DORA : le premier cadre de cybersécurité horizontal de l'UE pour le secteur financier

Avant DORA, les exigences en matière de risque TIC pour les entités financières étaient dispersées dans au moins neuf actes juridiques de l'UE différents : la CRD IV, MiFID II, Solvency II, OPCVM, AIFM, DSP2, EMIR, CSDR, le règlement sur les agences de notation de crédit et le règlement sur les indices de référence. Chaque acte traitait différemment le risque opérationnel et le risque TIC, créant une fragmentation réglementaire pour les groupes transfrontaliers et une protection inégale dans les sous-secteurs.

DORA remplace toutes ces dispositions par un seul règlement directement applicable. En tant que règlement (et non une directive), il prend effet dans chaque État membre sans transposition nationale, créant un véritable acte législatif unique pour la résilience opérationnelle numérique (considérants 9-14).

DORA est lex specialis par rapport à NIS 2 (Directive (UE) 2022/2555) : lorsque DORA s'applique aux entités financières, ses exigences plus spécifiques en matière de risque TIC et de notification d'incidents prévalent sur NIS 2, tandis que les entités financières restent partie intégrante de l'écosystème NIS 2 pour la coopération et l'apprentissage intersectoriels (considérant 16).

La directive complémentaire (UE) 2022/2556 modifie huit directives du secteur financier (OPCVM, Solvency II, AIFM, CRD IV, BRRD, MiFID II, DSP2, IORP II) pour aligner leurs dispositions relatives au risque opérationnel avec DORA et insérer une renvoi croisé vers elle. DORA elle-même modifie cinq règlements (Règlement CRA 1060/2009, EMIR 648/2012, MiFIR 600/2014, CSDR 909/2014, BMR 2016/1011) en restreignant ou en remplaçant leurs dispositions liées aux TIC.

L'organe de gestion porte la responsabilité ultime du risque TIC. Il doit définir, approuver et superviser le cadre de gestion du risque TIC, fixer la tolérance au risque, approuver la politique de continuité opérationnelle TIC ainsi que les plans de réponse et de rétablissement, affecter le budget TIC, approuver la politique relative aux tiers TIC, et maintenir ses connaissances à jour sur le risque TIC (Art. 5(4)).

Les entités financières autres que les microentreprises doivent établir un rôle dédié pour surveiller les arrangements relatifs aux tiers TIC, ou désigner un membre de la direction responsable de cette exposition (Art. 5(3)).

Doit être sain, complet et bien documenté. Examiné au moins une fois par an, plus après chaque incident majeur lié aux TIC ou constatation de surveillance. Soumis à un audit interne (Art. 6(6)). Doit inclure une stratégie de résilience opérationnelle numérique (Art. 6(8)) couvrant la tolérance au risque, les objectifs de sécurité, l'architecture de référence TIC, les mécanismes de détection, l'état actuel de la résilience, le plan de test et la stratégie de communication.

Les microentreprises et les petites entités ou entités non interconnectées suivent un cadre simplifié (Art. 16) - les articles 5-15 ne s'appliquent pas ; à la place, un ensemble plus léger de huit obligations.

Art. 8 (identification) : Cartographier toutes les fonctions métier supportées par les TIC, classifier les informations et les actifs TIC, identifier toutes les dépendances relatives aux tiers TIC, effectuer une évaluation du risque à chaque changement majeur, effectuer une évaluation annuelle du risque TIC sur les systèmes hérités.

Art. 9 (protection) : Politique de sécurité de l'information, gestion des réseaux et de l'infrastructure, contrôle d'accès, authentification forte, cryptographie, gestion des changements TIC et gestion des mises à jour. Les réseaux doivent être conçus pour être immédiatement dissociables ou segmentables pour éviter la contagion.

Art. 10 (détection) : Mécanismes de détection des activités anormales, contrôles multicouches, seuils d'alerte, escalade automatique.

Art. 11 (réponse et rétablissement) : Politique de continuité opérationnelle TIC, plans de réponse et de rétablissement, analyse d'impact opérationnel (BIA), capacités TIC redondantes, test au moins une fois par an incluant des scénarios d'attaque cybernétique et les changements du système principal vers le système redondant pour les entités autres que les microentreprises, fonction de gestion de crise.

