Cybersécurité financière en Allemagne

La cybersécurité financière protège les systèmes qui tiennent les comptes, transfèrent les paiements et exécutent les transactions: systèmes bancaires centraux, traitement des cartes, banque en ligne, accès aux marchés et services cloud associés. Une attaque peut bloquer les paiements de millions de clients, imposant aux sociétés financières des obligations absentes de la plupart des autres entreprises. En Allemagne, deux autorités interviennent dans la surveillance de ce domaine. La BaFin supervise la gestion des risques informatiques et cyber des banques, assureurs et autres sociétés financières, et l'Office fédéral de la sécurité des technologies de l'information (BSI) est l'autorité nationale de cybersécurité.

La BaFin cite les cyberincidents graves parmi ses risques prioritaires (en allemand). Elle invoque les tensions géopolitiques, la complexité croissante des systèmes informatiques et l'intelligence artificielle, et compte 525 incidents TIC graves signalés durant les trois premiers trimestres de la première année de DORA, dont environ 70 pour cent dans des établissements de crédit.

Le rapport annuel du BSI sur la sécurité informatique en Allemagne compte en moyenne 119 nouvelles vulnérabilités par jour, soit 24 pour cent de plus qu'un an auparavant. Les attaques par rançongiciel recensées par l'Office fédéral de la police criminelle sont restées proches de 950, et les plus gros dommages venaient de rançongiciels associés à des fuites de données, où les attaquants chiffrent les systèmes et menacent de publier les données volées. Environ 80 pour cent des incidents enregistrés touchaient des PME, dont font partie de nombreux fournisseurs informatiques des banques.

Pour une société financière, un rançongiciel soulève des questions au-delà de l'informatique: payer ou non, qui prévenir et si le portefeuille des attaquants figure sur une liste de sanctions. Examinez les questions liées aux paiements de rançongiciels, dont le signalement et les vérifications des sanctions. L'ingénierie sociale est l'autre voie d'entrée: des attaquants utilisent des voix et vidéos clonées de dirigeants pour provoquer des virements urgents, expliquant l'arrivée des formations aux deepfakes dans les équipes de sécurité bancaire.

La directive NIS2 de l'UE a renforcé les obligations de cybersécurité des entreprises des secteurs critiques et importants, et l'Allemagne l'a transposée en modifiant la loi BSI (BSIG). La banque et les infrastructures des marchés financiers figurent parmi les secteurs de NIS2. Pour les sociétés financières, l'UE a toutefois fait de DORA le texte plus spécifique. Le BSI indique que DORA prime (en allemand) sur la loi BSI pour la gestion des risques de cybersécurité et le signalement des incidents importants, et que la BaFin est l'autorité compétente pour DORA.

En pratique, une banque allemande fonde son programme de sécurité sur DORA et signale les incidents TIC majeurs à la BaFin. La loi BSI la concerne encore autrement, notamment pour ses propres obligations d'enregistrement applicables, et nombre de ses fournisseurs informatiques relèvent pleinement de NIS2. Un opérateur de paiement ou fournisseur cloud peut donc répondre au BSI de sa sécurité et à ses clients bancaires des clauses contractuelles DORA. Les exigences de DORA en Allemagne vont du registre d'informations aux tests de pénétration fondés sur les menaces.

La gestion des identités et des accès arrive en première position. La plupart des attaques réussies commencent par des identifiants volés; les banques déploient donc une authentification multifacteur résistante au phishing pour leurs salariés et clients, et surveillent les comptes privilégiés du cloud. Le deuxième sujet est la chaîne d'approvisionnement: la sécurité bancaire dépend des éditeurs, plateformes cloud et opérateurs de paiement, et une faille chez un fournisseur peut toucher plusieurs banques simultanément.

L'intelligence artificielle est utilisée des deux côtés de ces attaques informatiques. Les attaquants l'utilisent pour le phishing et les deepfakes, les équipes de sécurité pour trier les alertes et détecter les fraudes. Une banque exploitant des systèmes d'IA doit aussi les sécuriser, et la BaFin a publié des orientations sur les risques TIC de l'IA sous DORA, dans le cadre de la conformité de l'IA en Allemagne. Le chantier le plus long est la cryptographie: un futur ordinateur quantique pourrait casser les méthodes à clé publique qui protègent aujourd'hui les communications bancaires, et les équipes commencent à recenser leurs usages. Pour le calendrier, consultez la présentation de l'informatique quantique à Francfort.

Le risque informatique est le terme plus large: toute perte liée à une défaillance technologique, dont une mauvaise mise à jour, une panne de centre de données ou une surcharge. Le risque cyber est la part causée par un attaquant. Sous DORA, les deux relèvent des risques TIC, et la gestion des risques bancaire les couvre dans le même cadre que le risque de crédit et le risque de marché. Un débutant doit d'abord apprendre les critères de classification des incidents et la chaîne de signalement bancaire, car les premières heures déterminent le respect des délais de notification.

Finance Loop est le lieu de rencontre des responsables de sécurité de l'information, des gestionnaires de risques informatiques et des fournisseurs protégeant banques, assureurs et sociétés de paiement. Finance Loop relie les milieux de la finance, de l'informatique et de l'IA à Francfort et organise aussi des événements à Munich, Berlin et Hambourg.

Lors de l'événement parallèle d'AI Week Frankfurt, qui était présenté par Finance Loop avec Frankfurt Main Finance et le partenaire Sopra Financial Technology, l'entreprise revel8 a parlé de sensibilisation aux deepfakes. Finance Loop a mis en avant fAInance, qui est une conférence organisée par Sopra Steria avec Fraunhofer IAIS, consacrant des analyses approfondies à la sécurité de l'IA. Finance Loop a annoncé KI Exchange 2026 à Hambourg, dont le programme abordait la conformité DORA et la détection des fraudes, et coorganisé le Frankfurt Quantum Finance Forum, où le risque quantique pour la cryptographie était discuté.

La cybersécurité bancaire protège les systèmes, données et comptes clients d'une banque contre les attaques. En Allemagne, elle relève de la gestion des risques TIC requise par DORA, sous la supervision de la BaFin, et couvre les accès, les réseaux, la réponse aux incidents, les sauvegardes et la sécurité des fournisseurs informatiques.

La banque est un secteur NIS2, mais DORA prime pour la gestion des risques de cybersécurité et la notification des incidents, comme l'explique le BSI (en allemand). Une banque signale les incidents TIC majeurs à la BaFin selon DORA. D'autres dispositions de la loi BSI peuvent toutefois rester applicables.

Le risque informatique couvre toute perte technologique, d’une mise à jour défectueuse à une panne électrique dans un centre de données. Le risque cyber est la part causée volontairement par des attaquants. Les banques gèrent les deux comme risques TIC sous DORA.

Finance Loop organise des soirées à Francfort, souvent au TechQuartier, réunissant les spécialistes de la sécurité, des risques et de la conformité des banques et fintechs, et soutient des conférences sur la sécurité de l'IA et DORA. Les dates de ces rencontres figurent dans le calendrier de cette page.