Union européenne

DORA — Digital Operational Resilience Act

Le règlement sur la résilience opérationnelle numérique (Digital Operational Resilience Act), règlement (UE) 2022/2554, s'applique aux entités financières de l'Union européenne depuis le 17 janvier 2025. Il leur impose de gérer le risque lié aux TIC dans un cadre documenté, de classifier et de notifier les incidents majeurs liés aux TIC dans des délais fixes, de tester leur résilience numérique, de maîtriser le risque lié aux prestataires tiers de services TIC et de tenir un registre d'informations sur ces accords, et il place les prestataires tiers critiques de services TIC sous surveillance directe.

DORA demande aux entités financières de démontrer leur résilience, pas de la décrire. DECIMA produit cette démonstration à partir des systèmes déjà en production.

En bref

Émis par

Parlement européen et Conseil, règlement (UE) 2022/2554, avec les normes techniques des autorités européennes de surveillance

S'applique à

Banques, assureurs, entreprises d'investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs et autres entités financières de l'UE, ainsi que leurs prestataires tiers de services TIC

En vigueur

Applicable depuis le 17 janvier 2025

Supervisé par

Les autorités nationales compétentes, les AES assurant la surveillance des prestataires tiers critiques de services TIC

Ce que la réglementation exige

Les obligations telles que le règlement les énonce, dans l'ordre où un programme y répond.

1. 01

   Cadre de gestion du risque lié aux TIC

   Un cadre documenté et approuvé par l'organe de direction, couvrant l'identification, la protection, la détection, la réponse et le rétablissement pour l'ensemble des actifs TIC, revu au moins une fois par an.

2. 02

   Notification des incidents liés aux TIC

   Les incidents majeurs sont classifiés selon des critères communs et notifiés à l'autorité compétente : une notification initiale dans les quatre heures suivant la classification et au plus tard 24 heures après la prise de connaissance, un rapport intermédiaire sous 72 heures et un rapport final sous un mois.

3. 03

   Tests de résilience opérationnelle numérique

   Un programme de tests annuel pour tous les systèmes TIC critiques, et des tests de pénétration fondés sur la menace au moins tous les trois ans pour les entités désignées par l'autorité.

4. 04

   Risque lié aux prestataires tiers de services TIC

   Des contrats avec les prestataires de services TIC contenant les clauses obligatoires, un risque de concentration évalué, des stratégies de sortie en place, et un registre d'informations sur tous les accords avec des prestataires tiers de services TIC, tenu à jour et transmis sur demande.

5. 05

   Partage d'informations

   Des dispositifs d'échange d'informations sur les cybermenaces avec d'autres entités financières, au sein de communautés de confiance.

Comment DECIMA le prouve

Chaque exigence reçoit une réponse issue des systèmes en production, sous forme d'enregistrement daté et re-vérifiable, et non d'un questionnaire rempli pour l'évaluation.

• Les contrôles du cadre lus en continu

  Les contrôles que nomme le cadre de gestion du risque lié aux TIC sont lus selon un calendrier depuis les systèmes qui les exécutent, chaque lecture étant conservée avec son horodatage et la version du cadre : la revue annuelle devient un rapport sur l'année.

• Les délais de notification tenus à partir de l'enregistrement

  Les incidents sont classifiés selon les critères de DORA à partir des preuves que DECIMA détient déjà, et les notifications initiale, intermédiaire et finale sont rédigées à partir de cet enregistrement dans les délais de quatre heures, 72 heures et un mois.

• Le registre d'informations tenu à jour

  Les accords avec les prestataires tiers de services TIC, leurs clauses contractuelles et leur concentration sont conservés sous forme d'enregistrements structurés et exportés dans le format demandé par l'autorité.

• Les tests prouvés au fil de leur exécution

  Les tests de résilience et les tests de pénétration fondés sur la menace sont enregistrés avec leur périmètre, leurs constats et leur remédiation, reliés aux contrôles qu'ils ont exercés.

04

Les questions que posent les acheteurs

Des réponses courtes que vous pouvez citer.