Art. 12 (sauvegarde) : Systèmes de sauvegarde séparé physiquement et logiquement des systèmes TIC source. Les dépositaires centraux doivent maintenir au moins un site de traitement secondaire à une distance géographique du site principal, avec capacité de continuité complète (Art. 12(5)).

Art. 13 (apprentissage) : Revues post-incident, retours d'expérience dans le cadre, programmes de sensibilisation à la sécurité TIC et formation à la résilience opérationnelle numérique obligatoires comme modules du personnel (Art. 13(6)) couvrant tous les employés et la direction générale.

Art. 14 (communication) : Plans de communication de crise pour la divulgation responsable des incidents majeurs ou des vulnérabilités. Au moins une personne responsable de la fonction de communication publique et médias.

Six critères déterminent si un incident constitue un incident majeur lié aux TIC (obligeant à signaler) ou une menace cyber importante :

• Nombre ou pertinence des clients ou contreparties financières affectés ; transactions affectées ; impact réputationnel
• Durée et indisponibilité du service
• Étendue géographique, notamment si elle affecte plus de deux États membres
• Pertes de données (affectant la disponibilité, l'authenticité, l'intégrité ou la confidentialité)
• Criticité des services affectés, y compris pour les fonctions essentielles ou importantes
• Impact économique : direct et indirect, absolu et relatif

Signalement obligatoire des incidents majeurs à l'autorité compétente (une seule autorité nationale est désignée si l'entité a plusieurs superviseurs). Trois étapes :

• Notification initiale – dès que les seuils de matérialité sont atteints
• Rapport(s) intermédiaire(s) – chaque fois que la situation évolue significativement
• Rapport final – après analyse des causes profondes, avec chiffres d'impact réels

Les menaces cyber importantes peuvent être signalées volontairement. Les impacts transfrontaliers remontent via l'ABE, l'ESMA ou l'EIOPA aux États membres pertinents. Les institutions de crédit importantes relevant du mécanisme de surveillance unique signalent à l'autorité nationale, qui transmet immédiatement à la BCE. Les seuils de matérialité, les délais et les modèles sont fixés par RTS et ITS (article 20), soumis à la Commission avant le 17 juillet 2024.

Article 21 : Les ASF devaient évaluer avant le 17 janvier 2025 la faisabilité d'un Hub UE unique pour le signalement des incidents majeurs liés aux TIC – pour rationaliser le signalement auprès des multiples autorités compétentes actuellement impliquées.

Article 23 : Les institutions de crédit, les prestataires de services de paiement, les fournisseurs de services d'information sur les comptes et les prestataires de monnaie électronique signalent maintenant les incidents de paiement opérationnels et liés à la sécurité en vertu de la DORA qui étaient auparavant signalés en vertu de l'article 96 de la DSP2 – qu'ils soient ou non liés aux TIC. La DORA consolide et remplace cette obligation de signalement en vertu de la DSP2.

Un programme de test exhaustif élément intégral du cadre de gestion des risques liés aux TIC. Fondé sur l'évaluation du risque et réalisé par des parties indépendantes (interne ou externe). Large gamme d'outils : évaluations des vulnérabilités et analyses, analyses open-source, évaluations de la sécurité réseau, analyses d'écarts, examens de la sécurité physique, questionnaires, logiciels de balayage, examens du code source le cas échéant, tests basés sur des scénarios, tests de compatibilité, tests de performance, tests de bout en bout, et tests de pénétration. Au moins annuellement des tests de tous les systèmes et applications TIC soutenant des fonctions essentielles ou importantes.

Les dépositaires centraux de titres et les contreparties centrales doivent procéder à des évaluations des vulnérabilités avant tout déploiement ou redéploiement de nouvelles applications ou composants d'infrastructure existants.

Les tests avancés fondés sur la menace imitent les tactiques, techniques et procédures des acteurs de menace réels, fournissant un test contrôlé, sur mesure et fondé sur le renseignement (équipe rouge) des systèmes de production critiques en direct de l'entité financière.

