DORA : l’écosystème financier est-il conforme ?

Le règlement européen 2022/2554 du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (DORA), qui entrera en application le 17 janvier 2025, impose à tous les établissements financiers de l’Union européenne des exigences uniformes concernant la gestion des risques liées aux technologies de l’information et de la communication (TIC), aux réseaux et systèmes d’information. La directive associée modifie en fonction les directives existantes pour les mettre en cohérence avec le règlement. Sont donc notamment concernés les banques, les établissements de paiement, les prestataires de services de financement participatif ou encore les prestataires de services sur crypto-actifs agréés en vertu de MiCA. 

Les exigences concernent “la gestion du risque informatique, le reporting des incidents, les tests de résilience et la gestion du risque de tiers porté par les prestataires de services informatiques”, résume l’Autorité de contrôle prudentiel et de résolution (ACPR). Concrètement, les entités devront s’assurer qu’elles peuvent résister à toute perturbation opérationnelle grave liée aux TIC et préparer des plans de réponse et de rétablissement. Florent Gilain, responsable sécurité des systèmes d’information (RSSI ou CISO) d’iBanFirst, établissement de paiement régulé par la Banque Nationale de Belgique, estime que “le texte va faire monter d’un cran le secteur en termes de cybersécurité, et c’est d’ailleurs une très bonne nouvelle qu’une réglementation impose des exigences. Cela permet de renforcer le message des RSSI et de débloquer les budgets et décisions pour lancer ce qu’ils préconisaient souvent déjà”.

Les institutions financières ne sont pas prêtes

À quelques semaines de l’entrée en application, peu d’établissements financiers semblent être en conformité. “Lorsque l’on échange avec nos homologues, il ressort que personne n’est totalement prêt”, assure Florent Gilain.

Il faut dire que certaines exigences de la directive impliquent par ailleurs des projets titanesques, même pour les banques traditionnelles, qui peuvent pourtant s’appuyer sur des équipes et des cadres existants. “C’est la première fois qu’une réglementation volontariste vise à faire avancer l’Europe sur ces problématiques de risques liés aux TIC, et c’est une vraie transformation qui est demandée à toutes les structures, qu’il s’agisse des banques, des assureurs ou des fintech”, indique ainsi Olivier Nautet, RSSI groupe de BNP Paribas.