MISE À JOUR : Cet article, initialement publié sur 24 août 2023, a été mis à jour afin de refléter les informations les plus récentes disponibles concernant la réglementation DORA et la date limite d'application prévue ce mois-ci.
La loi sur la résilience opérationnelle numérique de l’ , « Digital Operational Resilience Act » (), ou « DORA », constitue un cadre réglementaire novateur pour le secteur des services financiers que l’Union européenne (UE) a adopté en 2022. Bien qu’elle soit entrée en vigueur le 16 janvier 2023, elle est devenue pleinement applicable le 17 janvier 2025.
DORA a pour objectif de renforcer la résilience des institutions financières face à des risques tels que les ransomwares, les attaques visant la chaîne d'approvisionnement et d'autres menaces liées à la cybersécurité. Le règlement impose aux entités du secteur financier et à leurs prestataires de services informatiques (TIC) d’améliorer leurs pratiques en matière de cybersécurité, notamment leurs leurs procédures d’intervention en cas d’incident et leurs plans de résilience.
Cet article présente tout ce que vous devez savoir sur DORA. Nous commencerons par définir la loi DORA et par expliquer en quoi elle diffère du Règlement général sur la protection des données (RGPD). Nous examinerons ensuite ses avantages, ses principaux objectifs et les différents secteurs d'activité concernés, y compris les implications spécifiques pour les prestataires de services tiers dans le domaine des TIC.
Enfin, nous vous présenterons les bonnes pratiques générales permettant de garantir la conformité avec la loi DORA. Allons-y et découvrons ensemble l'importance de DORA dans le renforcement de la résilience numérique.
Qu'est-ce que la conformité à la loi DORA ?
La conformité à la norme DORA permet de remédier aux lacunes et de prévenir les perturbations grâce à la mise en place de cadres solides de gestion des risques et de plans d'intervention face aux cybermenaces. Ces normes visent à garantir que les établissements financiers de l'Union européenne soient en mesure de gérer et d'atténuer efficacement les conséquences des incidents de cybersécurité, en préservant leur résilience opérationnelle et en se conformant aux nouvelles exigences réglementaires — sous peine de subir de graves répercussions.
[À lire également : Qu'est-ce que la gestion de la conformité ? Types et conseils d'amélioration]
Les sanctions en cas d’infraction à la loi DORA peuvent être lourdes. Bien que le règlement DORA ne prévoie pas d’amendes ni de sanctions pénales, chaque État membre de l’Union européenne peut prévoir des sanctions s et pénales dans sa législation nationale. Ces sanctions peuvent inclure des amendes pouvant atteindre 2 % du chiffre d'affaires annuel mondial total d'une entité ou 1 million d'euros, ainsi que des sanctions encore plus sévères pouvant aller jusqu'à 5 millions d'euros pour les fournisseurs tiers de services TIC essentiels.
Heureusement, la mise en conformité avec la loi DORA présente des avantages considérables. « Le respect de la loi DORA offre des avantages considérables à ceux qui se conforment à ses exigences explicites et à ses principes sous-jacents », déclare Rois Ni Thuama, responsable de la cybergouvernance chez le fournisseur de solutions de sécurité Red Sift. « Les avantages économiques sont considérables : ils permettent d'améliorer la prise de décision et d'éviter les coûts liés au fait de négliger des menaces connues. »
Maintenant que nous avons défini le DORA, vous vous demandez peut-être : n’avons-nous pas déjà vécu une situation similaire récemment avec le RGPD ? Comparons rapidement la directive DORA et le RGPD afin de comprendre leurs similitudes et leurs différences, et de voir comment chaque réglementation contribue à sa manière à renforcer la résilience numérique et la protection des données.
En quoi la loi DORA diffère-t-elle du RGPD ?
Étant donné que DORA s'appuie sur les cadres de cybersécurité existants de l' et s'en inspire pour renforcer la résilience opérationnelle des établissements financiers, elle intègre bon nombre des principes issus de normes bien établies telles que le RGPD et le cadre de cybersécurité du National Institute of Standards and Technology (NIST), afin de fournir une base solide à ses exigences.