• Effectués au moins tous les 3 ans (la fréquence peut être ajustée par l'autorité compétente)
• Requis uniquement pour les entités financières identifiées par l'autorité compétente en fonction de : l'impact sur le secteur financier, les préoccupations possibles relatives à la stabilité financière y compris le caractère systémique, le profil de risque lié aux TIC et la maturité en TIC
• Doit couvrir plusieurs ou toutes les fonctions essentielles ou importantes
• TLPT groupé autorisé (article 26(4)) lorsque la participation d'un tiers prestataire de services TIC pourrait affecter négativement d'autres clients
• Les testeurs internes sont autorisés avec approbation supervisée préalable, absence de conflit d'intérêt, rotation périodique (les testeurs externes sont requis tous les trois tests – article 26(8))
• Institutions de crédit importantes relevant du mécanisme de surveillance unique : testeurs externes uniquement
• Attestation fournie par l'autorité pour la reconnaissance mutuelle dans l'UE ; l'entité financière conserve l'entière responsabilité
• Aligné sur le cadre TIBER-UE (BCE)

Les testeurs TLPT doivent démontrer : l'aptitude et la réputation les plus élevées, l'expertise en matière de renseignement sur les menaces, de tests de pénétration et de tests d'équipe rouge, la certification par un organisme d'accréditation d'un État membre ou l'adhésion à des codes de conduite formels, l'assurance auditée sur la gestion du risque, et l'assurance responsabilité civile professionnelle couvrant la négligence dans les activités de test.

L'entité financière conserve à tout moment l'entière responsabilité de la conformité avec la DORA – l'externalisation ne transfère pas les obligations. Les artefacts obligatoires comprennent :

• Stratégie de gestion du risque lié aux prestataires tiers de services TIC, examinée régulièrement par l'organe de gouvernance
• Registre d'informations de tous les arrangements contractuels concernant l'utilisation de services TIC, distinguant ceux soutenant des fonctions essentielles ou importantes de ceux qui ne le font pas ; rapporté annuellement à l'autorité compétente (article 28(3))
• Diligence raisonnable précontractuelle : évaluation de la criticité, conditions supervisoires, analyse du risque de concentration en TIC, diligence raisonnable sur le futur prestataire tiers, contrôle des conflits d'intérêt (article 28(4))
• Déclencheurs de résiliation (article 28(7)) : violation importante par le prestataire tiers, changements importants affectant le rendement, faiblesses évidentes en matière de gestion du risque lié aux TIC, incapacité de l'autorité compétente à superviser efficacement l'entité financière
• Stratégies de sortie pour les services TIC soutenant des fonctions essentielles ou importantes (article 28(8)) – exhaustives, documentées, suffisamment testées

Analyse précontractuelle : le contrat créerait-il une dépendance vis-à-vis d'un prestataire tiers qui n'est pas facilement remplaçable, ou créerait-il plusieurs contrats de fonction essentielle avec le même prestataire tiers ou des prestataires tiers étroitement liés ? Une analyse de la sous-traitance est requise, en particulier lorsque le sous-traitant se trouve dans un pays tiers – en tenant compte du droit de l'insolvabilité de ce pays, de l'application de la protection des données, et de la longueur et de la complexité des chaînes de sous-traitance.

Tout contrat pour les services TIC doit inclure au minimum : description complète des fonctions et services ; emplacements du traitement et du stockage des données ; dispositions relatives à la disponibilité, à l'authenticité, à l'intégrité et à la confidentialité ; accès aux données, récupération et restitution en cas d'insolvabilité ou de résiliation ; descriptions du niveau de service ; assistance du prestataire tiers lors d'incidents TIC ; coopération complète avec les autorités compétentes et de résolution ; droits de résiliation avec préavis minimum ; conditions de participation du prestataire tiers aux programmes de formation de l'entité financière.

