Exigences en matière de gestion des risques liés aux TIC - une approche plus large pour les fonctions essentielles

Le cadre de gestion des risques liés aux TIC du DORA impose à l'instance dirigeante de l'entreprise d'assumer "l'entière et ultime responsabilité" de la gestion des risques liés aux TIC, de définir et d'approuver sa stratégie de résilience opérationnelle numérique, et d'examiner et d'approuver la politique de l'entreprise en matière d'utilisation des fournisseurs de TIC, entre autres responsabilités. Le DORA donne aux autorités compétentes le pouvoir d'imposer des sanctions administratives et des mesures correctives aux membres de l'instance dirigeante pour toute infraction au règlement.

Les exigences du DORA en matière de gestion des risques liés aux TIC sont largement conformes aux lignes directrices de l'ABE/EBA (Autorité Bancaire Européenne) sur la sécurité et la gestion des risques liés aux TIC (2019) et de l'AEAPP/EIOPA (Autorité européenne des assurances et des pensions professionnelles) sur la Sécurité et la Gouvernance des TIC (2020). Toutefois leur caractère nouvellement contraignant, lié au fait qu'elles figurent désormais dans la législation de premier niveau, va intensifier l'examen prudentiel auquel les entreprises peuvent s'attendre.

Le cadre de gestion des risques liés aux TIC exige des entreprises qu'elles fixent des tolérances de risque pour les perturbations des TIC, guidées par des indicateurs clés de performance et des mesures de risque. Les entreprises doivent également identifier leurs "Fonctions Critiques ou Importantes" et cartographier leurs actifs et dépendances. L'inclusion des fonctions critiques ou importantes dans le texte final du DORA est une évolution significative. Pour satisfaire à ces exigences, la plupart des entreprises devront élargir leurs capacités de résilience opérationnelle, définir plus clairement leur appétence au risque en cas de perturbation des fonctions critiques (et pas seulement en cas de défaillance technologique ou de cyberattaque), et être en mesure de cartographier et de comprendre plus précisément les interconnexions entre leurs actifs, processus et systèmes TIC et la manière dont elles maitrisent la prestation de services.

Un nouvel ajout dans le texte final du DORA est l'obligation pour les entreprises d'effectuer des analyses d'impact sur les entreprises basées sur des scénarios de "perturbation grave des activités" (également présente dans les directives de l'ABE). Cela contribuera probablement à accroître la pression exercée par les autorités de surveillance sur les entreprises pour qu'elles développent des méthodes de test de scénarios plus sophistiquées (à l'instar de ce que l'on observe par exemple au UK en matière de résilience opérationnelle) et pour qu'elles intègrent la redondance et la substituabilité dans les systèmes qui soutiennent leurs fonctions critiques ou importantes.

Classification et déclaration des incidents liés aux TIC - consolidation des exigences existantes mais avec des améliorations significatives

Le cadre de déclarations des incidents du DORA vise à rationaliser un certain nombre d'obligations européennes existantes en matière de notification des incidents qui s'appliquent aux entreprises du secteur financier. Il créera néanmoins une nouvelle structure substantielle de classification, de notification et de déclaration qui obligera les entreprises à améliorer leur capacité à collecter, analyser, transmettre et diffuser les informations concernant les incidents et les menaces liés aux TIC. Selon nous, la plupart des établissements ne possèdent pas actuellement toutes les capacités nécessaires pour évaluer l'impact quantitatif des incidents et analyser leurs causes suivant un niveau de profondeur qui sera requis dans le cadre du DORA.

Le texte final du DORA ajoute les "cybermenaces significatives" à la liste des événements que les entreprises doivent classer. Cependant, conformément aux modifications parallèles apportées à la directive sur la sécurité des réseaux d'information (NIS2), leur déclaration sera facultative. Toutefois, dans le cas où un client ou une contrepartie est exposé à une cybermenace importante, le texte européen exige que les entreprises du secteur financier en informent les autorités et leur fournissent des détails sur les mesures de protection appropriées prises pour se défendre. Les entités sont également tenues de recenser toutes les cybermenaces importantes, ce qui nécessitera une capacité de gestion des incidents plus élevée pour surveiller, traiter et résoudre les cyberattaques.

En ce qui concerne la déclaration des incidents liés aux TIC, le texte final supprime tous les délais de déclaration initialement prévus par la proposition et laisse aux AES le soin de les préciser dans des normes techniques (18 mois après l'entrée en vigueur). Pour les entreprises, cela signifie qu'il faudra attendre un certain temps avant d'avoir une vision plus claire de la faisabilité opérationnelle du nouveau cadre.

Enfin, les AES devraient également préparer un rapport conjoint évaluant la faisabilité d'une centralisation accrue de la déclaration des incidents par la mise en place d'un centre européen unique pour la notification par les établissements des incidents majeurs liés aux TIC. La rationalisation de la déclaration des incidents liés aux TIC devrait réduire la charge que représente la conformité à de multiples exigences de déclaration des incidents dans le secteur financier, tout en favorisant une meilleure compréhension collective des cybermenaces sur une base transfrontalière.

