(DORA) est une règlementation européennePattison, Andrew. A Guide to the EU Digital Operational Resilience Act, Walter de Gruyter. . ayant comme but d'accroitre la résilience opérationnelle numérique des organisations du secteur financier. Elle est applicable à partir de .
Historique Contexte pré-DORA Avant l'adoption de DORA, la gestion des risques liés aux technologies de l'information et de la communication (TIC) dans le secteur financier de l'Union européenne était caractérisée par une certaine fragmentation.. Les exigences étaient dispersées dans diverses législations sectorielles (banque, assurance, marchés) et variaient d'un État membre à l'autre, créant des complexités pour les acteurs transfrontaliers et des niveaux de protection inégaux.. Parallèlement, la transformation numérique rapide du secteur financier augmentait sa dépendance vis-à-vis des systèmes informatiques et des prestataires technologiques externes, notamment pour le cloud computing., tout en l'exposant à des cybermenaces croissantes et de plus en plus sophistiquées.. Ce constat a conduit les institutions européennes à reconnaître la nécessité d'un cadre réglementaire dédié et harmonisé pour renforcer la cyber-résilience de l'ensemble du secteur..
Processus législatif L'initiative DORA a été formellement lancée dans le cadre du Paquet Finance Numérique (), présenté par la Commission européenne le .. Ce paquet comprenait plusieurs propositions législatives visant à moderniser le cadre réglementaire financier de l'UE face aux défis et opportunités du numérique, dont la proposition de règlement DORA (document COM/2020/595)..
La proposition a ensuite suivi la Procédure législative ordinaire (codécision)., impliquant des négociations approfondies entre les deux co-législateurs : le Parlement européen et le Conseil de l'Union européenne. Un accord politique provisoire entre les négociateurs des deux institutions a été annoncé le ..
Cet accord a été formellement approuvé par le Parlement européen lors de sa session plénière du ., puis par le Conseil de l'Union européenne le ..
Adoption et entrée en vigueur Le règlement (UE) 2022/2554 a été officiellement signé par les présidents du Parlement européen et du Conseil le . Il a été publié au Journal officiel de l'Union européenne le . et est entré en vigueur le .
Pour laisser le temps aux entités financières, aux prestataires TIC et aux autorités de surveillance de se préparer, le règlement prévoit une période de mise en conformité de 24 mois. Ses dispositions deviendront donc pleinement applicables dans tous les États membres à partir du .
Cadre réglementaire Le renforcement de la résilience opérationnelle numérique du secteur financier européen s'appuie sur un ensemble coordonné d'actes juridiques de l'Union européenne.
Règlement Le cœur du dispositif est le règlement (UE) 2022/2554, connu sous l'acronyme DORA. Ce règlement constitue l'acte législatif principal qui établit les règles de fond harmonisées pour la gestion des risques liés aux TIC, la notification des incidents, les tests de résilience, la gestion des risques liés aux tiers prestataires de services TIC et le partage d'informations.
En tant que règlement, DORA possède des caractéristiques déterminantes : application directe : il s'applique uniformément dans tous les États membres dès sa date d'application (), sans nécessiter de loi de transposition nationale .; caractère obligatoire : ses dispositions sont contraignantes dans leur intégralité pour toutes les entités relevant de son champ d'application ; harmonisation maximale : l'objectif est de créer un standard unique pour la résilience numérique dans le secteur financier de l'UE.
Directive Adoptée et publiée en parallèle du Règlement DORA, la directive (UE) 2022/2556 du Parlement européen et du Conseil du . a pour objectif de modifier les directives existantes telles que les directives CRD IV, DSP2, BRRD, Solvabilité 2, IORP2, MiFID 2, AIFM afin de les mettre en cohérence avec les nouvelles dispositions du règlement DORA.
Cette directive d'amendement doit être transposée en droit national par les États membres pour que les modifications apportées aux directives sectorielles soient effectives dans chaque pays..
Les normes techniques Pour assurer une application concrète, détaillée et uniforme des obligations fixées par le règlement DORA, celui-ci mandate les Autorités européennes de surveillance (ABE, AEAPP et AEMF) pour élaborer des normes techniques.. Ces normes sont des actes juridiques contraignants qui spécifient les détails techniques requis par le règlement : Normes techniques de réglementation : Complètent le règlement DORA sur des aspects essentiels. Par exemple, elles détaillent le contenu du cadre de gestion des risques TIC., les critères de classification des incidents ou les exigences contractuelles pour les tiers. Normes techniques d'exécution : Assurent des conditions uniformes d'application, souvent via des modèles ou formats standardisés. Par exemple, elles définissent les modèles pour le registre d'informations sur les contrats TIC ou les formats de notification d'incidents.
Ces normes techniques tirent leur base légale du règlement DORA et sont indispensables à sa mise en œuvre opérationnelle.
