Digital Operational Resilience Act

Digital Operational Resilience Act (DORA) est une règlementation européenne^[1] ayant comme but d'accroitre la résilience des organisations face aux cyberattaques. Elle est applicable à partir de janvier 2025.

Avant l'adoption de DORA, la gestion des risques liés aux technologies de l'information et de la communication (TIC) dans le secteur financier de l'Union européenne était caractérisée par une certaine fragmentation^[2]. Les exigences étaient dispersées dans diverses législations sectorielles (banque, assurance, marchés) et variaient d'un État membre à l'autre, créant des complexités pour les acteurs transfrontaliers et des niveaux de protection inégaux^[3]. Parallèlement, la transformation numérique rapide du secteur financier augmentait sa dépendance vis-à-vis des systèmes informatiques et des prestataires technologiques externes, notamment pour le cloud computing^[4], tout en l'exposant à des cybermenaces croissantes et de plus en plus sophistiquées^[5]. Ce constat a conduit les institutions européennes à reconnaître la nécessité d'un cadre réglementaire dédié et harmonisé pour renforcer la cyber-résilience de l'ensemble du secteur^[6].

L'initiative DORA a été formellement lancée dans le cadre du Paquet Finance Numérique (en anglais : Digital Finance Package), présenté par la Commission européenne le 24 septembre 2020^[7]. Ce paquet comprenait plusieurs propositions législatives visant à moderniser le cadre réglementaire financier de l'UE face aux défis et opportunités du numérique, dont la proposition de règlement DORA (document COM/2020/595)^[8].

La proposition a ensuite suivi la Procédure législative ordinaire (codécision)^[9], impliquant des négociations approfondies entre les deux co-législateurs : le Parlement européen et le Conseil de l'Union européenne. Un accord politique provisoire entre les négociateurs des deux institutions a été annoncé le 11 mai 2022^[10].

Cet accord a été formellement approuvé par le Parlement européen lors de sa session plénière du 10 novembre 2022^[11], puis par le Conseil de l'Union européenne le 28 novembre 2022^[12].

Le règlement (UE) 2022/2554 a été officiellement signé par les présidents du Parlement européen et du Conseil le 14 décembre 2022. Il a été publié au Journal officiel de l'Union européenne le 27 décembre 2022^[13] et est entré en vigueur le 16 janvier 2023^[13].

Pour laisser le temps aux entités financières, aux prestataires TIC et aux autorités de surveillance de se préparer, le règlement prévoit une période de mise en conformité de 24 mois. Ses dispositions deviendront donc pleinement applicables dans tous les États membres à partir du 17 janvier 2025^[13].

Le renforcement de la résilience opérationnelle numérique du secteur financier européen s'appuie sur un ensemble coordonné d'actes juridiques de l'Union européenne.

Le cœur du dispositif est le règlement (UE) 2022/2554, connu sous l'acronyme DORA^[13]. Ce règlement constitue l'acte législatif principal qui établit les règles de fond harmonisées pour la gestion des risques liés aux TIC, la notification des incidents, les tests de résilience, la gestion des risques liés aux tiers prestataires de services TIC et le partage d'informations.

En tant que règlement, DORA possède des caractéristiques déterminantes :

• Application directe : Il s'applique uniformément dans tous les États membres dès sa date d'application (17 janvier 2025), sans nécessiter de loi de transposition nationale^[14].
• Caractère obligatoire : Ses dispositions sont contraignantes dans leur intégralité pour toutes les entités relevant de son champ d'application.
• Harmonisation maximale : L'objectif est de créer un standard unique pour la résilience numérique dans le secteur financier de l'UE^[3].

Adoptée et publiée en parallèle du Règlement DORA, la directive (UE) 2022/2556 du Parlement européen et du Conseil du 14 décembre 2022^[15] a pour objectif de modifier les directives existantes telles que les directives CRD IV, DSP2, BRRD, Solvabilité 2, IORP2, MiFID 2, AIFM, etc. afin de les mettre en cohérence avec les nouvelles dispositions du règlement DORA.

