DORA : la résilience numérique, un enjeu de gouvernance

Le cadre en bref

DORA est le règlement (UE) 2022/2554. Comme tout règlement européen, il s'applique directement, sans transposition nationale, et de façon homogène dans toute l'Union. Au Luxembourg, c'est la Commission de Surveillance du Secteur Financier (CSSF) qui en assure le suivi. Il concerne un large éventail d'entités — banques, entreprises d'investissement, gestionnaires de fonds, assureurs, prestataires de services sur crypto-actifs — ainsi que leurs prestataires informatiques. Un principe de proportionnalité allège les obligations des plus petites structures.

Le règlement s'organise autour de cinq piliers :

• la gestion du risque informatique ;
• la détection et la notification des incidents majeurs ;
• les tests de résilience, jusqu'aux tests d'intrusion avancés pour les entités les plus importantes ;
• la maîtrise du risque lié aux prestataires informatiques ;
• le partage d'informations sur les cybermenaces.

DORA complète la directive NIS2, plus large, en apportant au secteur financier un cadre spécifique et plus exigeant.

Ce que DORA change concrètement

• La responsabilité au sommet. Le cadre de gestion du risque informatique relève de l'organe de direction, qui doit l'approuver, le comprendre et en suivre la mise en œuvre.
• Un registre des prestataires informatiques. Chaque entité tient un registre de ses accords avec ses prestataires de technologies de l'information et de la communication (TIC) et le transmet chaque année à son autorité de surveillance.
• Des contrats renforcés. Les contrats informatiques, surtout pour les fonctions critiques, doivent prévoir des droits d'audit et d'accès, des exigences de sécurité, la notification des incidents et des stratégies de sortie.
• Une surveillance des prestataires critiques. Les prestataires informatiques jugés critiques pour le secteur sont désignés au niveau européen et placés sous la supervision directe des autorités européennes de surveillance (EBA pour la banque, ESMA pour les marchés, EIOPA pour l'assurance).

Points d'attention

• Le risque de concentration — dépendre d'un petit nombre de prestataires, souvent les mêmes grands acteurs du nuage, crée une vulnérabilité collective.
• Les stratégies de sortie — pouvoir changer de prestataire, ou réinternaliser, sans rupture d'activité.
• La qualité du registre et de la documentation — souvent sous-estimée, elle conditionne la capacité à répondre au superviseur.
• La proportionnalité n'est pas une exemption — les plus petites structures ont des obligations allégées, pas nulles.

Les principales étapes du calendrier

• 14 décembre 2022 — adoption du règlement.
• 16 janvier 2023 — entrée en vigueur.
• 2024-2025 — adoption progressive des normes techniques d'application (RTS et ITS).
• 17 janvier 2025 — application pleine et entière.
• 2025 — désignation des prestataires informatiques critiques et mise en place de leur surveillance européenne.
• Chaque année, vers le 30 avril — transmission du registre des accords informatiques à l'autorité compétente.

Comment se préparer ?

• cartographier ses prestataires informatiques et les fonctions qu'ils soutiennent ;
• constituer et tenir à jour le registre des accords, en vue de la transmission annuelle ;
• revoir les clauses contractuelles (audit, sécurité, notification, sortie) des contrats critiques ;
• mettre en place un dispositif de détection et de notification des incidents majeurs ;
• définir et exécuter un plan de tests de résilience adapté au profil de l'entité ;
• s'assurer que l'organe de direction est informé et pilote réellement le dispositif.

Actions à adapter au profil, à la taille et au modèle d'activité de chaque organisation.