Loi de résilience opérationnelle numérique

Le champ d’application est volontairement large pour couvrir le secteur. Établissements de crédit, paiement et monnaie électronique, entreprises d’investissement, assureurs et réassureurs, intermédiaires d’assurance, institutions de retraite professionnelle, sociétés de gestion, contreparties centrales, plateformes de négociation, dépositaires centraux, agences de notation, administrateurs d’indices critiques et prestataires de services sur crypto-actifs sont des entités financières selon DORA. Une entreprise agréée sous MiCA relève donc aussi de DORA. Cette exigence surprend les entreprises crypto sans budget de programme de résilience opérationnelle. Finance Loop présente cette autorisation dans l’agrément CASP.

Aucune entité concernée n’est exemptée, et certaines bénéficient d’un cadre simplifié. Une microentreprise, moins de dix salariés et chiffre d’affaires ou bilan ne dépassant pas deux millions d’euros, suit un cadre TIC allégé: documentation, surveillance des systèmes, continuité, identification des dépendances tierces et intégration des leçons des tests et incidents. La simplification porte sur la documentation, la gouvernance et les tests. Elle ne concerne pas la déclaration des incidents, identique quelle que soit la taille, asymétrie qui surprend les petites entreprises pensant le régime entièrement allégé.

Premièrement, la gestion des risques TIC: un cadre intégré à la gestion générale des risques, couvrant actifs et dépendances, protection, détection, réponse et reprise, sous la responsabilité de l’organe de direction. Deuxièmement, la gestion et déclaration des incidents TIC: détecter, classer selon les critères réglementaires, gérer et déclarer les incidents majeurs en trois étapes. Troisièmement, les tests de résilience opérationnelle numérique: un programme fondé sur les risques, avec évaluations de vulnérabilité et scénarios, et tests d’intrusion fondés sur la menace au moins tous les trois ans pour les entreprises atteignant le seuil. Quatrièmement, la gestion des risques des tiers TIC: évaluer, documenter, surveiller et contractualiser chaque prestataire et ses sous-traitants, avec risque de concentration et sortie documentés. Cinquièmement, le partage d’informations et renseignements: participer à des dispositifs fiables d’échange sur les cybermenaces, autorisés et encouragés par le règlement sans obligation.

Le pilier des tiers demande le plus de travail, car il touche des contrats signés bien avant le règlement. Le registre d’informations rend ce travail visible: chaque contrat TIC, sa fonction, le prestataire, ses sous-traitants et le caractère critique ou important de la fonction. Les entreprises traitant ce registre comme une déclaration ont découvert l’inventaire qui manquait à leur gestion des tiers.

La séquence comprend trois rapports et quatre échéances, les deux premières courant en parallèle. La notification initiale parvient à l’autorité compétente dans les quatre heures suivant la classification majeure, au plus tard vingt-quatre heures après la détection. Le rapport intermédiaire suit dans les soixante-douze heures après cette notification initiale. Le rapport final est dû au plus tard un mois après l’intermédiaire.

La conséquence pratique porte sur la classification, plutôt que la déclaration. Un délai déclenché par la classification favorise une décision rapide et pénalise un processus bloqué, car les vingt-quatre heures depuis la détection courent indépendamment. Une entreprise prenant un jour pour décider du caractère majeur a épuisé son délai. Les entreprises efficaces prédéfinissent les seuils de classification, désignent les responsables hors horaires ouvrés et préremplissent le modèle de notification, sauf les faits propres à l’incident.

Les clients doivent aussi être informés si leurs intérêts financiers sont touchés. Cette obligation distincte du rapport prudentiel est celle qu’on oublie dans les premières heures.

DORA innove dans la réglementation financière européenne: il dépasse les entreprises réglementées pour atteindre leurs prestataires. Un prestataire désigné critique pour les services TIC par les autorités européennes de surveillance relève d’un cadre direct européen, avec un superviseur principal choisi parmi ces autorités. Celui-ci peut demander des informations, enquêter, inspecter et formuler des recommandations auxquelles le prestataire doit répondre.

La désignation dépend de la part du système financier européen utilisant le prestataire, d’où la candidature évidente des grandes plateformes cloud. Pour une banque, l’effet est indirect mais réel: le prestataire désigné est examiné pour elle, mais elle conserve sa dépendance. La surveillance ne transfère pas le risque porté par la banque. Une banque dont une fonction centrale dépend d’un prestataire désigné garde la même obligation de sortie et la même difficulté à la préparer. Finance Loop présente cette décision dans le cloud souverain bancaire et le cloud dans la banque.