Cette directive d'amendement doit être transposée en droit national par les États membres pour que les modifications apportées aux directives sectorielles soient effectives dans chaque pays^[16].

Pour assurer une application concrète, détaillée et uniforme des obligations fixées par le règlement DORA, celui-ci mandate les Autorités européennes de surveillance (ABE, AEAPP et AEMF) pour élaborer des normes techniques^[17]. Ces normes sont des actes juridiques contraignants qui spécifient les détails techniques requis par le règlement :

• Normes techniques de réglementation : Complètent le règlement DORA sur des aspects essentiels. Par exemple, elles détaillent le contenu du cadre de gestion des risques TIC^[18], les critères de classification des incidents^[19] ou les exigences contractuelles pour les tiers^[20].
• Normes techniques d'exécution : Assurent des conditions uniformes d'application, souvent via des modèles ou formats standardisés. Par exemple, elles définissent les modèles pour le registre d'informations sur les contrats TIC^[21] ou les formats de notification d'incidents^[22].

Ces normes techniques tirent leur base légale du règlement DORA et sont indispensables à sa mise en œuvre opérationnelle.

DORA s'applique à un large éventail d'entités financières réglementées au sein de l'UE^[23]. Cela inclut notamment :

• Les établissements de crédit (banques)
• Les établissements de paiement
• Les établissements de monnaie électronique
• Les entreprises d'investissement (sauf si exemptées à l’article 2 ou 3 de MiFID)^[24]
• Les prestataires de services sur crypto-actifs (relevant du règlement MiCA)
• Les dépositaires centraux de titres (CSD)
• Les contreparties centrales (CCP)
• Les plates-formes de négociation (marchés réglementés, MTF, OTF)
• Les référentiels centraux
• Les gestionnaires de fonds d'investissement alternatifs (AIFM)
• Les sociétés de gestion (UCITS)
• Les prestataires de services de communication de données (DRSP)
• Les entreprises d'assurance et de réassurance (sauf les organismes écartés du périmètre de Solvabilité II en raison de leur taille)^[25]
• Les intermédiaires d'assurance, de réassurance et auxiliaires (sauf si micro-entreprises ou PME)^[25]
• Les institutions de retraite professionnelle (IORP)
• Les agences de notation de crédit
• Les administrateurs d'indices de référence critiques
• Les prestataires de services de financement participatif (Crowdfunding)
• Les référentiels des titrisations

Le règlement s'applique également aux prestataires tiers de services TIC qui fournissent des services aux entités financières susmentionnées^[23]. Un régime de surveillance spécifique est prévu pour les prestataires tiers de services TIC jugés critiques pour le secteur financier européen^[26]. Certaines entités peuvent bénéficier d'exemptions ou d'un régime allégé en fonction de leur taille, de leur nature et de leur profil de risque (principe de proportionnalité)^[27].

Le règlement DORA (Digital Operational Resilience Act) introduit la notion centrale de résilience opérationnelle numérique, qui dépasse la simple protection des systèmes d'information. Il s'agit d'assurer la capacité continue des entités financières à prévenir, résister et se remettre d'incidents graves liés aux technologies de l'information et de la communication (TIC), tout en garantissant la continuité de leurs activités essentielles. Cette approche globale intègre à la fois la sécurité informatique, la gestion de crise, la continuité d’activité et la capacité de rétablissement^[24],[25].

Une deuxième notion essentielle de DORA est la définition et la gestion des fonctions critiques ou importantes. Selon l'article 3.22, une fonction est considérée comme critique si sa perturbation est susceptible d'affecter de manière significative la performance financière d'une entité, sa stabilité, ou la continuité de ses services. La réglementation impose aux entités financières de définir elles-mêmes les critères permettant d'identifier ces fonctions, en veillant à ce que cette évaluation soit appropriée et proportionnée à leurs activités spécifiques^[24],[25].

