiller les risques associés à ces prestataires, afin de s'assurer qu'ils respectent les normes de sécurité et de résilience requises.

Partage d'informations et de renseignements : Le partage d'informations joue un rôle crucial dans la lutte contre les menaces de cybersécurité et l'amélioration de la résilience globale. DORA encourage le partage d'informations et de renseignements relatifs aux menaces de cybersécurité et aux vulnérabilités. Les institutions financières sont encouragées à collaborer et à échanger les informations pertinentes pour garder une longueur d'avance sur les risques émergents.

Conclusion

La loi sur la résilience opérationnelle numérique est un règlement crucial qui renforce la résilience opérationnelle du secteur financier dans l'UE. En établissant des exigences et des éléments spécifiques, elle s'assure que les institutions financières disposent de systèmes et de processus robustes pour atténuer les risques liés aux incidents de TIC. DORA met l'accent sur l'importance de la gestion des risques liés aux TIC, du signalement des incidents, du test de la résilience numérique, de la gestion des risques par des tiers et du partage d'informations. Ces mesures augmentent la résilience globale des institutions financières et contribuent à la stabilité du système financier.

Alors que les institutions financières se préparent à mettre en œuvre DORA, il est important pour elles de comprendre les exigences et de prendre les étapes nécessaires pour se conformer aux règlements. Ce faisant, elles peuvent améliorer leur résilience opérationnelle et se protéger contre les risques potentiels associés aux incidents de TIC. Rappelez-vous que la loi sur la résilience opérationnelle numérique (DORA) est une étape importante pour renforcer la résilience numérique du secteur financier en assurant sa capacité à supporter et à se rétablir des perturbations liées aux TIC. En respectant les exigences et en appliquant les meilleures pratiques, les institutions financières peuvent gérer les risques numériques de manière proactive et améliorer leur résilience opérationnelle globale.

Pour plus d'informations, veuillez consulter les articles suivants :

• LE CONSEIL EUROPÉEN ADOPTE LA LOI SUR LA CAPACITÉ D'ACTION NUMÉRIQUE (1/6)
• MAÎTRISER LES RISQUES DES PRESTATAIRES TIERS DE TIC (2/6)
• RENFORCER LA PREMIÈRE LIGNE DE DÉFENSE (3/6)
• RISQUE DE TIC : IDENTIFIER, ÉVALUER, HIÉRARCHISER VOTRE CYBERSÉCURITÉ (4/6)
• CONSTRUIRE UNE DÉFENSE SOLIDE (5/6)
• RAPPORTS POUR LA RÉSILIENCE (6/6)