Dora

DORA : Tout ce que vous devez savoir à propos
du Digital Operational Resilience Act

Le DORA (Digital Operational Resilience Act) entrera en vigueur à partir du 17 janvier 2025. Cette réglementation européenne oblige les organismes financiers à accroître leur résilience numérique et à mieux maîtriser les risques cybernétiques. Mais qu’en est-il exactement du DORA ? Et en quoi diffère-t-il de la NIS2 ?

Qu’est-ce que le DORA ?

Le DORA est un règlement européen visant à améliorer la cybersécurité et la résilience numérique opérationnelle au sein du secteur financier. L’objectif ? Minimiser les risques informatiques et éviter les cyberincidents pouvant mettre la stabilité financière en danger.
Le DORA se compose de trois niveaux :

Niveau 1 : Le règlement général et ses règles contraignantes
Niveau 2 : Standards techniques et directives de déploiement
Niveau 3 : Mesures de surveillance et contrôle de conformité

Les premiers standards techniques ont été approuvés par la Commission européenne en janvier 2024. La deuxième phase, comprenant les directives pour le Threat-Led Penetration Testing (TLPT) et le rapportage d’incidents, doit être introduite avant le 17 juillet 2024.

Qui est concerné par le DORA ?

Le DORA s’applique à un groupe étendu d’organismes financiers et à leurs fournisseurs informatiques, parmi lesquels :

✔ Les banques et entreprises d’investissement
✔ Les assureurs
✔ Les organismes de paiement et les établissements de monnaie électronique
✔ Les fonds de pension
✔ Les plateformes de crowdfunding

Le DORA concerne également les fournisseurs informatiques qui fournissent des services à ces entités financières.

Les 5 piliers du DORA

Le DORA impose des exigences strictes au sein de cinq domaines

ce qui inclut une politique, des procédures et des contrôles.
Gestion d’incidents & rapportage
Un plan de réponse aux incidents est imposé afin de repérer rapidement toute cybermenace et y remédier.
Tester la résilience numérique
Des tests de cybersécurité réguliers, tels que le Threat-Led Penetration Testing (TLPT), sont obligatoires.
Gestion des risques chez les fournisseurs informatiques
Les entreprises doivent élaborer et surveiller activement une stratégie de vendor risk management.
Collaboration & échange d’informations
Le DORA stimule la collaboration intelligente entre les organismes financiers et les fournisseurs de services informatiques afin de détecter et d’éviter plus rapidement les cybermenaces.

DORA vs. NIS2 :
Quelle est la différence ?

La NIS2, une législation européenne plus large axée sur la cybersécurité des infrastructures critiques, entrera en vigueur au même titre que le DORA.

Voici ce qui s’applique aux organismes financiers : Lorsqu’une entreprise tombe sous les deux réglementations, le DORA est prioritaire en cas d’exigences plus strictes.
Les amendes NIS2 peuvent représenter jusqu’à 2 % du chiffre d’affaires mondial et les membres de la direction peuvent être tenus pourpersonnellement responsables en cas de négligence.

Quelles sont les conséquences en cas de non-respect ?

Sanctions financières de la part de contrôleurs nationaux
Atteinte à la réputation et perte de la confiance des clients
Possible poursuite juridique en cas de négligence grave

Comment préparer votre entreprise au DORA ?

Respecter le DORA exige une approche stratégique et une expertise spécialisée. Tyneso est certifié ISO 27001 et soutient les organismes financiers dans l’élaboration d’une stratégie de cybersécurité inviolable.