MISE À JOUR : cette publication, initialement publiée le 24 août 2023, a été mise à jour pour refléter les informations les plus récentes disponibles sur les réglementations DORA et la prochaine date limite d’application ce mois-ci.
La loi Digital Operational Resilience Act, ou DORA, est un cadre réglementaire révolutionnaire pour le secteur des services financiers que l’Union européenne (UE) a adopté en 2022. Bien qu’elle soit entrée en vigueur le 16 janvier 2023, elle est devenue pleinement applicable le 17 janvier 2025.
DORA vise à améliorer la résilience des institutions financières contre les risques tels que les rançongiciels, les attaques de la chaîne d’approvisionnement et d’autres menaces de cybersécurité. La réglementation exige que les entités du secteur financier et leurs fournisseurs de services de technologie de l’ information et de la communication (TIC) améliorent leurs pratiques de cybersécurité, en particulier leurs plans de réponse aux incidents et de résilience.
Cette publication couvre tout ce que vous devez savoir sur DORA. Nous commencerons par définir DORA et expliquer comment elle diffère du Règlement général sur la protection des données (RGPD). Ensuite, nous explorerons ses avantages, ses objectifs clés et les divers secteurs qu’ils affectent, y compris les implications spécifiques pour les fournisseurs de services tiers TIC.
Enfin, nous fournirons des meilleures pratiques de haut niveau pour garantir la conformité avec DORA. Intéressons-nous et découvrons l’importance de DORA dans l’amélioration de la résilience numérique.
Qu’est-ce que la conformité DORA ?
La conformité DORA traite les lacunes et prévient les perturbations en établissant des cadres de gestion des risques et des plans d’intervention robustes pour les cybermenaces. Ces normes sont conçues pour s’assurer que les institutions financières de l’UE peuvent gérer et atténuer efficacement les effets des événements de cybersécurité en maintenant la résilience opérationnelle et la conformité aux nouvelles exigences réglementaires, ou en faisant face à de graves répercussions.
[Lire également : Qu’est-ce que la gestion de la conformité ? Types et conseils d’amélioration]
Les sanctions pour les violations de DORA peuvent être lourdes. Bien que les amendes ou les sanctions pénales ne soient pas incluses dans la réglementation DORA, les nations individuelles de l’UE peuvent instituer des sanctions et des sanctions pénales dans leurs lois nationales. Il peut s’agir d’amendes allant jusqu’à 2 % du chiffre d’affaires mondial annuel total d’une entité ou jusqu’à 1 million d’euros et de pénalités encore plus rudes allant jusqu’à 5 millions pour les fournisseurs de TIC tiers critiques.
Heureusement, se conformer à DORA présente des avantages significatifs. « La conformité avec DORA offre des avantages significatifs à ceux qui adhèrent à ses exigences explicites et à ses principes sous-jacents », déclare Rois Ni Thuama, responsable de la cybergouvernance chez le fournisseur de sécurité Red Sift. « Les avantages économiques sont considérables, ce qui permet d’améliorer la prise de décision et d’éviter les coûts associés à la négligence des menaces connues. »
Maintenant que nous avons défini DORA, vous vous demandez peut-être, n’avons-nous pas déjà vécu quelque chose comme cela récemment avec le RGPD ? Comparons rapidement DORA et RGPD pour comprendre leurs similarités et leurs différences et voir comment chaque réglementation améliore de manière unique la résilience numérique et la protection des données.
Comment DORA se compare-t-elle au RGPD ?
Étant donné que DORA tire parti des cadres de cybersécurité existants et s’appuie sur eux pour améliorer la résilience opérationnelle des institutions financières, elle incorpore bon nombre des mêmes principes issus de normes bien établies comme le RGPD et le cadre de cybersécurité de l’Institut national des normes et technologies (National Institute of Standards and Technology, NIST) pour fournir une base solide à ses exigences.
Cependant, bien que DORA et le RGPD soient des réglementations européennes importantes, ils diffèrent en termes de concentration et de portée. Le RGPD est plus large, se concentrant sur la protection et la confidentialité des données pour toutes les organisations qui traitent des données personnelles. DORA cible spécifiquement le secteur financier, en se concentrant sur les risques liés aux TIC et la résilience opérationnelle, avec des objectifs conçus pour s’assurer que les entités financières peuvent résister, réagir et se remettre de toutes les perturbations et menaces liées aux TIC.
En se concentrant sur ces objectifs fondamentaux, DORA vise à améliorer la résilience et la sécurité globales du secteur financier.
Quels sont les objectifs clés de DORA ?
L’objectif ultime de DORA est d’assurer une posture de risque plus résiliente en standardisant les exigences de résilience opérationnelle pour les institutions financières, créant ainsi un paysage réglementaire uniforme dans l’ensemble de l’UE.
Pour y parvenir, les exigences DORA sont normatives, en mettant fortement l’accent sur la manière dont les organisations mettent en œuvre des pratiques efficaces de gestion des risques, de gestion et de signalement des incidents, et de gouvernance, notamment :
- Renforcer la gestion des risques : les institutions financières et toutes les entités couvertes doivent établir des stratégies complètes pour traiter et atténuer les risques, y compris les cybermenaces et les perturbations opérationnelles des systèmes d’ information. Ils doivent également effectuer des évaluations régulières des risques pour démontrer comment ils gèrent efficacement leurs risques.