Le test d’intrusion fondé sur la menace sous DORA vise l’environnement de production réel, avec des renseignements sur les acteurs susceptibles d’attaquer l’entreprise, par des testeurs répondant aux exigences d’indépendance et de compétence. Il ne s’agit pas d’un scan annuel de vulnérabilités, et il atteint les systèmes soutenant les fonctions critiques ou importantes. Les entreprises identifiées par leur autorité l’effectuent au moins tous les trois ans.

Les cadres nationaux se placent sous ce dispositif réglementaire européen. TIBER-EU est le cadre européen ayant fondé les versions nationales, et une entreprise de Francfort utilise TIBER-DE, présenté dans DORA en Allemagne. Pour un groupe présent dans plusieurs États, l’acceptation d’un test par plusieurs autorités dépend des entités et fonctions concernées, convenues avec les autorités avant le test. Des tests mutualisés entre entités sont permis lorsqu’elles partagent le prestataire testé.

DORA laisse les sanctions aux États membres, limite de l’uniformité réglementaire. Les autorités nationales disposent d’amendes administratives, d’injonctions de cessation ou correction, de déclarations publiques nommant entreprise et infraction, et de mesures contre les membres de l’organe de direction. Plusieurs États ajoutent une responsabilité pénale selon leur propre droit.

Pour un prestataire critique désigné, le règlement fixe son chiffre: une astreinte pouvant atteindre un pour cent du chiffre d’affaires mondial journalier moyen, appliquée chaque jour jusqu’au respect d’une demande du superviseur. Ce chiffre retient l’attention des plateformes cloud et traduit clairement l’objectif du cadre de surveillance.

Un prestataire de services sur crypto-actifs agréé sous MiCA est une entité financière sous DORA, avec l’ensemble du cadre correspondant. Deux facteurs rendent cette situation plus difficile que pour une banque. Les dépendances sont inhabituelles pour les rédacteurs du cadre de résilience: fournisseur de nœuds, indexeur, oracle et pont sont des tiers TIC nécessitant chacun clauses contractuelles, surveillance et sortie prévues par DORA. Certaines dépendances n’ont aucune contrepartie contractuelle, un réseau public n’ayant pas d’entité juridique pour signer.

L’approche praticable traite la dépendance au protocole comme un risque à documenter et réduire, pas un contrat à négocier: redondance des prestataires pour les composants concernés et position documentée sur une panne du réseau pour les autres. Finance Loop présente le régime dans MiCA en Europe et l’autorisation dans l’agrément CASP.

Le Digital Operational Resilience Act est le règlement (UE) 2022/2554, en vigueur depuis le 17 janvier 2025, fixant des exigences uniformes de sécurité des réseaux et systèmes d’information des entités financières européennes et de leurs prestataires TIC. DORA harmonise les orientations nationales en un texte directement applicable et ajoute une surveillance européenne des prestataires dont le système financier dépend le plus.

À vingt catégories d’entités financières européennes, des établissements de crédit et assureurs aux plateformes de négociation, dépositaires centraux, administrateurs d’indices et prestataires crypto, ainsi que leurs prestataires tiers TIC. Il n’existe aucune exclusion sectorielle dans le champ de ce règlement. Une microentreprise suit un cadre TIC simplifié et déclare les incidents comme une grande banque.

La notification initiale intervient dans les quatre heures suivant la classification majeure, au plus tard vingt-quatre heures après la détection. Le rapport intermédiaire suit soixante-douze heures après cette notification, et le final dans le mois suivant l’intermédiaire. Si l’incident touche les intérêts financiers des clients, ils doivent aussi être informés, obligation distincte du rapport prudentiel.

Un prestataire désigné critique par les autorités européennes de surveillance, car une part suffisante du système financier européen dépend de ses services pour qu’une panne devienne systémique. Cette désignation le place sous surveillance européenne directe avec un superviseur principal pouvant demander des informations, inspecter et recommander, sous astreinte journalière allant jusqu’à un pour cent du chiffre d’affaires mondial journalier moyen en cas de non-respect. La désignation ne retire pas le risque aux entreprises utilisant ce prestataire.

Pour les TIC, largement oui: le chapitre tiers de DORA est directement applicable et remplace les orientations nationales couvrant le même domaine, d’où la réécriture avant 2025 des registres fondés sur les anciennes règles. Restent les règles nationales hors TIC et la pratique prudentielle nationale d’application du règlement. Une entreprise présente dans plusieurs États traite toujours avec plusieurs superviseurs lisant le même texte.