Guide de conformité DORA

1. Comment la loi DORA s'applique-t-elle aux institutions financières des différents pays ?

DORA est un règlement européen qui s'applique directement à tous les États membres de l'UE sans nécessiter de transposition nationale. Il concerne plus de 20 catégories d'entités financières, dont les banques, les assureurs, les entreprises d'investissement et les fournisseurs de services TIC opérant dans l'UE. Les entreprises non européennes qui proposent des services au sein de l'UE peuvent également relever du règlement DORA si elles satisfont à ses critères d'applicabilité.

2. Quelles sont les variations dans la mise en œuvre de DORA ?

Le DORA vise une application harmonisée dans toute l'UE, mais certaines différences peuvent apparaître dans les pratiques de surveillance, l'intensité de l'application et l'alignement sur les cadres nationaux de gestion des risques. Les autorités de surveillance de l'UE (par exemple, la BCE, l'ABE, l'AEMF, l'AEAPP) peuvent publier des normes techniques spécifiques et des lignes directrices en matière de surveillance qui déterminent la mise en œuvre.

3. En quoi la conformité à la DORA diffère-t-elle d'autres réglementations en matière de cybersécurité (par exemple, NIS2, GDPR, ISO 27001) ?

• DORA vs. NIS2: DORA se concentre spécifiquement sur le secteur financier, avec des obligations détaillées pour la gestion des risques liés aux TIC, les tests de résilience, la surveillance par des tiers et la notification des incidents. Le NIS2 a une portée sectorielle plus large.

• DORA vs. GDPR: Le GDPR protège les données personnelles ; le DORA traite de la continuité opérationnelle et de la résilience des systèmes TIC.

• DORA vs. ISO 27001: ISO 27001 est une norme volontaire pour la gestion de la sécurité de l'information, tandis que DORA est obligatoire et prescriptive par nature, intégrée dans le cadre réglementaire financier de l'UE.

4. Quelles sont les ressources dont disposent les institutions financières pour se préparer à la loi DORA ?

Les principales ressources sont les suivantes

• Lignes directrices et projets de normes techniques Autorités européennes de surveillance (AES).

• Orientations des régulateurs nationaux (par exemple, ACPR, BaFin, CNMV).

• les boîtes à outils et les cadres de maturité de l'industrie (par exemple, NIST CSF, TIBER-EU).

• Services professionnels fournis par des cabinets de conseil en matière de droit et de cybersécurité.

• Modèles et listes de contrôle de préparation des associations sectorielles (par exemple, EBF, Insurance Europe).

5. Quel est l'impact des pénalités DORA sur les organisations financières opérant dans plusieurs juridictions ?

Contrairement à NIS2, La loi DORA n'établit pas un régime d'amendes autonome. Toutefois, la non-conformité peut avoir des conséquences structurelles graves. La loi DORA est juridiquement intégrée dans l'architecture réglementaire financière centrale de l'UE (CRR, MiFID II, PSD2, Solvency II), ce qui signifie que le non-respect de la loi peut avoir une incidence directe sur la capacité d'un établissement à se conformer à la loi. autorisation d'exploitation.

Les principales conséquences sont les suivantes :

• Suspension ou retrait des licences d'exploitation (par exemple, pour défaut de gestion des risques critiques liés aux TIC pour les tiers, conformément à l'article 28.1.a).

• Ordres réglementaires de cesser les activités non conformessur la base de l'article 50.

• Sanctions pécuniaires illimitéesdélivré à la discrétion des autorités compétentes.

• Pour les fournisseurs tiers désignés pour les TIC critiques (CTPP), amendes journalières pouvant aller jusqu'à 1% du chiffre d'affaires mondial peut s'appliquer jusqu'au rétablissement de la conformité totale (article 35).

Pour les groupes transfrontaliers, cela souligne l'importance de une conformité uniforme dans toutes les filiales et entitésafin d'éviter la fragmentation de l'action réglementaire.

6. Quelles sont les principales échéances pour la mise en conformité avec la loi DORA ?

DORA est entré en vigueur en janvier 2023Le délai de mise en conformité totale est fixé à 17 janvier 2025. D'ici là, les organisations doivent avoir mis en œuvre :

• Un cadre complet de gestion des risques liés aux TIC

• Processus de classification et de notification des incidents

• Stratégies d'essai de la résilience opérationnelle numérique

• Politiques de gestion des risques pour les tiers

• Participation facultative mais encouragée aux accords d'échange de renseignements sur les menaces

7. Quelles sont les entités considérées comme "critiques" au sens de la loi DORA ?

DORA introduit la catégorie des Fournisseurs tiers de TIC critiques (CTPP) - les prestataires de services externes (par exemple, les fournisseurs de logiciels, de services d'hébergement de données et d'informatique en nuage) dont la défaillance pourrait compromettre la stabilité financière. Ces entités sont désignées par les AES et soumises à l'obligation de Supervision au niveau de l'UE par un Superviseur principal. La sélection est basée sur des facteurs tels que la concentration du marché, l'impact systémique et l'exposition du secteur financier.

8. Comment les petites et moyennes entreprises financières peuvent-elles aborder efficacement la question de la conformité à la loi DORA ?

Les PME devraient prendre une approche proportionnelle et fondée sur les risques. Les stratégies pratiques comprennent

• S'appuyer sur les cadres de cybersécurité existants (par ex, ISO 27001, NIST CSF).

• Réutiliser des modèles, des guides ou des kits politiques sectoriels.

• Se concentrer sur les principaux piliers de DORA : gouvernance des risques, continuité des activités, gestion des risques de tiers, réponse aux incidents.

• Engager CISO en tant que service d'avoir accès à des experts pour la mise en place de politiques, l'évaluation des risques, la gestion des audits ou la coordination des tests de résilience.

• Externalisation de tâches techniques spécifiques ou lourdes en termes de conformité, telles que Tests TIBER-UELes candidats doivent avoir une bonne connaissance de l'anglais, de l'allemand, du français et de l'espagnol.

L'objectif est de établir une base de conformité évolutive et vérifiablesans surcharger les équipes internes.