- Améliorez la gestion et le signalement des incidents : Les organisations doivent disposer de mécanismes robustes de gestion et de signalement des incidents pour gérer et signaler les incidents de cybersécurité et les plans de continuité des activités pour leurs opérations, y compris les fonctions importantes externalisées ou contractées par l’intermédiaire de fournisseurs de services de technologie de l’information et de la communication.
DORA exige également que les entités financières signalent les incidents majeurs liés aux TIC aux autorités compétentes en trois étapes : notification initiale dans les 24 heures, un rapport intermédiaire dans les 72 heures et un rapport final dans le mois. Ces rapports doivent inclure des détails tels que le type d’incident, les zones affectées, l’impact et les actions de résolution. Cela garantit une communication rapide et une gestion efficace des incidents, améliorant ainsi la résilience opérationnelle globale. - Promouvoir les tests de résilience opérationnelle numérique : des tests réguliers de résilience opérationnelle numérique sont mandatés pour s’assurer que les systèmes et processus peuvent résister et se remettre des perturbations. La réalisation de tests de pénétration dirigés par les menaces (TLPT) est un élément clé des tests de résilience dans DORA, car elle simule des cyberattaques réelles pour identifier les vulnérabilités. Les entités financières doivent effectuer des TLPT sur des actifs de grande valeur pour tester les contrôles techniques, les processus organisationnels et les capacités de réponse aux incidents chaque année en utilisant des entités externes indépendantes.
- Établir la gouvernance et la supervision : DORA exige des entités financières qu’elles mettent en œuvre de solides pratiques de gouvernance et de supervision pour garantir une gestion efficace des risques et une conformité informatique aux normes, politiques et contrôles réglementaires. En vertu de la DORA, l’organe de gestion des entités financières est chargé de définir, d’approuver, de superviser et de mettre en œuvre tous les arrangements liés au cadre de gestion des risques TIC, y compris la définition de politiques pour maintenir des normes élevées de sécurité des données, d’établir des rôles et responsabilités clairs pour les fonctions liées aux TIC, et d’assurer une communication et une coordination efficaces entre ces fonctions.
Les entreprises doivent être prêtes à partager leur cadre et leurs cadres internes de gouvernance et de contrôle de la cybersécurité avec les régulateurs pour montrer comment elles identifient, évaluent, surveillent et gèrent les risques TIC.
« Il est bon de voir l’accent mis sur la résilience », déclare Wim Remes, directeur des opérations de la société de sécurité Spotit. « Cet ensemble de réglementations vise à éloigner les entités de la simple vérification des cases lorsqu’il s’agit de mandats réglementaires », déclare Remes, vers une stratégie de gestion des risques de conformité plus holistique (et plus efficace) pour protéger les systèmes financiers.
Maintenant que nous avons exploré les objectifs clés de DORA, concentrons-nous sur les secteurs qu’elle affecte. En identifiant les secteurs affectés, nous pouvons mieux apprécier l’influence et l’importance étendues de DORA dans l’amélioration de la résilience numérique dans divers domaines.
Quels secteurs sont affectés par la réglementation DORA ?
DORA est une réglementation européenne de grande envergure qui affecte les organisations du monde entier. Bien qu’elle cible principalement le secteur financier, son impact s’étend à un large éventail de secteurs liés aux services financiers, y compris les banques, les fournisseurs de paiement, les fournisseurs de monnaie électronique, les fournisseurs de services d’informations comptables, les sociétés d’investissement, les sociétés de gestion, les sociétés de négociation, les courtiers, les fournisseurs de services de crypto-actifs, les compagnies d’assurance et d’autres institutions financières.
« Il n’y a pas de DORA lite », explique Ni Thuama. Pour les entreprises basées à l’intérieur ou à l’extérieur de l’UE, « l’impact est le même ».
De plus, les exigences de DORA affectent considérablement les fournisseurs de services tiers qui offrent des services TIC critiques aux entités financières. Ces exigences influencent grandement leurs opérations et responsabilités, car ces fournisseurs jouent un rôle essentiel dans le soutien du secteur financier.
Comment DORA affecte-t-elle les fournisseurs de services tiers TIC ?
DORA couvre également les fournisseurs de technologies de l’ information et de la communication, ou TIC, de services, y compris les fournisseurs de services numériques et de données, les fournisseurs de services d’analyse de données et de centres de données, les fournisseurs de services matériels et les fournisseurs de services de communications électroniques, ainsi que ceux fournissant des lignes téléphoniques analogiques.
En vertu de la DORA, les fournisseurs de TIC peuvent être désignés comme « critiques » en fonction de leur impact systémique, des dépendances des entités financières avec eux et d’autres facteurs. Les autorités de surveillance européennes (ESA), qui comprennent l’Autorité européenne des assurances et des pensions professionnelles (EIOPA), l’Autorité bancaire européenne (EBA) et l’Autorité européenne des valeurs mobilières et des marchés (ESMA), sont responsables de la désignation des fournisseurs de TIC en tant que tels.
