Les règles de la cyber-résilience
franchissent un cap

Les équipes Conformité vont avoir du pain sur la planche. Mais elles ne seront sans doute pas les seules. DORA (Digital Operational Resilience Act), le règlement sur la résilience opérationnelle numérique des services financiers, a été adopté en novembre dans sa dernière version par le Conseil de l’Union européenne. Il doit entrer en vigueur 24 mois et 20 jours après sa publication au Journal officiel.

DORA s’intègre dans le Digital Finance Package à destination du secteur financier, mais il fait aussi partie d’une dynamique de régulation européenne de l’ensemble de l’écosystème digital et des entités qui y sont parties prenantes.

Les principaux objectifs de ce texte concernent la protection des données, bien entendu, mais aussi la capacité à ne pas cesser les opérations en cas d’attaque ou de dysfonctionnement.

À vrai dire, la réglementation liée aux services informatiques était déjà bien étoffée. DORA rassemble cet empilement et va un peu plus loin : désormais, les fournisseurs de services tiers critiques sont intégrés au périmètre réglementaire.

Les autorités européennes de surveillance entendent ainsi se donner les capacités de demander des informations, de mener des audits sur site et hors site, d’émettre des recommandations et des demandes et, si nécessaire, d’imposer des amendes.

L’implémentation de DORA va affecter un secteur bien plus large que les uniques services informatiques et conformité, et elle aura un impact sur la contractualisation des services informatiques fournis par les tiers. Pour le régulateur, c’est une façon de mettre les établissements financiers et les sociétés spécialistes des nouvelles technologies sur un pied d’égalité en termes de normes réglementaires, au sein d’un marché qui devient très concurrentiel.

Au sein des établissements financiers, la gouvernance et l’organisation des établissements financiers devront être établies à l’aune de la protection des opérations et de leur maintien en cas d’attaque. Des sujets que ces derniers connaissent déjà.

Ces préoccupations passent cependant aujourd’hui au premier plan, face à la montée en puissance des usages digitaux, qui supposent de multiplier les connexions entre différentes opérations et différentes entités, mais aussi des attaques de type cyber. Il s’agit, dans un même mouvement, de rendre les systèmes à la fois davantage interopérables et plus sécurisés, des visées qui peuvent a priori sembler contradictoires.

L’ensemble des tâches à exécuter et des dispositifs à mettre en œuvre est colossal et le calendrier des diverses entités pour se conformer aux attendus réglementaires est sans doute moins confortable qu’il n’y paraît.

DORA présente néanmoins l’avantage d’harmoniser l’ensemble des règles sur le territoire européen, d’avoir été conçu en ligne avec les textes existants, tout comme il a été rédigé afin de correspondre à la nouvelle directive européenne sur les obligations de cybersécurité des réseaux et des systèmes d’information, NIS2, qui couvre un périmètre économique bien plus large.