Qui est concerné
Les banques, établissements de paiement et de monnaie électronique, entreprises d'investissement, assureurs, prestataires de services sur crypto-actifs et autres entités financières listées à l'article 2. Les prestataires tiers critiques de TIC passent sous la surveillance directe de l'UE. Les autres prestataires de TIC le ressentent à travers les contrats de leurs clients.
Les cinq piliers
- Gestion du risque lié aux TIC (articles 5 à 16) : un cadre documenté, dont l'organe de direction est responsable.
- Gestion et notification des incidents liés aux TIC (articles 17 à 23) : classer les incidents et notifier les incidents majeurs à l'autorité.
- Tests de résilience opérationnelle numérique (articles 24 à 27) : un programme de tests et, pour les entités désignées, des tests de pénétration fondés sur la menace.
- Risque lié aux prestataires tiers de TIC (articles 28 à 44) : exigences contractuelles, registre d'informations et stratégies de sortie.
- Partage d'informations (article 45) : échange volontaire de renseignements sur les menaces.
Par où commencer
- Confirmer que vous êtes concerné et si un régime simplifié s'applique.
- Cartographier vos fonctions critiques et les TIC qui les soutiennent.
- Constituer le registre d'informations sur vos contrats de TIC.
- Comparer votre processus d'incident aux critères de classification et aux délais des normes techniques.
- Revoir les contrats au regard de l'article 30.
Questions
- DORA est-il une directive ou un règlement ?
- Un règlement : il s'applique directement dans tous les États membres, contrairement à NIS2, qui est transposée en droit national.
- DORA remplace-t-il NIS2 pour les entités financières ?
- DORA est l'acte spécifique au secteur financier sur ces sujets : ses règles priment donc pour les entités qu'il couvre.