Toutefois, bien que la directive DORA et le RGPD soient des réglementations européennes importantes, elles diffèrent tant par leur objet que par leur champ d'application. Le RGPD a une portée plus large et met l'accent sur la protection des données et la vie privée pour toutes les organisations traitant des données à caractère personnel. Le programme DORA cible spécifiquement le secteur financier, en mettant l'accent sur les risques liés aux TIC et à la résilience opérationnelle, avec des objectifs visant à garantir que les entités financières soient en mesure de résister à toutes les perturbations et menaces liées aux TIC, d'y faire face et de s'en remettre.
En se concentrant sur ces objectifs fondamentaux, DORA vise à renforcer la résilience et la sécurité globales du secteur financier.
Quels sont les principaux objectifs de DORA ?
L'objectif ultime de la directive DORA est de garantir une gestion des risques plus résiliente en harmonisant les exigences en matière de résilience opérationnelle applicables aux établissements financiers, afin de créer un cadre réglementaire uniforme dans l'ensemble de l'Union européenne.
Pour y parvenir, les exigences DORA sont normatives et mettent fortement l’accent sur la manière dont les organisations mettent en œuvre des pratiques efficaces en matière de gestion des risques, de gestion et de signalement des incidents, ainsi que de gouvernance, notamment :
- Renforcer la gestion des risques : Les établissements financiers et toutes les entités concernées doivent mettre en place des stratégies globales visant à traiter et à atténuer les risques, notamment les cybermenaces et les perturbations opérationnelles des systèmes d'information. Elles doivent également réaliser régulièrement des évaluations des risques afin de démontrer qu’elles gèrent efficacement leurs risques.
- Améliorer la gestion et le signalement des incidents : Les organisations doivent disposer de mécanismes solides de gestion et de signalement des incidents afin de traiter et de signaler les incidents de cybersécurité, ainsi que de plans de continuité des activités pour leurs opérations, y compris les fonctions importantes externalisées ou confiées à des prestataires de services des technologies de l’information et de la communication.
La loi DORA impose également aux entités financières de signaler les incidents majeurs liés aux TIC aux autorités compétentes en trois étapes : une notification initiale dans un délai de 24 heures, un rapport intermédiaire dans un délai de 72 heures et un rapport final dans un délai d’un mois. Ces rapports doivent comporter des informations telles que le type d'incident, les zones touchées, ses conséquences et les mesures prises pour y remédier. Cela garantit une communication rapide et une gestion efficace des incidents, ce qui renforce la résilience opérationnelle globale. - Promouvoir les tests de résilience opérationnelle numérique : La réalisation régulière de tests de résilience opérationnelle numérique est obligatoire afin de garantir que les systèmes et les processus soient capables de résister aux perturbations et de s'en remettre. La réalisation de tests d'intrusion axés sur les menaces (TLPT) constitue un élément clé des tests de résilience dans le cadre de DORA, car elle permet de simuler des cyberattaques réelles afin d'identifier les vulnérabilités. Les entités financières doivent réaliser chaque année, en faisant appel à des organismes externes indépendants, des tests de résilience (TLPT) portant sur les actifs de grande valeur afin de vérifier les contrôles techniques, les processus organisationnels et les capacités de réaction aux incidents.
- Mettre en place une gouvernance et un dispositif de contrôle : La loi DORA impose aux entités financières de mettre en œuvre des pratiques rigoureuses en matière de gouvernance et de contrôle afin de garantir une gestion efficace des risques et la conformité informatique aux normes réglementaires, aux politiques et aux contrôles. En vertu de la directive DORA, l’organe de direction des entités financières est chargé de définir, d’approuver, de superviser et de mettre en œuvre l’ensemble des dispositions relatives au cadre de gestion des risques liés aux TIC, notamment en établissant des politiques visant à maintenir des normes élevées en matière de sécurité des données, en définissant clairement les rôles et responsabilités des fonctions liées aux TIC, et en garantissant une communication et une coordination efficaces entre ces fonctions.
Les entreprises doivent être prêtes à communiquer leur cadre ainsi que leurs dispositifs internes de gouvernance et de contrôle en matière de cybersécurité aux autorités de régulation afin de démontrer comment elles identifient, évaluent, surveillent et gèrent les risques liés aux TIC.