Pour les services TIC soutenant des fonctions essentielles ou importantes, en outre : cibles de rendement SLA quantitatives et qualitatives précises ; délais de préavis sur les développements affectant matériellement la fourniture de services ; plans de continuité opérationnelle ; participation TLPT ; droits d'accès, d'inspection et d'audit illimités par l'entité financière, l'autorité compétente et le superviseur principal ; délais de transition adéquats dans les stratégies de sortie. Les microentreprises peuvent déléguer les droits d'audit à un tiers indépendant nommé par le prestataire tiers (article 30(3)).

Les trois ASF, par l'intermédiaire de leur comité mixte, sur recommandation du forum de surveillance (article 32), désignent un prestataire tiers de services TIC comme critique sur la base de quatre critères :

• Impact systémique sur la stabilité, la continuité ou la qualité des services financiers en cas de défaillance du prestataire
• Caractère systémique des entités financières qui en dépendent (établissements d'importance systémique mondiale, établissements d'importance systémique othérisée et leurs interdépendances)
• Dépendance des entités financières vis-à-vis de ses services pour les fonctions essentielles ou importantes
• Degré de remplaçabilité – alternatives limitées, part de marché, complexité technique, coût de migration et risque

La liste des PTCC est publiée annuellement. Les prestataires tiers de services TIC non automatiquement désignés peuvent adhérer par demande (article 31(11)). Les PTCC de pays tiers doivent établir une filiale dans l'UE dans les 12 mois suivant la désignation (article 31(12)) et peuvent continuer à fournir des services de l'extérieur de l'Union, mais la présence supervisoire dans l'UE est obligatoire.

Exclus (article 31(8)) : entités financières fournissant des services TIC à d'autres entités financières, prestataires déjà sous surveillance de la SECB (TARGET, T2S etc.), prestataires intragroupe, et prestataires actifs uniquement dans un État membre servant des entités actives uniquement dans cet État membre.

• Comité mixte (ASF) – coordination intersectorielle, positions conjointes sur les PTCC
• Forum de surveillance – sous-comité ; prépare les positions conjointes ; comprend les présidents des trois ASF, un représentant de haut niveau de l'autorité de surveillance nationale par État membre, et la BCE, le CERS, l'ENISA et la Commission en tant qu'observateurs
• Réseau commun de supervision (RCS, article 34) – coordonne les trois superviseurs principaux pour l'alignement opérationnel

Pour chaque PTCC, le superviseur principal est l'ASF (ABE, ESMA ou EIOPA) responsable du sous-secteur de l'entité financière dont les entités détiennent ensemble la plus grande part des actifs totaux parmi les entités financières utilisant ce PTCC. Le superviseur principal est le point de contact principal pour le PTCC et effectue l'évaluation de la gouvernance, de la gestion du risque lié aux TIC, de la continuité opérationnelle, de la sécurité physique, de la gestion des incidents, de la portabilité des données, des tests, des audits et des normes.

Le superviseur principal adopte un plan de surveillance individuel annuel par PTCC (article 33(4)) ; le PTCC peut soumettre une déclaration motivée dans les 15 jours calendaires avant l'adoption.

• Demandes d'information et de documentation (article 37) : tous les dossiers, politiques et accords pertinents
• Investigations générales (article 38) : examen des dossiers, prise de copies, convocation de représentants, audition de personnes, demande de données de trafic
• Inspections sur site et hors site (article 39) : accès aux locaux professionnels, scellement des locaux, des livres et des dossiers lors de l'inspection
• Recommandations : sur les normes de sécurité TIC, les conditions de service prévenant les points de défaillance uniques ou l'amplification systémique, la sous-traitance prévue y compris dans les pays tiers, et (plus puissant) exiger du PTCC de s'abstenir d'un arrangement de sous-traitance supplémentaire lorsqu'il concerne une fonction essentielle ou importante et pose un risque clair et grave pour la stabilité financière de l'Union
• Astreintes pécuniaires périodiques : jusqu'à 1 % du chiffre d'affaires mondial quotidien moyen, quotidien, pendant une durée maximale de 6 mois (article 35(8))

Le superviseur principal peut exercer ces pouvoirs en dehors de l'Union (article 36) si le PTCC y consent et que l'autorité du pays tiers pertinent n'y objecte pas, sous réserve d'arrangements de coopération administrative.