De plus, DORA repose sur le principe de proportionnalité (article 4), qui exige que les obligations imposées par le règlement soient adaptées à la taille, à la nature, à la complexité et au profil de risque de chaque entité financière. Cela permet d'assurer une application équilibrée du cadre réglementaire, évitant ainsi des charges excessives pour les structures plus petites ou moins exposées aux risques opérationnels numériques^[24],[25].

Par ailleurs, le réglement DORA s'articule autour de cinq piliers principaux imposant des exigences spécifiques aux entités financières^[28]:

Les entités financières doivent disposer d'un cadre de gestion des risques liés aux TIC complet, bien documenté et approuvé par leur organe de direction^[29]. Ce cadre doit inclure des stratégies, politiques, procédures et outils pour protéger tous les actifs informationnels et technologiques pertinents^[30]. Il couvre l'identification des risques, la protection et la prévention, la détection des incidents, la réponse et la reprise, ainsi que l'apprentissage et l'évolution post-incident^[29]. Des politiques de continuité des activités et des plans de reprise après sinistre liés aux TIC sont également requis^[31].

DORA harmonise et rationalise la notification des incidents liés aux TIC^[32]. Les entités financières doivent mettre en place des processus pour identifier, gérer, classer et notifier les incidents majeurs liés aux TIC à leur autorité compétente^[33]. Des critères clairs pour la classification des incidents (notamment "majeurs") et des délais stricts pour la notification initiale (dans les 4 h après classification de l’incident comme majeur et sous 24 h après sa détection)^[24],[25], intermédiaire et finale sont définis^[19]. Les Autorités européennes de surveillance (ABE, AEAPP et AEMF) développent des normes techniques pour préciser ces éléments^[22].

Les entités financières doivent tester régulièrement leurs systèmes et leur résilience opérationnelle numérique^[34]. Cela inclut des tests de vulnérabilité, des tests de performance et d'autres analyses appropriées. Les entités financières identifiées comme significatives devront en outre effectuer, au moins tous les trois ans, des tests de pénétration avancés basés sur les menaces (en anglais : Threat-Led Penetration Testing - TLPT)^[35]. Les exigences pour ces tests (méthodologie, périmètre, qualifications des testeurs) sont précisées par le règlement et les normes techniques^[36].

Reconnaissant la dépendance croissante du secteur financier vis-à-vis des prestataires de services technologiques (Cloud computing, etc.), DORA impose des règles strictes pour la gestion des risques liés à ces tiers^[37]. Les entités financières doivent avoir une stratégie de gestion des risques liés aux tiers, effectuer des due diligences avant de contractualiser, et s'assurer que les contrats avec les prestataires TIC (surtout pour les fonctions critiques ou importantes) contiennent des clauses spécifiques^[21]. Ces clauses doivent couvrir des aspects comme les droits d'audit et d'accès, la sécurité, la notification d'incidents, et les stratégies de sortie^[20].

DORA encourage les entités financières à mettre en place des mécanismes pour partager entre elles, sur une base volontaire, des informations et des renseignements sur les cybermenaces (indicateurs de compromission, tactiques, techniques et procédures des attaquants)^[38]. Ce partage vise à renforcer la sensibilisation collective et les capacités de défense préventive. Le partage doit se faire au sein de communautés de confiance et respecter la protection des données et la confidentialité commerciale^[38].

Les autorités européennes de surveillance (AES) développent des normes techniques spécifiques pour détailler les exigences de DORA. Ces normes, qui acquièrent force obligatoire après publication au Journal officiel de l'Union européenne (JOUE), sont principalement connues sous leurs acronymes anglais :

• Les RTS (Regulatory Technical Standards en anglais), correspondant aux normes techniques de réglementation (NTR).
• Les ITS (Implementing Technical Standards en anglais), correspondant aux normes techniques d'exécution (NTE).