« C'est une bonne chose que l'accent soit mis sur la résilience », déclare Wim Remes, directeur des opérations de la société de sécurité Spotit. « Cet ensemble de réglementations vise à amener les entités à ne plus se contenter de cocher des cases pour se conformer aux obligations réglementaires », explique M. Remes, mais à adopter une stratégie plus globale (et plus efficace) de gestion des risques de conformité afin de protéger les systèmes financiers.
Maintenant que nous avons passé en revue les principaux objectifs de DORA, concentrons-nous sur les secteurs d'activité concernés. En identifiant les secteurs concernés, nous pouvons mieux apprécier l’influence considérable et l’importance de DORA dans le renforcement de la résilience numérique dans divers domaines.
Quels sont les secteurs concernés par le règlement DORA ?
Le règlement DORA est un texte législatif européen de grande portée qui a des répercussions sur les organisations du monde entier. Bien qu’elle vise principalement le secteur financier, son impact s’étend à un large éventail de secteurs liés aux services financiers, notamment les banques, les prestataires de services de paiement, les émetteurs de monnaie électronique, les prestataires de services d’information comptable, les sociétés d’investissement, les sociétés de gestion, les sociétés de négoce, les courtiers, les prestataires de services liés aux crypto-actifs, les compagnies d’assurance et d’autres institutions financières.
« Il n'existe pas de version allégée de DORA », explique Ni Thuama. Pour les entreprises situées au sein ou en dehors de l'Union européenne, « l'impact est le même ».
Par ailleurs, les exigences de la loi DORA ont un impact considérable sur les prestataires de services tiers qui fournissent des services TIC essentiels aux entités financières. Ces exigences ont une incidence considérable sur leurs activités et leurs responsabilités, car ces prestataires jouent un rôle essentiel dans le soutien du secteur financier.
Quel est l'impact de la directive DORA sur les prestataires de services informatiques tiers ?
La loi DORA s'applique également aux prestataires de services liés aux technologies de l'information et de la communication (TIC), notamment aux prestataires de services numériques et de données — prestataires de services cloud, prestataires de services d'analyse de données et de centres de données, prestataires de services liés au matériel informatique et prestataires de services de communications électroniques — ainsi qu'aux prestataires proposant des lignes téléphoniques analogiques.
Dans le cadre de la directive DORA, les fournisseurs de TIC peuvent être désignés comme « critiques » en fonction de leur impact systémique, de la dépendance des entités financières à leur égard et d’autres facteurs. Les autorités européennes de surveillance (AES), qui comprennent l’Autorité européenne des assurances et des pensions professionnelles (EIOPA), l’Autorité bancaire européenne (ABE) et l’Autorité européenne des marchés financiers (AEMF), sont chargées de désigner les fournisseurs de TIC comme tels.
Les prestataires de services tiers dans le domaine des TIC d'importance critique doivent se conformer à un cadre de surveillance renforcé, comprenant notamment des évaluations et des audits réguliers, afin de démontrer efficacement leur capacité à gérer les risques et à atténuer les incidents liés aux TIC.
Toutefois, les entités financières qui recourent à l'externalisation de leurs systèmes informatiques doivent également s'assurer que les prestataires respectent les exigences de la DORA, en procédant à une vérification préalable approfondie et en surveillant en permanence les risques liés aux tiers.
Il est essentiel de comprendre l'impact de la directive DORA sur les prestataires de services informatiques tiers pour saisir toute la portée de cette réglementation. Passons maintenant à des recommandations générales sur la manière dont ces prestataires et les autres entités concernées peuvent s'y prendre pour garantir le respect des exigences de la loi DORA.
Comment se conformer à la loi DORA
Les grands fournisseurs de technologies, tels que Google Cloud, ont déjà procédé aux modifications nécessaires pour se mettre en conformité avec la norme DORA. Par exemple, ils ont réuni des experts des domaines concernés, issus des équipes chargées des risques et de la conformité, de la sécurité, des affaires juridiques, des affaires gouvernementales et des produits, afin d'élaborer des plans de conformité lorsque cela s'avérait nécessaire.