Dans les 60 jours calendaires, le PTCC notifie soit la conformité à la recommandation, soit fournit une explication motivée pour ne pas s'y conformer. Si l'explication est insuffisante, le superviseur principal divulgue publiquement le non-respect.

Les autorités compétentes – en tant que mesure de dernier recours, après notification et consultation (volontaire) avec les autorités NIS2 – peuvent prendre une décision (article 42(6)) exigeant que les entités financières suspendent temporairement, en partie ou entièrement, l'utilisation d'un service fourni par le PTCC, ou résilient les arrangements contractuels pertinents, jusqu'à ce que les risques identifiés soient traités.

Article 43 : Les dépenses du superviseur principal sont entièrement financées par des frais des PTCC, proportionnés au chiffre d'affaires. Le montant et le mécanisme de paiement sont fixés par acte délégué (délai : 17 juillet 2024).

Article 44 : L'ABE, l'ESMA et l'EIOPA peuvent conclure des arrangements administratifs avec les autorités de contrôle et de surveillance des pays tiers pour partager les meilleures pratiques en matière d'examen du risque lié aux prestataires tiers de services TIC. Un rapport confidentiel au Parlement européen, au Conseil et à la Commission est produit tous les cinq ans.

Les entités financières peuvent volontairement échanger des informations et des renseignements sur les menaces cyber au sein de communautés de confiance. Les renseignements partageables comprennent : les indicateurs de compromission, les tactiques, techniques et procédures, les alertes, les outils de configuration, et les informations sur les acteurs cyber ou les campagnes.

De tels arrangements doivent être régis par des codes de conduite qui respectent la confidentialité des affaires, les règles de protection des données personnelles du RGPD, et le droit de la concurrence de l'UE (article 101 TFUE). La participation doit être notifiée à l'autorité compétente. La Commission et l'ENISA agissent en tant qu'observateurs à ces communautés le cas échéant.

Texte complet du Règlement (UE) 2022/2554 du 14 décembre 2022 (64 articles, 106 considérants, 9 chapitres, 65 définitions) :

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554

Numéro CELEX : 32022R2554 | Référence JO : JO L 333/1 du 27 décembre 2022 (79 pages)

Directive (UE) 2022/2556 modifiant 8 directives financières pour s'aligner sur la DORA (OPCVM, Solvabilité II, AIFM, CRD IV, BRRD, MiFID II, DSP2, IORP II) :

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2556

La DORA et la Directive DORA ont été publiées ensemble dans le JO L 333. Le même numéro contient également la Directive NIS 2 :

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=OJ:L:2022:333:TOC

Directive (UE) 2022/2555 sur les mesures en faveur d'un niveau commun élevé de cybersécurité dans l'Union. La DORA est lex specialis vs NIS 2 pour les entités financières (considérant 16) :

https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022L2555

Le cadre Threat Intelligence-Based Ethical Red Teaming de la BCE, adopté par la DORA comme méthodologie de référence pour TLPT (article 26) :

https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html

L'agence de l'Union européenne pour la cybersécurité (ENISA) agit en tant qu'observatrice du forum de surveillance et publie des renseignements sur les menaces pertinents pour la transposition de la DORA :

https://www.enisa.europa.eu

Stratégie de finance numérique de la Commission (le paquet politique dans lequel la DORA a été proposée) :

https://finance.ec.europa.eu/digital-finance_en

Le EU Canon est la bibliothèque croissante de Brubru de guides en langage simple sur la législation phare de l'UE. Chaque entrée analyse les dispositions opérationnelles, le contexte juridique et la signification pratique d'une loi fondamentale de l'UE, avec tous les faits tracés au texte source officiel d'EUR-Lex.

Parcourir toutes les entrées du EU Canon, couvrant actuellement le RGPD, la DSA, la DMA, NIS2, la DORA, la loi sur l'IA, MiCA, la CBAM, la CRR, et un ensemble croissant d'instruments pharma, défense commerciale et financiers.