DORA explique : Les 5 piliers de la résilience numérique

Le Digital Operational Resilience Act (DORA) modifie fondamentalement l'environnement réglementaire en Europe : à l'avenir, les entreprises financières devront prendre la résilience numérique aussi sérieusement que les risques de crédit ou de liquidité. Pour les entreprises engagées dans la transformation numérique, il est essentiel de comprendre les cinq piliers centraux de DORA - pour une communication interne sécurisée, la continuité des activités et la conformité réglementaire.

Découvrez comment Wire aide les institutions financières à se conformer à DORA grâce à des outils de communication sécurisés et conformes. Pour aider les entreprises à naviguer dans la complexité, Wire a développé, en collaboration avec Reuschlaw, un nouveau livre blanc qui détaille tous les aspects importants.

En savoir plus ->

Qu'est-ce que DORA ?

Le "Digital Operational Resilience Act" - en abrégé DORA - est un règlement de l'Union européenne (UE) qui vise à uniformiser et à renforcer la résilience opérationnelle numérique dans le secteur financier. Le règlement (UE) 2022/2554 est entré en vigueur en janvier 2023 et sera pleinement applicable à partir du 17 janvier 2025.

Ce qui est particulier dans DORA, c'est l'approche technologiquement neutre combinée à l'effet juridique contraignant dans tous les États membres de l'UE. Étant donné qu'il s'agit d'un règlement - et non d'une directive - DORA est directement applicable sans transposition nationale, ce qui garantit une cohérence et une validité immédiate.

Mais la compréhension du règlement n'est que la première étape.
Dans notre dernier article, nous examinons de plus près deux défis clés qui rendent la conformité DORA particulièrement complexe - et comment les entreprises peuvent les aborder à temps, avant qu'ils ne deviennent de véritables risques.

Quels sont les cinq piliers de DORA ?

1) Gestion des risques liés aux TIC

Ce qui est exigé :
Toutes les institutions financières doivent mettre en place un cadre de gouvernance interne pour gérer les risques liés aux TIC.
Cela comprend notamment le recensement des actifs numériques, la classification des risques et l'élaboration de plans d'urgence et de récupération.

Mesures clés :

• Définition des services critiques pour l'entreprise et de leurs dépendances aux TIC.
• tenue d'un registre actualisé de tous les actifs TIC
• Mise en place de contrôles d'accès, de gestion des correctifs et de processus de changement.
• Promotion de la sensibilisation à la cybersécurité dans tous les services.

2) Gestion & notification des incidents

Ce qui est demandé :
Les organisations doivent classer, documenter et signaler les incidents majeurs liés aux TIC - y compris, en option, les cybermenaces pertinentes.

Les obligations de notification comprennent :

• Informer la direction générale et les autorités compétentes en cas d'incident grave.
• Rapports via des formulaires de notification standardisés, avec des seuils et des délais définis par les autorités de surveillance européennes (ESA).
• Tenue de pistes d'audit et de protocoles de communication
• Information immédiate des clients concernés si leurs intérêts financiers sont affectés.

3) Test de la résilience numérique

Ce qui est exigé :
Des tests réguliers de prévention, de détection, de réaction et de récupération en cas de perturbation des TIC.

Les procédures de test comprennent :

• des évaluations annuelles des vulnérabilités
• Tests d'intrusion en conditions réelles (TLPT) tous les trois ans pour les institutions d'importance systémique.
• Red-teaming, tests de résistance et simulations
• Validation et documentation indépendantes des résultats des tests.

4) Contrôle des risques de tierce partie

Ce qui est exigé :
Les établissements financiers doivent recenser tous les prestataires de services TIC, évaluer les concentrations de risques et ancrer des mécanismes de contrôle contractuels.

DORA demande :

• Des exigences minimales pour les contrats d'externalisation (par ex. localisation des données, contrôles d'accès).
• Surveillance continue des fonctions externalisées
• Planification d'urgence et stratégies de sortie
• Répartition claire des rôles - l'établissement financier conserve la responsabilité.

5) Partage des informations sur les cybermenaces

Ce qui est exigé :
Bien que la participation aux initiatives d'échange d'informations soit volontaire, elle est fortement recommandée.

Mesures recommandées :

• Participer à des ISAC (centres de partage et d'analyse de l'information) au niveau national ou sectoriel.
• Conclure des accords formels de partage des menaces
• Signaler aux autorités de surveillance la participation à des systèmes d'échange.
• Utilisation des connaissances pour optimiser les processus internes de gestion des risques et de réaction.

Une longueur d'avance avec Wire

Wire aide les entreprises réglementées à se conformer aux exigences DORA en matière de communication, grâce à des outils de collaboration interne sécurisés, résilients et conformes qui permettent à vos équipes de rester connectées, même en situation de crise.

• Communication de repli cryptée pour les réponses aux incidents
• Soutien lors de simulations de crise

Prêt à rendre votre communication conforme à DORA ?