Page d'accueil d'OpenText.
Sujets techniques

Quelle est la Loi sur la résilience opérationnelle numérique (DORA) ?

Qu'est-ce qu'un logo ?

Aperçu

La Loi sur la résilience opérationnelle numérique (DORA) est un règlement complet de l'Union européenne conçu pour renforcer la résilience opérationnelle numérique du secteur financier. Adoptée en janvier 2023, la DORA établit un cadre uniforme permettant aux institutions financières de gérer les risques liés aux technologies de l'information et de la communication (TIC), le signalement des incidents et les relations avec les fournisseurs de services tiers. Cette législation historique représente la réponse de l'UE à la numérisation croissante des services financiers et à la nécessité de mesures robustes en matière de cybersécurité.

Découvrez comment vos solutions CMDB, de gestion des services informatiques (ITSM) et d'observabilité peuvent contribuer à la conformité DORA.

Lire le livre blanc

Loi sur la résilience opérationnelle numérique

Comprendre la portée et l'application de DORA

La loi DORA s'applique à un large éventail d'entités financières opérant au sein de l'Union européenne. Les banques et les établissements de crédit, traditionnels et numériques, constituent le cœur des entités réglementées. Mais la portée de DORA est considérable, s'étendant au-delà des institutions bancaires et de crédit traditionnelles pour inclure :

  • Les établissements de paiement, y compris les établissements de paiement exemptés en vertu de la directive (UE) 2015/2366
  • fournisseurs de services d'information sur les comptes
  • Les établissements de monnaie électronique, y compris ceux exemptés en vertu de la directive 2009/110/CE
  • sociétés d'investissement
  • Les fournisseurs de services de crypto-actifs autorisés en vertu du Règlement du Parlement européen et du Conseil concernant les marchés de crypto-actifs et modifiant les règlements (UE) n° 1093/2010 et (UE) n° 1095/2010 et les directives 2013/36/UE et (UE) 2019/1937 (« le règlement concernant les marchés de crypto-actifs ») et les émetteurs de jetons adossés à des actifs
  • dépositaires centraux de titres
  • contreparties centrales
  • Lieux de négociation
  • dépôts commerciaux
  • Gestionnaires de fonds d'investissement alternatifs
  • sociétés de gestion
  • fournisseurs de services de rapport de données
  • Entreprises d'assurance et de réassurance
  • Intermédiaires d'assurance, intermédiaires de réassurance et intermédiaires d'assurance accessoires
  • Institutions de retraite professionnelle
  • agences de notation de crédit
  • Administrateurs des indicateurs de rendement critiques
  • fournisseurs de services de sociofinancement
  • dépôts de titrisation
  • fournisseurs de services tiers en TIC

Quels sont les éléments essentiels de la conformité à la loi DORA ?

gestion des risques liés aux TIC

Les entités financières doivent mettre en œuvre des cadres complets de gestion des risques liés aux TIC qui englobent de multiples niveaux de sécurité et de surveillance. Ces cadres nécessitent des stratégies et des politiques détaillées qui abordent spécifiquement la résilience numérique, y compris des mesures concrètes de prévention et de réponse aux cybermenaces. Les organisations doivent procéder régulièrement à des évaluations des risques afin d'identifier les vulnérabilités actuelles et émergentes de leur infrastructure numérique.

Les mesures de sécurité devraient inclure des contrôles d'accès sophistiqués qui gèrent les privilèges des utilisateurs et maintiennent l'intégrité des données, ainsi que des protocoles de chiffrement de pointe pour protéger les informations financières sensibles. Ce cadre exige des systèmes de surveillance continue qui fournissent des renseignements en temps réel sur les menaces potentielles à la sécurité et sur la performance du système. Des structures de gouvernance claires doivent être mises en place, avec des rôles et des responsabilités spécifiques attribués afin d'assurer la responsabilisation dans les procédures de gestion des risques.

Gestion et signalement des incidents

DORA impose des procédures sophistiquées de gestion et de signalement des incidents qui vont au-delà des protocoles de cybersécurité de base. Les organisations doivent développer et maintenir des systèmes de détection robustes capables d'identifier les incidents liés aux TIC, qu'ils soient évidents ou subtils. Cette exigence comprend la mise en œuvre de systèmes de classification à plusieurs niveaux qui évaluent avec précision la gravité des incidents en fonction de critères prédéfinis et de leur impact potentiel sur les opérations financières.

Des registres détaillés d'incidents doivent être tenus, comprenant une documentation complète des procédures d'intervention, des étapes de résolution et des analyses des résultats. Les incidents majeurs nécessitent un signalement rapide aux autorités compétentes par les voies établies, avec des délais précis pour la notification initiale et les rapports de suivi. Les organisations doivent élaborer et mettre à jour régulièrement des plans de communication destinés aux différents groupes de parties prenantes, notamment les clients, les partenaires, les organismes de réglementation et les médias, le cas échéant.

tests de résilience opérationnelle numérique

DORA exige des tests systématiques de résilience numérique à travers de multiples approches. Des évaluations de vulnérabilité doivent être menées régulièrement à l'aide d'outils et de méthodologies de test avancés afin d'identifier les faiblesses potentielles des systèmes TIC. Des parties indépendantes doivent effectuer des tests d'intrusion afin d'assurer une évaluation impartiale des mesures de sécurité et d'identifier les points de faille potentiels. Les tests basés sur des scénarios doivent simuler des cybermenaces et des perturbations opérationnelles réelles afin d'évaluer les capacités de réponse et la résilience du système.

