La directive DORA a des répercussions sur le secteur des services financiers de l’UE, et cette législation est sur le point de bouleverser le secteur financier. Voici un aperçu de certaines des obligations découlant de la directive DORA auxquelles les établissements financiers doivent se conformer.
Le secteur des services financiers est depuis longtemps un pionnier en matière d’innovation technologique et un précurseur. Les progrès réalisés dans les domaines bancaire et financier ont permis à la transformation numérique de ce secteur de progresser à grands pas. Cependant, les nouvelles technologies et les nouvelles méthodes de travail attirent les cybercriminels. En conséquence, les attaques visant le secteur financier sont en forte hausse.
En 2021, le secteur bancaire a enregistré unehausse de 1 318 % des attaques par rançongiciel, et 65 % des grands établissements financiers ont été victimes d’une cyberattaque en 2020. La gravité des cyberattaques, de plus en plus complexes et destructrices, au sein du secteur financier a conduit à l’introduction d’une nouvelle législation dans le lexique de la réglementation des services financiers : il s’agit de la loi DORA (Digital Operational Resilience Act).
Les bases de DORA
La première version du projet de règlement DORA a été publiée le 24 septembre 2020, et le Parlement européen l’a approuvée le 10 septembre 2022. Ce texte législatif jouera un rôle central dans le « paquet sur la finance numérique », destiné à favoriser l’innovation et la concurrence dans le domaine de la finance numérique tout en atténuant les risques liés à la numérisation de ce secteur.
À ce titre, l’article 114 du Traité sur le fonctionnement de l’Union européenne (TFUE) sert de base juridique à la directive DORA ; cette législation vise principalement à harmoniser les lignes directrices en matière de cybersécurité dans l’ensemble du secteur.
L’UE a tendance à recourir à des mesures réglementaires pour consolider et harmoniser les meilleures pratiques ; le RGPD est un exemple de réglementation harmonisée en matière de protection des données ; la directive DORA constitue une initiative de l’UE visant à consolider et à améliorer la gestion des risques liés aux TIC dans l’ensemble du secteur financier, et s’applique aux entreprises de services financiers de l’UE ainsi qu’à leurs fournisseurs de TIC (critiques).
La directive DORA imposera aux entreprises du secteur financier de mettre en œuvre des mesures visant à les protéger contre les risques liés aux technologies de l’information et de la communication : à ce titre, la directive DORA étend ces exigences aux tiers, tels que les fournisseurs de services cloud.
Quelles obligations la loi DORA impose-t-elle au secteur financier ?
L’objectif est de créer un environnement résilient au sein de l’écosystème des services financiers. Le cadre sous-jacent de la DORA repose sur un ensemble de règles conçues pour aider les établissements financiers à mettre en place des processus solides de gestion des risques. Parmi les principales exigences et le champ d’application de la DORA, on peut citer les éléments suivants :
Champ d’application de la DORA
La quasi-totalité des types d’entités financières relèveront de la DORA. Parmi les entités concernées figurent les établissements de crédit, les établissements de paiement, les établissements de monnaie électronique, les entreprises d’investissement, les prestataires de services liés aux crypto-actifs, les fonds d’investissement alternatifs, les gestionnaires d’assurance, etc. Les auditeurs font exception : ils ne sont actuellement pas soumis aux règles de la DORA, mais cela devrait changer dans les futures versions de la loi. Pour consulter la liste complète des entités concernées, veuillez vous reporter à l’article 2 de la DORA.
Les prestataires de services TIC qui fournissent des services aux entités concernées par la directive DORA doivent également se conformer à cette dernière. Les prestataires de services TIC sont considérés comme essentiels au secteur financier et, à ce titre, sont soumis à des règles strictes en vertu de la directive DORA. Les prestataires de services TIC essentiels non établis dans l’UE qui fournissent des services à des entités financières de l’UE doivent créer une filiale au sein de l’UE.
