Construire une infrastructure financière résiliente
Les menaces numériques figurent en tête de l'agenda de chaque directeur informatique (CIO), en particulier dans le secteur des services financiers, où les conséquences des violations peuvent être catastrophiques. En tant que services financiers s'appuyer de plus en plus sur des outils et des systèmes informatiques, toute perturbation numérique peut avoir de profondes répercussions non seulement sur l’institution elle-même, mais aussi sur l’économie dans son ensemble. Garantir la résilience opérationnelle de ces systèmes est essentiel et devrait être surveillé par les régulateurs de la même manière que les risques financiers traditionnels, tels que l’adéquation des fonds propres.
Le Loi sur la résilience opérationnelle numérique de l'Union européenne (DORA - Règlement UE 2022/2554) vise à améliorer considérablement la sécurité et la résilience du secteur financier, notamment en cas de perturbations graves telles que des cyberattaques, des catastrophes naturelles ou des pannes technologiques. En tant que première législation de ce type au niveau européen, DORA établit un cadre harmonisé et complet pour garantir la résilience opérationnelle numérique des institutions financières européennes.
DORA a été publiée le 27 décembre 2022 et est entrée en vigueur en janvier 2023. Toutefois, sa conformité totale n'est requise que par janvier 2025 — une échéance qui approche à grands pas. Cela signifie que les institutions financières doivent agir maintenant (si ce n’est déjà fait) pour garantir la conformité.
L'impact de ce règlement est important, car il impacte plus de 22 000 institutions financières et fournisseurs de services informatiques dans toute l’Europe, notamment de grandes banques, compagnies d’assurance, prestataires de services de paiement, courtiers, fonds et établissements de crédit.
Toutes ces institutions devront prouver qu’elles sont suffisamment robustes pour gérer les perturbations et les menaces pesant sur leurs opérations numériques. DORA supervise cela en introduisant un cadre avec cinq piliers clés:
Gestion des risques informatiques: Les établissements doivent établir un cadre complet de gestion des risques pour identifier en permanence (par exemple, cartographier les actifs et dépendances informatiques), évaluer et atténuer les risques informatiques. L'accent va au-delà de la protection de l'infrastructure et couvre également la capacité de l'institution à se remettre rapidement de perturbations graves (cfr. Business Continuity Management & Disaster Recovery).
La gestion des incidents: Les établissements sont tenus de mettre en œuvre des procédures appropriées de gestion des incidents. Cela inclut l'enregistrement et la classification de chaque incident informatique, l'évaluation de son impact et la notification de ces incidents aux clients, aux autres institutions financières et aux régulateurs.
Tests de résilience opérationnelle: Des tests d'intrusion réguliers et des évaluations avancées de sécurité et de résilience sont obligatoires pour garantir que les systèmes peuvent résister et se remettre des cyberattaques, dans le but d'éliminer les vulnérabilités, les déficiences ou les lacunes grâce à des mesures d'atténuation.
Gestion des risques liés aux tiers: Avec une dépendance croissante à l'égard de fournisseurs tiers, en particulier les services cloud, DORA applique une surveillance stricte pour garantir que ces services répondent à des normes de résilience élevées. Cela comprend l’établissement de dispositions contractuelles avec ces tiers et la réalisation d’évaluations continues des risques.
Partage d'information: DORA encourage une approche collective du renseignement sur les menaces, en promouvant l'échange d'informations et de renseignements sur les cybermenaces afin de renforcer la résilience à l'échelle du secteur.
De toute évidence, ces cinq piliers ont un impact considérable sur chaque institution financière, avec des impacts non seulement au niveau informatique, mais aussi sur tous les départements de l'institution financière. La mise à niveau des systèmes et des processus pour les aligner sur les exigences de DORA implique des coûts substantiels et peut poser des problèmes des défis importantsen particulier pour les petites institutions.
Cependant, les avantages de résilience opérationnelle améliorée sont également clairs. Les entités qui gèrent efficacement leurs risques numériques peuvent réduire la fréquence et l'impact des interruptions de service, préservant ainsi la confiance des clients et la continuité opérationnelle.
Il sera intéressant d’observer comment DORA améliore la sécurité et la résilience du système financier européen. Même si les principes de DORA sont solides, leur mise en œuvre pratique laisse beaucoup à l'interprétation, ce qui pourrait compliquer l'application des règles par les régulateurs.
