Le règlement (UE) 2022/2554, dit règlement DORA (Digital Operational Resilience Act), est applicable depuis le 17 janvier 2025.

Il établit un cadre européen unique de résilience opérationnelle numérique pour le secteur financier : banques, assurances, sociétés de gestion, entreprises d'investissement, établissements de paiement et de monnaie électronique, prestataires de services sur crypto-actifs, infrastructures de marché, soit une vingtaine de catégories d'entités au total.

Une Directive DORA 2022/2556 a également été adoptée par le Parlement européen et doit être transposée en France.

A date, le Projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (portant transposition de la Directive DORA) a été adopté par le Sénat et est passé en Commission à l’Assemblée Nationale. Néanmoins, il n’a toujours pas été mis à l’ordre du jour de l’Assemblée Nationale par le Gouvernement. Le texte n’a donc pas encore été adopté.

Logique du Règlement DORA

La logique du règlement DORA est la suivante : la continuité d'activité d'une entité financière dépend de son système d'information et, de plus en plus, de prestataires informatiques tiers.

DORA fait donc du risque numérique un risque à part entière, placé sous la responsabilité directe de l'organe de direction (article 5 du Règlement).

Les 5 pilliers du Règlement DORA

Les cinq piliers du règlement DORA sont les suivants :

  1. Gouvernance et gestion du risque lié aux TIC : cadre documenté, cartographie des actifs, politique de sécurité, responsabilité de l'organe de direction.
  2. Notification des incidents majeurs à l’autorité : classification, déclaration à l'autorité compétente selon un calendrier contraignant (rapport initial, intermédiaire, final).
  3. Tests de résilience : programme de tests réguliers et, pour les entités les plus significatives, tests de pénétration fondés sur la menace (TLPT).
  4. Gestion du risque lié aux prestataires TIC : registre d'information, clauses contractuelles obligatoires (article 30), stratégies de sortie et de réversibilité.
  5. Partage d'informations sur les cybermenaces entre entités financières.

En somme, le règlement DORA met la responsabilité de la résilience numérique entre les mains de l'organe de direction : un état des lieux des contrats et des procédures constitue un préalable utile. Le cabinet se tient à disposition pour y contribuer.
 

Jessy Pollux
Avocate au barreau de Paris
Déléguée à la protection des données