Test de résilience opérationnelle numérique - introduction de nouvelles exigences ambitieuses

Le texte européen établit une exigence de test de résilience opérationnelle numérique pour toutes les établissements (à l'exception des plus petits), qui devront :

• montrer qu'ils effectuent au moins une fois par an un ensemble approprié de tests de sécurité et de résilience sur leurs "systèmes et applications TIC critiques" (une définition potentiellement plus granulaire que les fonctions critiques ou importantes) ;
• "remédier pleinement" à toutes les vulnérabilités identifiées par les tests. Avec l'exigence d'analyse de l'impact sur les affaires, cela pourrait devenir un domaine important d'examen prudentiel et pousser les entreprises à développer des capacités de test et d'analyse de scénarios plus larges et plus précises ; et,
• les entreprises dépassant un certain seuil d'importance systémique et de maturité (à préciser par une Norme Technique Réglementaire (NTS), devront effectuer des tests de pénétration avancés basés sur les menaces (TLPT : Threat-Led Penetration Testing) tous les trois ans.

Les négociateurs ont choisi de préciser que la méthodologie des tests TLPT devait être développée en conformité avec le cadre TIBER-UE existant de la BCE, de sorte que les entreprises qui effectuent actuellement des tests TIBER ou qui s'apprêtent à le faire ont l’assurance que ce travail sera pris en compte dans les exigences de tests avancés du DORA.

Le DORA exige également que les entreprises du secteur du service financier incluent tous les fournisseurs soutenant les fonctions critiques ou importantes dans les exercices de test avancés. Cela est aujourd’hui rarement le cas dans les exercices TLPT dans le secteur du service financier, et c'est quelque chose qui nécessitera probablement une planification importante et une mise en correspondance de la liste des fournisseurs avec le recensement des fonctions critiques ou importantes. Si un fournisseur ne peut pas participer pour des raisons de sécurité, le DORA permet au fournisseur de mener son propre TLPT comme une forme de "test commun" pour les entreprises du secteur financier auxquelles il fournit des services. Il s'agit de développer une relation de confiance, mais qui nécessitera une action collective de la part de l'industrie des services financiers pour être effective.

Gestion des risques tiers - renforcer le cadre européen des services financiers

Les exigences de gestion des risques tiers du DORA sont largement alignées sur les directives existantes des AES, mais les consignes de l'AEMF/ESMA (Autorité Européenne des Marchés Financiers) et de l'AEAPP/EIOPA (Autorité européenne des assurances et des pensions professionnelles) ne couvrent que l'externalisation vers les fournisseurs de service Cloud. Le DORA étendra donc ces exigences à l'externalisation des TIC hors fournisseurs de service Cloud pour les entreprises qui n'appliquent pas les directives de l'ABE.

Les exigences du DORA en matière de gestion des risques tiers, comme les textes des AES, contiennent un certain nombre de clauses contractuelles que les entreprises doivent inclure dans les contrats d'externalisation des TIC avant la date limite de mise en œuvre au 17 janvier 2025. L'inscription de ces clauses dans un règlement contraignant, comme le fait le DORA, augmentera la pression sur les entreprises du secteur des services financiers pour qu'elles négocient ces clauses avec leurs fournisseurs, alors qu'elles n'y sont pas parvenues auparavant. Certaines clauses, telles que celles prévoyant un "accès illimité aux installations" des sous-traitants dans les contrats engageant les fonctions critiques ou importantes, peuvent être plus difficiles à mettre en œuvre que d'autres.

Le DORA a été modifié lors des négociations pour faire du développement d'une "stratégie holistique multifournisseurs" une partie facultative de la stratégie de gestion des risques liés aux TIC, mais les superviseurs auront encore plusieurs leviers à utiliser pour influencer les entreprises dans ce domaine. Les entreprises doivent procéder à des évaluations du risque de concentration pour tous les contrats d'externalisation qui soutiennent la fourniture de fonctions critiques ou importantes. Il s'agira d'une tâche difficile en soi, mais aussi d'une tâche qui pourrait rendre certaines décisions relatives au modèle opérationnel difficiles à justifier auprès des superviseurs sans l'adoption d'une approche multifournisseurs de service Cloud par exemple ou sans disposer d'un cadre de résilience crédible pour démontrer pourquoi cela n'est pas nécessaire.

Cadre de surveillance des fournisseurs critiques de TIC - le premier régime de surveillance des tiers fournissant des services au secteur financier au monde

Les nouveaux pouvoirs de surveillance des AES prévus par la proposition du DORA initiale sont largement maintenus par l'accord final. Cela signifie que les fournisseurs de TIC désignés comme "critiques" seront soumis à des pouvoirs de surveillance étendus qui permettront aux AES de les évaluer, de leur demander de modifier leurs pratiques de sécurité et de les sanctionner s'ils ne le font pas. Cela poussera les fournisseurs critiques de TIC à démontrer qu'ils peuvent améliorer la résilience de leurs propres opérations qui soutiennent les entreprises du secteur financier, et en particulier lorsque les fonctions critiques ou importantes des entreprises du secteur financier sont impliquées.

Plusieurs nouvelles garanties ont été ajoutées dans le texte final du DORA concernant la capacité des autorités à ordonner aux entreprises du secteur financier de suspendre ou de résilier leurs contrats avec les fournisseurs critiques de TIC. Les entreprises devraient ainsi avoir la certitude que ces pouvoirs ne seront utilisés que dans des circonstances exceptionnelles et en tenant compte de l'impact qu'ils auraient sur le secteur.

La version finale du DORA étend également de manière significative le rôle du Forum de Surveillance Conjointe (Joint Oversight Forum - JOF), un groupe composé des AES, des autorités compétentes, des superviseurs et d'experts indépendants. Le JOF jouera désormais un rôle plus important dans l'élaboration de meilleures pratiques pour la surveillance des fournisseurs critiques de TIC et pourrait, à terme, établir une norme plus claire pour leur niveau de résilience attendu.