Blog

Le 10 novembre 2022, une nouvelle loi sur la résilience opérationnelle numérique a été adoptée par le Parlement Européen. Depuis, DORA est au cœur des préoccupations des acteurs de la cybersécurité dans le secteur financier. Mais quels sont les éléments essentiels à retenir de ce nouveau règlement ?

Qui sont les entreprises concernées ?

Tous les prestataires financiers des pays membres de l’Union Européenne doivent se conformer aux 64 articles du règlement DORA. Cela concerne évidemment les banques, mais aussi les assurances et les gestionnaires de placement.

Lancement du compte à rebours

Pour la première fois, un même acte législatif regroupe toutes les règles relatives au risque numérique dans le domaine financier. Le Digital Operational Resilience Act (DORA) ou loi sur la résilience opérationnelle numérique en français est un règlement et non une directive, son application dans son intégralité par tous les acteurs concernés sera donc obligatoire très prochainement. Paru dans sa version finale le 27 décembre 2022, le texte de loi sera applicable vingt jours après sa publication au Journal Officiel de l’Union Européenne, à savoir le 17 janvier 2025.

Un système de contrôle renforcé

Tous les prestataires financiers tels que les banques, les assurances et les gestionnaires de placement ont ainsi deux années devant eux pour se conformer à l’ensemble du règlement DORA. Et afin de s’en assurer, la Commission européenne a mis en place un système de contrôle renforcé.

Les autorités européennes de surveillance (AES) telles que l’Autorité bancaire européenne (ABE), l’Autorité européenne des marchés financiers (AEMF) et l’Autorité européenne des assurances et des pensions professionnelles (AEAPP) assureront ce système de contrôle.

Les autorités nationales compétentes respectives assumeront le rôle de surveillance de la conformité et appliqueront le règlement si nécessaire. Au cours de cette période, les AES définiront par ailleurs plus précisément les normes techniques de réglementation nécessaires et énonceront des exigences plus concrètes.

Dès l’entrée en vigueur de la Loi, les AES exigeront que des rapports obligatoires décrits par DORA soient disponibles à leur demande. Les organismes concernés devraient aussi être prêts à effectuer les évaluations demandées. Une non-conformité au règlement pourrait potentiellement entraîner un arrêt des activités de l’entreprise. La certification par les AES devra être obtenue d’ici la fin de l’année 2025.

Anaïs, Consultante en Cybersécurité chez Akerva.