L'équipe Google Cloud a également précisé : « Ces offres s'appuient sur nos bases solides dans des domaines tels que la sécurité, la résilience et la gestion des risques liés aux tiers , qui permettent déjà à nos clients du secteur des services financiers de l'Union européenne de répondre à leurs exigences réglementaires rigoureuses. »
«Cet ensemble de réglementations vise à amener les entités à ne plus se contenter de cocher des cases pour se conformer aux obligations réglementaires. »Wim Remes, directeur des opérations chez Spotit
Google s'est également préparé à sa désignation probable en tant que fournisseur de technologies essentielles et aux obligations annuelles qui en découlent, en mettant en place des plans de surveillance, des inspections, des recommandations et des conseils à l'intention des clients concernant le signalement des incidents. La stratégie de Google constitue un excellent modèle à suivre : les entreprises devraient évaluer leurs capacités actuelles par rapport aux exigences de la directive DORA et combler les lacunes identifiées.
Ce qui est formidable avec DORA, c'est qu'elle ne nécessite pas de réflexion novatrice. « En réalité, cela revient essentiellement à exiger des entités financières qu’elles respectent les meilleures pratiques », explique Ni Thuama.
Ni Thuama recommande aux entreprises du secteur des services financiers et aux fournisseurs de technologies tenus de se conformer à la DORA de procéder à une auto-évaluation dans les six domaines suivants :
- Gouvernance
- Gestion des risques
- Rapports
- Essais
- Risque lié aux tiers
- Partage d'informations
« Ils doivent recenser ces domaines clés, déterminer où ils en sont aujourd’hui par rapport à chacun d’entre eux, et combler ces lacunes, s’il y en a », conseille-t-elle.
Alors, par où commencer ? Ni Thuama recommande aux entreprises de consulter le cadre de gestion des risques informatiques de la , disponible à l'adresse , et d'identifier leurs besoins en matière de tests. Elle affirme que les entreprises devraient « programmer des tests périodiques de leurs outils et systèmes afin d'évaluer leur état de préparation et de remédier à toute faiblesse, lacune ou insuffisance ».
En fin de compte, la loi DORA exige des entreprises qu'elles fassent ce qu'elles devraient déjà faire, note Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research. Il faut s'attendre à ce que les autorités de régulation du monde entier accordent la même importance à la cyber-résilience. « Vous continuerez à voir apparaître des réglementations visant à garantir que les entreprises puissent faire face à des incidents cybernétiques majeurs, qu'il s'agisse d'attaques par déni de service ou de rançongiciels — quelle que soit la forme que prennent ces incidents », déclare-t-il.
Tanium aide les organisations à se conformer à la réglementation DORA en proposant des solutions complètes qui renforcent la résilience numérique. Notre dernière amélioration, Tanium Autonomous Endpoint Management (AEM), rationalise de nombreux processus de gestion grâce à des fonctionnalités simplifiées et natives d’intelligence artificielle et d’automatisation, afin de réduire le recours à une expertise pointue pour créer, faire évoluer et maintenir une bibliothèque d’automatisation, même dans les environnements les plus complexes et les plus dynamiques.
Nos solutions intégrées sont conçues dans un souci de sécurité afin d’aider les organisations à faire face à la complexité croissante du paysage actuel des menaces. Nos fonctionnalités de pointe en temps réel, telles que l’intégration des renseignements sur les menaces provenant de l’organisation, de la communauté et de tiers avec Tanium Incident Response et l’exploitation de scores de risque proactifs dans la solution de gestion des risques et de la conformité Tanium , fournissent une vue d’ensemble de ce qui se passe actuellement dans l’environnement. Les organisations peuvent ainsi hiérarchiser leurs efforts pour protéger leurs opérations numériques et répondre aux exigences strictes de la loi DORA.
Grâce à Tanium, vous pouvez gérer en toute confiance les complexités de la conformité tout en simplifiant vos efforts visant à renforcer rapidement votre posture globale en matière de cybersécurité. Prenez rendez-vous dès aujourd'hui pour une démonstration gratuite et personnalisée de Tanium dans votre environnement.