Champ d'application DORA s'applique à un large éventail d'entités financières réglementées au sein de l'UE.. Cela inclut notamment : Les établissements de crédit (banques) Les établissements de paiement Les établissements de monnaie électronique Les entreprises d'investissement (sauf si exemptées à l’article 2 ou 3 de MiFID) Les prestataires de services sur crypto-actifs (relevant du règlement MiCA) Les dépositaires centraux de titres (CSD) Les contreparties centrales (CCP) Les plates-formes de négociation (marchés réglementés, MTF, OTF) Les référentiels centraux Les gestionnaires de fonds d'investissement alternatifs (AIFM) Les sociétés de gestion (UCITS) Les prestataires de services de communication de données (DRSP) Les entreprises d'assurance et de réassurance (sauf les organismes écartés du périmètre de Solvabilité II en raison de leur taille) Les intermédiaires d'assurance, de réassurance et auxiliaires (sauf si micro-entreprises ou PME) Les institutions de retraite professionnelle (IORP) Les agences de notation de crédit Les administrateurs d'indices de référence critiques Les prestataires de services de financement participatif (Crowdfunding) Les référentiels des titrisations
Le règlement s'applique également aux prestataires tiers de services TIC qui fournissent des services aux entités financières susmentionnées. Un régime de surveillance spécifique est prévu pour les prestataires tiers de services TIC jugés critiques pour le secteur financier européen.. Certaines entités peuvent bénéficier d'exemptions ou d'un régime allégé en fonction de leur taille, de leur nature et de leur profil de risque (principe de proportionnalité)..
Principales notions et exigences du règlement Le règlement DORA (Digital Operational Resilience Act) introduit la notion centrale de résilience opérationnelle numérique, qui dépasse la simple protection des systèmes d'information. Il s'agit d'assurer la capacité continue des entités financières à prévenir, résister et se remettre d'incidents graves liés aux technologies de l'information et de la communication (TIC), tout en garantissant la continuité de leurs activités essentielles. Cette approche globale intègre à la fois la sécurité informatique, la gestion de crise, la continuité d’activité et la capacité de rétablissement...
Une deuxième notion essentielle de DORA est la définition et la gestion des fonctions critiques ou importantes. Selon l'article 3.22, une fonction est considérée comme critique si sa perturbation est susceptible d'affecter de manière significative la performance financière d'une entité, sa stabilité, ou la continuité de ses services. La réglementation impose aux entités financières de définir elles-mêmes les critères permettant d'identifier ces fonctions, en veillant à ce que cette évaluation soit appropriée et proportionnée à leurs activités spécifiques.
De plus, DORA repose sur le principe de proportionnalité (article 4), qui exige que les obligations imposées par le règlement soient adaptées à la taille, à la nature, à la complexité et au profil de risque de chaque entité financière. Cela permet d'assurer une application équilibrée du cadre réglementaire, évitant ainsi des charges excessives pour les structures plus petites ou moins exposées aux risques opérationnels numériques.
Par ailleurs, le réglement DORA s'articule autour de cinq piliers principaux imposant des exigences spécifiques aux entités financières.:
Gestion des risques liés aux TIC (art. 5 à 16) Les entités financières doivent disposer d'un cadre de gestion des risques liés aux TIC complet, bien documenté et approuvé par leur organe de direction.. Ce cadre doit inclure des stratégies, politiques, procédures et outils pour protéger tous les actifs informationnels et technologiques pertinents.. Il couvre l'identification des risques, la protection et la prévention, la détection des incidents, la réponse et la reprise, ainsi que l'apprentissage et l'évolution post-incident. Des politiques de continuité des activités et des plans de reprise après sinistre liés aux TIC sont également requis..
Notification et gestion des incidents liés aux TIC (art. 17 à 23) DORA harmonise et rationalise la notification des incidents liés aux TIC.. Les entités financières doivent mettre en place des processus pour identifier, gérer, classer et notifier les incidents majeurs liés aux TIC à leur autorité compétente.. Des critères clairs pour la classification des incidents (notamment "majeurs") et des délais stricts pour la notification initiale (dans les 4 h après classification de l’incident comme majeur et sous 24 h après sa détection), intermédiaire et finale sont définis.. Les Autorités européennes de surveillance (ABE, AEAPP et AEMF) développent des normes techniques pour préciser ces éléments..
Tests de résilience opérationnelle numérique (art. 24 à 27) Les entités financières doivent tester régulièrement leurs systèmes et leur résilience opérationnelle numérique.. Cela inclut des tests de vulnérabilité, des tests de performance et d'autres analyses appropriées. Les entités financières identifiées comme significatives devront en outre effectuer, au moins tous les trois ans, des tests de pénétration avancés basés sur les menaces ( - TLPT).. Les exigences pour ces tests (méthodologie, périmètre, qualifications des testeurs) sont précisées par le règlement et les normes techniques..
Gestion des risques liés aux tiers prestataires de services TIC (art. 28 à 44) Reconnaissant la dépendance croissante du secteur financier vis-à-vis des prestataires de services technologiques (Cloud computing, etc.), DORA impose des règles strictes pour la gestion des risques liés à ces tiers.. Les entités financières doivent avoir une stratégie de gestion des risques liés aux tiers, effectuer des due diligences avant de contractualiser, et s'assurer que les contrats avec les prestataires TIC (surtout pour les fonctions critiques ou importantes) contiennent des clauses spécifiques.. Ces clauses doivent couvrir des aspects comme les droits d'audit et d'accès, la sécurité, la notification d'incidents, et les stratégies de sortie..
Partage d'informations et de renseignements sur les menaces (article 45)