La réglementation sur la résilience opérationnelle numérique (Digital Operational Resilience Act – DORA) définit la norme de protection numérique pour les institutions financières opérant dans l’Union européenne (UE), ce qui implique des fournisseurs de services tiers essentiels et des autorités étrangères. Cette réglementation impose des règles strictes afin d’anticiper les cybermenaces modernes ciblant le secteur financier. La check-liste de conformité à la réglementation DORA simplifie le processus de mise en conformité.
Cet article présente la check-list complète de la conformité à la réglementation DORA, les éléments clés et les mesures concrètes à prendre.
Check-list de conformité DORA
Avant de commencer, il est important d’examiner la législation complète de DORA avec votre équipe juridique pour vérifier si elle s’applique à votre entreprise. Voici comment les institutions financières de l’UE et les fournisseurs de services essentiels peuvent garantir une conformité totale avec les exigences DORA en matière de cybersécurité.
1. Procédez à une analyse des lacunes en matière de conformité
- Réalisez un examen initial : réalisez un examen complet des besoins de DORA et déterminer la taille du projet et le budget pour l’adoption.
- Identifiez ce qui manque : comparez votre infrastructure numérique actuelle avec les exigences de la DORA.
- Classez-les par ordre d’importance : priorisez de manière stratégique les plus grosses « lacunes » de votre infrastructure.
- Créer un plan de projet : établissez les sous-projets potentiels et les objectifs à atteindre.
- Imposez-vous des deadlines : Créez des plans d’action à court terme pour « combler les lacunes » afin de vous rapprocher le plus possible des normes DORA.
2. Gestion des risques des technologies de l’information et de la communication (TIC)
- Repérez les risques : identifier les points faibles de votre infrastructure de technologies de l’information et de la communication et documentez le processus.
- Préparez-vous à toute éventualité : planifiez la manière dont vous aborderez certains incidents, attribuez les responsabilités et préparez des procédures de continuité des activités au cas où votre système ferait l’objet d’une attaque.
- Surveillez les systèmes critiques : gardez un œil sur les parties les plus importantes de votre infrastructure TIC 24h/24, 7j/7, afin de détecter et de traiter les menaces le plus tôt possible.
Évaluez les vulnérabilités de votre système, les risques potentiels et préparez un plan d’action dynamique. La gestion des risques de catastrophes est au cœur même de la réglementation DORA, et ses principes de base s’articulent autour de la gestion de ces risques.
3. Rapport sur les incidents liés aux TIC
- Identifiez, escaladez et signalez : suivez les protocoles spécifiques à la réglementation DORA lors de la conception des flux de travail pour les rapports d’incidents et les priorités de traitement.
- Fixez une deadline : tous les rapports doivent être documentés, envoyés et rapidement transmis à une autorité compétente désignée par l’État dans l’UE.
- Informez correctement les autorités locales : Les institutions doivent signaler les activités illégales (par exemple, l’évasion fiscale, le blanchiment d’argent) aux autorités compétentes.
Les banques et les compagnies d’assurance sont légalement tenues de communiquer les incidents lorsqu’ils se produisent dans l’UE et au-delà. Des entreprises TIC tierces sont ainsi presque toujours impliquées pour accélérer le processus et, étant donné qu’elles sont étroitement liées à l’infrastructure clé, la DORA doit également tenir compte de ces entreprises.
4. Gestion des risques liés aux tiers
- Évaluez les fournisseurs pour détecter les risques potentiels : les institutions financières doivent surveiller les contrats de sous-traitance de TIC de qualité inférieure qui peuvent les mettre en danger.
- Sécurisez les contrats : les accords juridiquement contraignants constituent une incitation considérable à respecter les attentes en matière de sécurité et de conformité.
- Gardez un œil sur les fournisseurs tiers : suivez et contrôlez l’accès de chaque fournisseur à vos systèmes TIC.
- Organisez une formation de sensibilisation à la réglementation DORA : invitez les fournisseurs de TIC tiers à des séminaires sur la conformité DORA pour que tout le monde soit sur la même longueur d’onde.
Il est essentiel d’avoir de bons antécédents lors du choix d’un partenaire commercial, et il en va de même pour les fournisseurs tiers des sociétés d’investissement de l’UE. Des programmes de formation, afin de s’assurer que tout le monde est sur la même longueur d’onde, peuvent vous aider à en avoir le cœur net.
5. Partage d’informations et collaboration
- Surveillez les nouvelles menaces : Participez à des forums de veille sur les cybermenaces et tirez des enseignements de l’expérience d’autres secteurs d’activité afin de préparer votre entreprise à lutter contre les nouveaux logiciels malveillants.
- Communiquez sur des canaux sécurisés : créez des méthodes internes de communication et de reporting.
- Respectez la norme européenne : Les organismes de réglementation de l’UE disposent tous de normes de cybersécurité auxquelles les établissements de paiement doivent se conformer. Il s’agit notamment de l’Agence de l’Union européenne pour la cybersécurité (ENISA), qui apporte le soutien d’experts pour renforcer la cybersécurité et la résilience de l’UE, et du Conseil interinstitutionnel de la cybersécurité (IICB), qui supervise l’implémentation des mesures de cybersécurité.
