Le règlement européen Digital Operational Resilience Act (DORA) est une nouvelle législation de l’Union Européenne entré en vigueur le 17 janvier 2025, visant à accroître la cybersécurité du secteur financier et assurantiel. DORA s’adresse aux entités du secteur financier et assurantiel, des micro-entreprises aux grands établissements bancaires.
Une des principales différences avec les autres législations européennes en matière de cybersécurité (RGPD, NIS2,…) est que DORA est dédié à la résilience et la continuité d’activité. L’objectif n’est pas d’empêcher les attaques sur les secteurs concernées, mais garantir que les entités puissent y résister, et ne soient pas immobilisées. La création de ce règlement a pour but de pallier au manque d’harmonisation au niveau européen des stratégies de résilience numérique.
Mais concrètement, qu’est ce que cela signifie pour les entreprises ? qui est impactée et quelles sont les règles à respecter ? Pour éclaircir toutes ces questions et vous guider dans ce paysage réglementaire complexe, nous avons sollicité l’expertise d’Edouard MAURICE, consultant au sein de la practice GRC (Gouvernance, Risques et Conformité).
Qu’est-ce que DORA et pourquoi est-elle importante ?
Le règlement sur la résilience opérationnelle numérique ou (Digital Operational Resilience Act), est une réglementation mise en place par l’Union européenne, qui a pour objectif d’améliorer la résilience numérique des secteurs de la finance et de l’assurance.
Ce règlement DORA est important pour plusieurs raisons fondamentales :
- Protéger un écosystème extrêmement interconnecté : le secteur financier s’appuie aujourd’hui sur de très nombreuses interconnexions et dépend fortement des mêmes tiers critiques.
- Assurer la continuité d’activité : l’objectif est de garantir que si une entité subit une cyberattaque, elle soit capable d’en réduire l’impact au maximum et d’éviter d’être totalement immobilisée.
- Prévenir l’effet domino : le risque majeur d’un système interconnecté est la contagion. Le règlement vise avant tout à empêcher qu’une attaque frappant une organisation ne se propage et ne fasse tomber d’autres acteurs du secteur.
Quels types d’organisations sont concernés par DORA ?
Le périmètre du règlement est extrêmement large et englobe pratiquement toutes les entités du secteur financier. A savoir :
- Les banques et les compagnies d’assurances.
- Les entreprises d’investissement.
- Les prestataires de services sur crypto-actifs.
- Les prestataires tiers de services TIC (Technologies de l’Information et de la Communication)
| “Il est important de noter qu’un principe de proportionnalité s’applique : les exigences sont adaptées à la taille des organisations, et les micro-entreprises sont ainsi soumises à moins de contraintes ou bénéficient de principes d’exemption » déclare Edouard, consultant GRC |
| Bon à savoir La liste des entités ciblées se trouve dans l’article 2 du règlement. |
Quelles sont les obligations de la réglementation DORA ?
La réglementation DORA comporte plus d’une centaine d’exigences, qui sont structurées autour de cinq piliers principaux d’obligations
Les 5 piliers de DORA
Pour structurer ce vaste règlement, les autorités ont réparti les obligations en cinq grandes thématiques :
- La gestion des risques liés aux TIC : identifier, évaluer et gérer en continu ses propres vulnérabilités et risques informatiques.
- La gestion, la classification et la notification des incidents : mettre en œuvre des processus solides pour gérer les incidents et les déclarer aux autorités compétentes.
- Les tests de résilience opérationnelle numérique : encadrer la réalisation et la fréquence des tests de pénétration, tout en assurant la gestion de crise et le rétablissement des opérations.
- La gestion des risques liés aux prestataires tiers : un pilier critique qui impose des procédures strictes pour la gestion et l’audit de vos fournisseurs technologiques.
- Le partage d’informations et de renseignement : ce pilier recommande le déploiement d’un dispositif d’échange de renseignements entre les entités concernant les cybermenaces et les risques identifiés.
| Les conseils pratiques d’Edouard pour une mise en conformité réussie La mise aux normes peut sembler intimidante face à la complexité du texte. Voici les premières étapes clés pour amorcer votre feuille de route : – Consultez le texte de loi : lisez la liste exhaustive des entités visées dans l’article 2 du règlement pour confirmer votre statut ; – Réalisez une analyse des écarts (Gap Analysis) : évaluez où se situe actuellement votre entité par rapport aux directives de DORA pour comprendre précisément quels chantiers vous incombent ; – Cartographiez vos prestataires TIC : répertoriezvos fournisseurs et remplissez votre registre d’information DORA ROI (Register Of Information) ; – Évaluer vos contrats avec les prestataires les plus critiques : analysez leur conformité avec DORA et identifiez les risques qui pourraient provenir de ses prestataires ; – Menez une analyse de risques détaillée : déterminez vos menaces potentielles, les mesures pour les atténuer et les actions nécessaires pour devenir conforme ; – Anticipez les tests de résilience : préparez et planifiez dès à présent vos tests de continuité d’activité ; – Sensibilisez vos équipes : réalisez des campagnes de sensibilisation pour l’ensemble de vos collaborateurs ; – Faites-vous accompagner : n’hésitez pas à solliciter des experts pour vous aider à définir et prioriser vos chantiers. |
“Dora est un règlement complet avec des exigences qui englobent plusieurs thématiques, avec notamment ses cinq piliers et un très large scope d’entités concernées, à savoir deux secteurs d’activité, voire même plus. Et dans ce contexte, il est facile de se perdre dans ses exigences” explique Edouard.
Synetis vous accompagne dans l’identification des chantiers de conformité nécessaire et leurs mise en place
