Hors collection - Écosystème numérique : défis juridiques et sociétaux - 70

70
ÉCOSYSTÈME NUMÉRIQUE : DÉFIS JURIDIQUES ET SOCIÉTAUX
C. Réglementation européenne
L'Union européenne a adopté en novembre 2022 le règlement Digital Operational Resilience Act
(DORA) relatif à la résilience opérationnelle informatique du secteur financier3
qui devra être applicable
sous 24 mois, soit en décembre 2024 ou en janvier 2025. Ce texte renforce la sécurité informatique
des banques, compagnies d'assurances, entreprises d'investissement, prestataires de services de
crypto-actifs. Il fixe des exigences standards pour la sécurité des réseaux et des systèmes d'information
des entreprises et des organisations actives dans le secteur financier ainsi que des tiers critiques qui leur
fournissent des services liés au numérique. Ce règlement entrera en vigueur sous 24 mois, soit
décembre 2024 ou janvier 2025. Ce règlement de la Commission européenne s'inscrit dans la continuité
des récentes publications de l'autorité bancaire européenne (EBA)4
et de l'EIOPA, et vise à
créer un cadre réglementaire harmonisé dédié à la gestion des risques informatiques.
Le règlement DORA prévoit que les membres de la direction de toute entreprise devront avoir suivi
une formation spécifique pour comprendre et évaluer les risques informatiques ainsi que leurs impacts
sur les opérations.
Ce règlement est d'une grande actualité à l'heure où les cyberattaques se multiplient en visant aussi
bien les entreprises que les organisations y compris financières.
Cinq piliers dans le règlement
Gestion des risques liés aux TIC
* Gouvernance : organe de gestion responsable
* Cadre de gestion des risques et activités associées (identification,
protection et prévention, détection, réaction et rétablissement, apprentissage
et évolution, communication de crise)
Rapports d'incidents TIC
Test de résilience opérationnelle
numérique
Gestion des risques liés aux TIC par
des tiers
* Classification standardisée des incidents
* Déclaration obligatoire et normalisée des incidents majeurs
* Rapports anonymes à l'échelle de l'UE
* Programme complet d'essais, avec un accent sur les essais techniques
* Tests en direct à grande échelle sur les menaces, effectués par des testeurs
indépendants tous les 3 ans
* Stratégie, politique et registre d'information standardisé
* Lignes directrices pour l'évaluation précontractuelle, le contenu du contrat,
la résiliation, la sortie sous contrainte
* Mise en place d'un cadre de surveillance des fournisseurs critiques dans
toute l'UE, avec des exigences et des sanctions claires
Partage d'informations et de
renseignements
* Lignes directrices sur les modalités de partage des informations relatives
aux menaces et vulnérabilités informatiques
Source : www.riskinsight-wavestone.com/2021/
3. V. https://www.consilium.europa.eu/fr
4. V. www.eba.europa.eu

http://www.riskinsight-wavestone.com/2021/ https://www.consilium.europa.eu/fr http://www.eba.europa.eu

Hors collection - Écosystème numérique : défis juridiques et sociétaux

Table des matières de la publication Hors collection - Écosystème numérique : défis juridiques et sociétaux