DORA soutient le partage des connaissances sur les cybermenaces émergentes dans tous les domaines afin d’améliorer la résilience numérique de l’UE dans le secteur financier.
6. Tests de résilience opérationnelle numérique
- Testez vos limites de manière annuelle : définissez des objectifs de point de récupération (RPO) et de temps de récupération (RTO) pour repousser chaque année les limites de la résilience de votre infrastructure, conformément aux exigences de la réglementation DORA.
- Faites des simulations de sécurité : Les tests d’intrusion de type threat-led (TLPT) simule des cyberattaques réelles pour tester vos défenses.
- Tirez les leçons de vos découvertes : analysez vos conclusions et utilisez-les pour affiner en permanence vos mesures défensives et couvrir vos points faibles.
Tester vos défenses à l’aide de simulations d’attaques réelles est le meilleur moyen de mesurer la cybersécurité de votre entreprise. La gestion des risques liés aux technologies de l’information et de la communication (TIC) de la réglementation DORA exige des sociétés financières de l’UE qu’elles vérifient régulièrement que leur infrastructure ne présente pas de points faibles et qu’elles conçoivent de nouveaux moyens de protéger les données de leurs clients.
DORA : éléments clés
Vous êtes-vous déjà demandé comment les grandes banques assuraient leur sécurité ? Les bases de données distribuées en ligne et les bases de données électroniques centralisées sont utilisées comme des coffres-forts modernes, et les institutions financières suivent des réglementations telles que DORA pour maintenir une sécurité hermétique, protégeant ainsi les comptes de leurs clients.
Les cinq piliers DORA :
- Gestion des risques liés aux TIC
- Rapport d’incident liés aux TIC
- Test de résilience opérationnelle numérique
- Gestion des risques liés aux tiers
- Partage d’informations
Les principaux piliers DORA créent un cadre solide pour assurer la sécurité des institutions financières. Il s’agit en quelque sorte d’un manuel d’instructions pour la sécurité numérique qui permet aux entreprises importantes, telles que les banques et les compagnies d’assurance, d’être sécurisées.
L’automatisation de certains aspects des stratégies et de la gestion des terminaux facilite le processus et rapproche votre entreprise d’une gestion des risques conformes à la réglementation DORA.
Pourquoi les institutions financières doivent-elles se conformer à la réglementation DORA ?
Le non-respect de la réglementation DORA a des conséquences majeures pour les institutions financières opérant dans l’UE. Cette réglementation permet à chaque État membre d’appliquer ses propres sanctions, qui peuvent être les suivantes :
- Amendes conséquentes
- Inspections et mesures correctives
- Annonces légales
- Cessation d’activité
- Processus de remédiation coûteux
- Sanctions pénales en vertu de la législation d’un État membre
Dans le cas des entités financières, l’alignement sur la réglementation DORA est essentiel pour la poursuite des activités dans l’UE, d’autant plus que le cadre s’appuie sur les réglementations européennes les plus importantes en matière de conformité. Par exemple, elle suit l’exemple de la norme ISO 27001 et l’étend avec des mesures spécifiques telles que la gestion des tiers et les protocoles de réponse aux incidents, tout en complétant la directive Network and Information Security 2 Directive (NIS2) (une directive pour la sécurité des systèmes) par une solide atténuation des cybermenaces. Plus important encore, la réglementation DORA permet de répondre aux demandes de la RGPD sur la confidentialité globale des données tout en gardant un œil sur l’évolution des menaces.
Bonnes pratiques pour maintenir la conformité avec la réglementation DORA
Intransigeance et cohésion. Organisez en permanence des séminaires de formation pour votre personnel ainsi que pour les sous-traitants afin de mettre à jour votre personnel avec les normes juridiques actuelles en matière de cybersécurité.
Les nouvelles technologies peuvent éliminer les tâches fastidieuses en appuyant sur un bouton. Pour travailler mieux et plus vite, familiarisez-vous avec les derniers outils utilisés pour automatiser les protocoles de sécurité, tels que les logiciels RMM tout-en-un et les meilleurs outils d’IA.
Enfin, il convient d’appliquer à tous les niveaux les normes de documentation conformes à la DORA et de procéder à des audits annuels et à des contrôles de conformité. Vous devez rester parmi les meilleurs du secteur, et c’est ainsi que vous le prouverez à la concurrence.
Améliorez vos normes de cybersécurité grâce à la check-list de conformité DORA pour les institutions financières
Pour en cocher toutes les exigences, trouvez et corrigez les points faibles, signalez les incidents en temps utile aux autorités et simulez des attaques réelles sur votre système pour tester les limites de votre cybersécurité. Vous devez également évaluer les fournisseurs tiers. Participer aux échanges mondiaux de renseignements sur les cybermenaces afin de rester vigilant face aux menaces nouvelles et émergentes.
L’adoption de ce cadre permet aux banques et aux compagnies d’assurance d’être proactives en matière de cybersécurité, de réduire les risques de vulnérabilité et de renforcer la confiance avec les parties prenantes. Non seulement elle s’aligne sur les réglementations internationales, mais elle positionne également votre entreprise comme leader en matière de cybersécurité, incitant ainsi davantage de clients à faire des affaires avec vous.