Une validation régulière des mesures de sécurité doit être effectuée afin d'assurer leur efficacité continue face à l'évolution des menaces. Toutes les activités de test nécessitent une documentation détaillée, incluant les méthodologies utilisées, les résultats et les mesures correctives prises.

Gestion des risques liés aux tiers

DORA met l'accent sur une gestion complète des relations avec les fournisseurs de services TIC grâce à une supervision et une documentation structurées. Les organisations doivent procéder à des évaluations approfondies des risques liés aux fournisseurs tiers, en évaluant leurs capacités techniques, leurs mesures de sécurité et leurs plans de continuité d'activité. Les contrats de service nécessitent des révisions régulières afin d'assurer leur conformité aux exigences réglementaires en vigueur et aux besoins opérationnels.

Les organisations doivent tenir un registre détaillé des fournisseurs qui documente tous les accords de services critiques et non critiques, y compris les services spécifiques fournis, les niveaux d'accès aux données et les mesures de sécurité en place. Les dispositifs relatifs aux services essentiels doivent être signalés aux autorités réglementaires, et des mises à jour doivent être fournies en cas de changements importants. Les obligations contractuelles doivent aborder explicitement les exigences de conformité, notamment les mesures de sécurité, le signalement des incidents et les droits d'audit.

Comment les solutions OpenText IT Operations contribuent-elles à la conformité DORA ?

Les solutions OpenText IT Operations aident les institutions financières à atteindre et à maintenir la conformité DORA grâce à des plateformes technologiques qui répondent aux principales exigences réglementaires.

OpenText™ Universal Discovery et CMDB constituent l'élément fondamental de la conformité DORA en offrant une visibilité approfondie sur l'infrastructure des TIC d'une organisation. Grâce à ses capacités de découverte sans agent et avec agent, cette solution offre une vue d'ensemble des environnements informatiques, y compris des appareils connectés par des VPN sécurisés ou des connexions Internet intermittentes. Il effectue des mises à jour événementielles des environnements multicloud, garantissant ainsi aux institutions financières une vision précise et en temps réel de l'ensemble de leur infrastructure, sur place et dans le cloud. Ses capacités de cartographie des services permettent aux organisations de prévoir, avant la mise en œuvre, l'impact potentiel des changements sur les services financiers critiques, répondant ainsi directement aux exigences de DORA en matière de gestion des risques et de résilience opérationnelle.

OpenText ™ Service Management intègre des fonctionnalités essentielles de gestion des services informatiques (ITSM) et de gestion des actifs informatiques afin d'établir une propriété et une gestion claires des services, des applications et des équipements TIC de support. La solution comprend des modèles de bonnes pratiques certifiés ITIL qui couvrent la gestion des incidents, des problèmes, des changements, des mises en production et de la configuration – tous des éléments cruciaux pour la conformité DORA. Ces modèles aident les organisations à établir des chaînes de réponse automatisées qui minimisent les interruptions de service et assurent une gestion cohérente des incidents liés aux TIC, répondant ainsi aux exigences de DORA en matière de gestion et de signalement des incidents.

OpenText™ Core Infrastructure Observability répond aux exigences de surveillance de DORA en fournissant une visibilité de bout en bout des ressources multicloud et sur site. Les capacités de détection d'anomalies basées sur l'IA permettent aux institutions financières d'identifier les problèmes potentiels avant qu'ils n'affectent la prestation de services. Les organisations peuvent également mettre en place des mécanismes permettant de détecter rapidement les activités anormales — notamment les problèmes de performance du réseau et les incidents liés aux TIC — et d'identifier les points de défaillance uniques potentiels susceptibles d'affecter la résilience opérationnelle.

OpenText™ Core Application Observability complète la surveillance de l'infrastructure en mettant l'accent sur la performance des applications et la prestation de services. Cette solution aide les organisations à s'assurer que leurs applications de services financiers critiques conservent des performances et une disponibilité optimales. Il permet une analyse complète des causes profondes et une documentation détaillée des incidents, répondant ainsi aux exigences de DORA en matière de gestion et de résolution des incidents. Les capacités intégrées de surveillance et de suivi permettent aux organisations de maintenir une qualité de service constante tout en respectant les exigences réglementaires en matière de rapports.

Préparation de DORA : Il est temps d'agir

DORA représente un changement important dans la manière dont les institutions financières doivent aborder les opérations numériques et la gestion des risques. La conformité réussie à la loi DORA exige une stratégie globale combinant des solutions technologiques robustes, des processus clairs et un engagement continu envers la résilience numérique. Les organisations doivent entamer leur processus de conformité bien avant l'échéance de janvier 2025 afin de s'assurer qu'elles respectent toutes les exigences et maintiennent la résilience opérationnelle nécessaire à l'ère numérique. Grâce aux solutions d'exploitation informatique d'OpenText, les institutions financières peuvent bâtir une base solide pour la conformité à la loi DORA tout en améliorant leur efficacité opérationnelle informatique globale et leur posture de sécurité.

Comment pouvons-nous vous aider?

Notes de bas de page