Les prestataires de services tiers TIC critiques doivent se conformer à un cadre de supervision renforcé, y compris des évaluations et audits réguliers, pour démontrer efficacement leur capacité à gérer les risques et à atténuer les incidents liés aux TIC.
Cependant, les entités financières qui s’appuient sur l’externalisation des systèmes TIC doivent également s’assurer que les fournisseurs se conforment aux exigences de DORA en effectuant une diligence raisonnable approfondie et une surveillance continue des risques tiers.
Comprendre l’impact de DORA sur les fournisseurs de services tiers TIC est essentiel pour comprendre la portée complète de la réglementation. Passons à des conseils de haut niveau sur la manière dont ces fournisseurs et autres entités affectées peuvent travailler pour assurer la conformité aux exigences de DORA.
Comment se conformer à DORA
Les grands fournisseurs de technologies, tels que Google Cloud, ont déjà apporté les modifications nécessaires pour devenir conformes à la norme DORA. Par exemple, ils ont réuni des experts en la matière des équipes chargées des risques et de la conformité, de la sécurité, des affaires juridiques, gouvernementales et des produits pour préparer des plans de conformité si nécessaire.
L’équipe Google Cloud a également expliqué : « Ces plans s’appuient sur notre solide base dans des domaines tels que la sécurité, la résilience et la gestion des risques tiers qui permettent déjà à nos clients des services financiers de l’UE de répondre à leurs attentes réglementaires rigoureuses. »
« Cet ensemble de réglementations vise à éloigner les entités de la simple vérification des cases concernant les mandats réglementaires. »Wim Remes, responsable des opérations, Spotit
Google s’est également préparé à sa désignation probable en tant que fournisseur de technologie critique et aux engagements annuels requis en fournissant des plans de supervision, des inspections, des recommandations et des conseils aux clients sur le signalement des incidents. Le guide Google est excellent à suivre : les entreprises doivent établir une référence là où leurs capacités existent par rapport aux exigences de DORA et combler les lacunes identifiées.
L’avantage de DORA est qu’elle ne nécessite pas de réflexion nouvelle. « En fait, cela exige essentiellement que les entités financières suivent les meilleures pratiques », déclare Ni Thuama.
Ni Thuama conseille les entreprises de services financiers et les fournisseurs de technologies qui doivent adhérer à DORA pour s’auto-évaluer dans ces six domaines :
- Gouvernance
- Gestion des risques
- Rapports
- Test
- Risque tiers
- Partage d’informations
« Ils doivent tracer ces domaines clés, déterminer où ils en sont aujourd’hui par rapport à chacun de ces domaines clés, et combler ces lacunes, en supposant qu’il y ait des lacunes », conseille-t-elle.
Alors, par où commencer ? Ni Thuama recommande aux entreprises d’examiner le cadre de gestion des risques liés aux TIC et d’identifier leurs exigences en matière de tests. Elle dit que les entreprises doivent « planifier des tests périodiques des outils et des systèmes pour évaluer la préparation et corriger les faiblesses, les déficiences ou les lacunes ».
En fin de compte, DORA exige des entreprises qu’elles fassent ce qu’elles devraient déjà faire, note Scott Crawford, responsable de la recherche sur la sécurité de l’information chez 451 Research. Nous devrions nous attendre à ce que les régulateurs du monde entier accordent la même attention à la cyberrésilience. « Vous continuerez à voir des réglementations qui garantissent que les entreprises peuvent répondre à des cyber-événements importants, qu’il s’agisse d’attaques par déni de service ou de ransomware, quelle que soit la forme de ces événements », déclare-t-il.
Tanium aide les organisations à se conformer aux réglementations DORA en fournissant des solutions complètes qui améliorent la résilience numérique. Notre dernière amélioration, Tanium Autonomous Endpoint Management (AEM), rationalise de nombreux processus de gestion à l’aide de capacités d’IA et d’automatisation natives simplifiées afin de réduire le besoin d’expertise qualifiée pour créer, faire évoluer et maintenir une bibliothèque d’automatisation dans les environnements les plus difficiles et dynamiques.
Nos solutions intégrées sont conçues dans un souci de sécurité pour aider les organisations à gérer la complexité croissante du paysage actuel des menaces. Nos fonctionnalités en temps réel de pointe, telles que l’intégration des informations sur les menaces de l’organisation, de la communauté et des tiers avec Tanium Incident Response et l’exploitation des scores de risque proactifs dans la solution de gestion des risques et de la conformité Tanium , racontent ce qui se passe dans l’environnement en ce moment afin que les organisations puissent hiérarchiser leurs efforts pour protéger les opérations numériques et répondre aux exigences strictes de DORA.
Avec Tanium, vous pouvez naviguer en toute confiance dans les complexités de la conformité tout en simplifiant vos efforts pour renforcer rapidement votre posture globale de cybersécurité. Planifiez une démo gratuite et personnalisée de Tanium dans votre environnement dès aujourd’hui.