Fournisseurs de services TIC et DORA
La gestion des risques liés aux tiers constitue un élément clé de la directive DORA. L’accent mis sur les fournisseurs de technologies de l’information et de la communication (TIC) s’explique par la multiplication des attaques visant la chaîne d’approvisionnement, telles que celle liée à la mise à jour du logiciel Orion de SolarWinds. L’Agence de l’Union européenne chargée de la cybersécurité (ENISA) a signalé une sophistication et un volume accrus des attaques visant la chaîne d’approvisionnement, les attaquants ciblant cette dernière pour voler des données et des actifs financiers. La directive DORA harmonise les exigences en s’appuyant sur des cadres existants, tels que les lignes directrices de l’Autorité bancaire européenne (ABE) en matière d’externalisation. (Voir également l’article 14 de la directive DORA)
En vertu de la directive DORA, les établissements financiers peuvent qualifier certains prestataires de services TIC de « critiques ». À ce titre, un prestataire de services TIC critique qui fournit des services à une entité relevant du champ d’application de la directive DORA sera soumis à des règles strictes, dont l’application sera assurée par le biais d’une collaboration directe avec les autorités européennes chargées des services financiers.
Mesures clés en matière de cybersécurité
La législation DORA a pour objectif principal de garantir la résilience des systèmes TIC. À cette fin, les lignes directrices suivantes ont été définies :
Gestion des risques et résilience
Au cœur de la directive DORA se trouvent des lignes directrices en matière de gestion des risques destinées à aider le secteur des services financiers à mettre en place des infrastructures plus résilientes. Les programmes et évaluations de gestion des risques qui en découlent servent de base aux tests de résilience. En outre, la législation prévoit la réalisation d’analyses d’impact sur l’activité fondées sur des scénarios de « perturbation grave de l’activité ».
Les tests de résilience et de vulnérabilité doivent être réalisés par des experts indépendants et inclure des tests d’intrusion réguliers axés sur les menaces. Il est important de noter que tous les systèmes TIC critiques doivent faire l’objet d’un test annuel.
Mesures de protection (voir également l’article 8)
Voici quelques exemples de mesures de protection requises :
- Mettez en place des politiques adaptées et exhaustives en matière de correctifs et de mises à jour.
- Mettre en œuvre des politiques et des protocoles visant à garantir des mécanismes d’authentification robustes
- Adoptez une approche fondée sur les risques afin de mettre en place une gestion rigoureuse du réseau et des infrastructures
- Mettre en œuvre des politiques visant à limiter l’accès physique et virtuel aux ressources et aux données des systèmes TIC
- Prévenir les fuites d’informations
Gestion des incidents informatiques
L’article 15 précise les exigences relatives à la gestion et au contrôle des incidents de sécurité, notamment les procédures visant à « détecter, gérer et signaler les incidents liés aux technologies de l’information et de la communication (TIC) et à mettre en place des indicateurs d’alerte précoce ».
Signalement des incidents de cybersécurité
Les entités concernées doivent mettre en place un dispositif permettant de surveiller, de décrire et de signaler tout incident significatif lié aux TIC aux autorités compétentes. Les règles de signalement sont strictes pour les fournisseurs de TIC critiques. Elles prévoient notamment qu’une première notification doit être effectuée au plus tard à la fin de la journée ouvrable ou, si l’incident majeur s’est produit moins de deux heures avant la fin de la journée ouvrable, au plus tard quatre heures après le début de la journée ouvrable suivante.
À partir de là, un rapport intermédiaire doit être remis au plus tard une semaine après la notification initiale ; celui-ci est suivi d’un rapport final, une fois l’analyse des causes profondes achevée, au plus tard un mois après l’envoi du rapport initial.
Responsabilité en matière de gestion et de sécurité
DORA attribue la responsabilité des risques liés aux TIC et des cybermenaces à la direction des services financiers. La mise en place de formations de sensibilisation à la sécurité contribuera à garantir que les dirigeants et l’ensemble de l’entreprise accordent la priorité à la sécurité.
La directive DORA couvre également des aspects essentiels de la gestion et de la réaction en matière de cybersécurité, tels que le partage d’informations (voir l’article 40).
Quelle sera la prochaine étape pour DORA ?
Le règlement prévoit un délai de mise en œuvre de 24 mois pour les entités financières et leurs prestataires de services tiers essentiels, à compter de la date d’entrée en vigueur de la législation. Il est donc conseillé aux entités concernées de mettre à profit ces 24 mois, entre la date d’entrée en vigueur de la législation et la mise en œuvre des mesures de conformité, pour réaliser une analyse des lacunes : des mesures telles que les tests d’intrusion axés sur les menaces et les règles de déclaration strictes pourraient sinon passer à la trappe.