Impact du Digital Operational Resilience Act (DORA) sur les institutions financières

C'est quoi DORA?

En 2023, le règlement DORA (Digital Operational Resilience Act) est entré en vigueur, redéfinissant le paysage réglementaire de la cybersécurité pour les institutions financières à travers l’Union européenne. DORA combine les législations nationales et européennes existantes en matière de gestion des risques informatiques avec de nouvelles exigences, dans le but d’établir un cadre clair pour renforcer la résilience face aux cybermenaces, dans le secteur financier et au-delà.

Parallèlement, DORA contribue à standardiser et harmoniser les exigences globales de gestion informatique au sein des institutions financières (IF). La conformité totale au règlement DORA sera exigée à partir de janvier 2025.

Au-delà de ses cinq piliers fondamentaux (présentés ci-dessous), la directive vise également à renforcer la résilience cyber et la continuité opérationnelle en mettant l’accent sur la sécurité de la chaîne d’approvisionnement entre les institutions financières et leurs partenaires externes, y compris les orchestrateurs de conformité comme Harmoney.

Le cadre réglementaire DORA s’inscrit dans la continuité de la directive européenne NIS2, qui a pour objectif d’améliorer la cybersécurité dans divers secteurs. En tant que secteur stratégique de l’économie européenne, la finance est en première ligne dans la mise en œuvre des outils de gestion des risques informatiques et de résilience cyber. Lorsque des directives spécifiques à DORA sont plus détaillées pour les institutions financières, elles prévalent sur les lignes directrices plus générales de NIS2. Quoi qu’il en soit, des exigences strictes en matière de cybersécurité et de transparence pour les IF et l’ensemble de leur écosystème entreront bientôt pleinement en application.

Les cinq piliers clés du DORA dans le secteur financier

1. Gestion et signalement des incidents informatiques
   Les institutions financières doivent informer rapidement les autorités compétentes en cas de violations informatiques, d’incidents ou de cybermenaces. Bien qu’une législation existe déjà en partie sur ce sujet, le règlement DORA introduit des méthodes standardisées pour évaluer la gravité des incidents et transmettre les informations requises aux Autorités européennes de surveillance (ESA) ainsi qu’aux superviseurs nationaux. En janvier 2024, un premier ensemble de règles essentielles a été publié concernant la gestion et la classification des incidents, définissant les critères clés pour identifier les incidents majeurs et les cybermenaces significatives.
2. Tests de résilience opérationnelle numérique
   Les entités financières doivent établir un programme complet de tests de résilience opérationnelle numérique dans le cadre de leur gestion des risques TIC, adapté à la taille et à la complexité de l'organisation. ​
3. Gestion des risques informatiques
   Le DORA exige la mise en place d'un système structuré pour la gestion et la détection des risques informatiques, incluant la nomination d'un responsable dédié à la gestion des risques TIC et la réalisation d'audits internes réguliers.
4. Gestion des risques liés aux tiers
   Les entités financières doivent maintenir un registre à jour de leurs prestataires de services TIC tiers et des contrats associés, effectuer une due diligence avant d'établir des relations professionnelles, et inclure des clauses d'accès aux données et de sécurité dans les contrats avec les fournisseurs. ​
5. Partage d'informations et de renseignements
   Le DORA encourage les entités financières à échanger des informations et des renseignements sur les cybermenaces au sein de communautés de confiance, selon des accords préétablis garantissant la protection des informations sensibles et la confidentialité.

Conformité au DORA en pratique : notre approche chez Harmoney

Chez Harmoney, nous facilitons la gestion du cycle de vie de la conformité pour les institutions financières. Notre plateforme modulaire de conformité est conçue pour répondre aux exigences du DORA, en intégrant des processus robustes de gestion des incidents informatiques, des tests de résilience, une gestion proactive des risques, une supervision rigoureuse des tiers et un partage sécurisé des informations. Ainsi, nous aidons nos partenaires financiers à renforcer leur résilience opérationnelle numérique et à se conformer efficacement aux nouvelles réglementations.

1. Gestion et signalement des incidents informatiques
Dans le cadre du règlement DORA, les normes de gestion et de signalement des incidents informatiques sont strictement encadrées. En tant que prestataire critique d’externalisation de processus, la plateforme de conformité Harmoney intègre une gestion complète des incidents. Cela inclut une surveillance continue, des mesures de contingence, une gestion structurée des incidents ainsi qu’un reporting automatisé et manuel. Résultat : tous les processus que les institutions financières choisissent de digitaliser via Harmoney sont pleinement conformes au DORA.

2. Tests de résilience opérationnelle numérique
La plateforme Harmoney est équipée d’outils de sécurisation de la résilience à la fois au niveau de l’infrastructure et des applications. La surveillance des risques et le reporting via le service desk garantissent une gestion quotidienne conforme. Les politiques internes sont revues chaque trimestre, et une évaluation annuelle des risques permet une analyse précise des menaces. Des audits externes réguliers ajoutent un niveau de sécurité supplémentaire. Par ailleurs, des scénarios validés de plans de continuité d’activité (BCP) et de reprise après sinistre (DRP) sont en place.

3. Gestion des risques informatiques
Le cadre de gestion des risques IT mis en place par Harmoney soulage les institutions financières en assurant la gestion des risques associés aux fonctions et processus critiques hébergés sur notre plateforme. En tant que tiers pour les institutions financières utilisatrices, Harmoney intervient directement dans leurs processus de gouvernance liés aux risques. Tous les risques de conformité associés sont intégralement pris en charge, garantissant ainsi une conformité totale au DORA.

4. Gestion des risques liés aux tiers
Nous avons développé la plateforme Harmoney sur une technologie logicielle robuste et sécurisée, opérant sous notre propre Système de Management de la Sécurité de l’Information (SMSI). Ce système inclut un cadre de gestion des risques conforme aux dernières normes ISO/IEC 27001:2022, mises à jour pour répondre aux enjeux actuels du cloud et des nouvelles menaces. Cette norme met un accent particulier sur la sécurité de l'information dans les relations avec les fournisseurs et partenaires.

5. Partage d’informations et d’intelligence
Harmoney joue un rôle central au sein d’une communauté de confiance réunissant institutions financières et régulateurs. En matière de conformité et de cybersécurité, la collaboration et le partage des bonnes pratiques sont essentiels pour faire face aux menaces croisées comme le blanchiment d’argent, le financement du terrorisme ou les cyberattaques.

Harmoney, c’est une plateforme digitale de nouvelle génération, conçue pour fluidifier les processus complexes d’onboarding et de conformité, avec des fonctions de screening automatisées intégrées.
Envie d’en savoir plus sur notre solution ? Contactez-nous !