DORA interagit avec plusieurs autres textes législatifs européens :

• Directive NIS 2 (SRI 2) : DORA est considéré comme une Lex specialis par rapport à la directive NIS 2 sur la sécurité des réseaux et des systèmes d'information^[50]. Cela signifie que les exigences de DORA prévalent pour les entités financières qui seraient autrement également couvertes par NIS 2. Cependant, une coordination est prévue entre les autorités compétentes.
• RGPD : DORA s'applique sans préjudice du RGPD. La gestion des incidents TIC et le partage d'informations doivent respecter les règles de protection des données personnelles^[51].
• Réglementations sectorielles : DORA complète les exigences existantes en matière de gestion des risques opérationnels dans les réglementations sectorielles (comme CRD IV/CRR, Solvabilité II, MiFID II/MiFIR), en se concentrant spécifiquement et de manière détaillée sur la résilience opérationnelle numérique^[52].

DORA devrait avoir des impacts significatifs :

• Pour les entités financières : Elles devront revoir et renforcer leur gouvernance, leurs processus et leurs outils de gestion des risques TIC, investir dans la sécurité et la résilience, adapter leurs contrats avec les prestataires TIC, et mettre en place des programmes de tests robustes. Cela représente un effort de mise en conformité potentiellement coûteux mais vise à améliorer leur capacité à résister aux cyberattaques et aux pannes^[53]. Une des conséquences de ce règlement est de rendre les dirigeants responsables de toute négligence informatique^[54].
• Pour les prestataires de services TIC : Ceux désignés comme critiques seront soumis à une surveillance directe de l'UE, avec des obligations spécifiques et des pouvoirs d'inspection et de sanction^[26]. Tous les prestataires TIC travaillant avec le secteur financier devront probablement adapter leurs offres et leurs contrats pour répondre aux exigences de DORA^[53].
• Pour l'écosystème financier européen : DORA vise à renforcer la stabilité financière globale en réduisant le risque de contagion lié aux incidents cyber^[55]. L'harmonisation des règles devrait également faciliter les opérations transfrontalières et créer des conditions de concurrence plus équitables^[3].

En cas de non-conformité au règlement DORA, plusieurs conséquences peuvent être envisagées pour les entreprises concernées^[13],[56]

• Celles-ci peuvent faire l'objet d'amendes administratives. En outre, les autorités de supervision disposent du pouvoir d'adresser des avertissements publics aux institutions financières et de les contraindre à mettre en œuvre des plans de remédiation destinés à corriger les faiblesses ou défaillances affectant leur résilience opérationnelle.
• Les entreprises ne respectant pas les exigences réglementaires peuvent également être tenues d'indemniser de manière appropriée leurs clients directs ainsi que des tiers ayant subi un préjudice lié au manquement constaté. Les entreprises du secteur financier doivent s'attendre à d'éventuelles actions en justice, notamment lors de fuites de données^[57]
• Dans les cas les plus graves de non-conformité répétée aux exigences de DORA, les autorités de surveillance peuvent imposer des exigences supplémentaires en matière de fonds propres (capital add-ons) et, le cas échéant, retirer l'agrément des entités financières concernées.

Concernant les prestataires critiques de services TIC, l'autorité compétente peut effectuer des contrôles sur pièces ou sur place. En cas de non-conformité aux obligations prévues par le règlement, elle est habilitée à imposer des sanctions, notamment des pénalités financières et des astreintes journalières pouvant atteindre jusqu'à 1 % du chiffre d'affaires mondial journalier du prestataire concerné, et ce pour une durée maximale cumulée de six mois (Article 35.8)^[13],[58].

• « Texte intégral du Règlement (UE) 2022/2554 (DORA) », sur EUR-Lex, Union européenne
• (en) « Page DORA sur le site de la Commission européenne », sur finance.ec.europa.eu, Commission européenne

• Portail de l’Europe
• Portail de la sécurité de l’information