Page d'accueil d'OpenText.
Thèmes techniques

Qu'est-ce que la loi sur la résilience opérationnelle numérique (DORA) ?

Qu'est-ce qu'un logo ?

Présentation

Le Digital Operational Resilience Act (DORA) est un règlement complet de l'Union européenne conçu pour renforcer la résilience opérationnelle numérique du secteur financier. Promulgué en janvier 2023, le DORA établit un cadre uniforme permettant aux institutions financières de gérer les risques liés aux technologies de l'information et de la communication (TIC), le signalement des incidents et les relations avec les fournisseurs de services tiers. Cette législation historique représente la réponse de l'UE à la numérisation croissante des services financiers et à la nécessité de mettre en place des mesures de cybersécurité solides.

Découvrez comment vos solutions de CMDB, de gestion des services informatiques (ITSM) et d'observabilité peuvent contribuer à la conformité DORA.

Lire le livre blanc

Loi sur la résilience opérationnelle numérique

Comprendre le champ d'application de DORA

La loi DORA s'applique à un large éventail d'entités financières opérant au sein de l'Union européenne. Les banques et les établissements de crédit, qu'ils soient traditionnels ou numériques, constituent le cœur des entités réglementées. Mais le champ d'application de DORA est très large et s'étend au-delà des établissements bancaires et de crédit traditionnels :

  • Établissements de paiement, y compris les établissements de paiement exemptés en vertu de la directive (UE) 2015/2366.
  • Prestataires de services d'information sur les comptes
  • Établissements de monnaie électronique, y compris les établissements de monnaie électronique exemptés en vertu de la directive 2009/110/CE
  • Entreprises d'investissement
  • Les prestataires de services de crypto-actifs tels qu'autorisés en vertu d'un règlement du Parlement européen et du Conseil concernant les marchés des crypto-actifs et modifiant les règlements (UE) n° 1093/2010 et (UE) n° 1095/2010 ainsi que les directives 2013/36/UE et (UE) 2019/1937 ("le règlement concernant les marchés des crypto-actifs") et les émetteurs de jetons référencés par des actifs.
  • Dépositaires centraux de titres
  • Contreparties centrales
  • Places de marché
  • Référentiels commerciaux
  • Gestionnaires de fonds d'investissement alternatifs
  • Sociétés de gestion
  • Fournisseurs de services de communication de données
  • Entreprises d'assurance et de réassurance
  • Intermédiaires d'assurance, intermédiaires de réassurance et intermédiaires d'assurance auxiliaires
  • Institutions de retraite professionnelle
  • Agences de notation
  • Administrateurs des critères de référence essentiels
  • Fournisseurs de services de crowdfunding
  • Référentiels de titrisation
  • Fournisseurs de services TIC tiers

Quels sont les principaux éléments de la conformité à la loi DORA ?

Gestion des risques liés aux TIC

Les entités financières doivent mettre en œuvre des cadres complets de gestion des risques liés aux TIC qui englobent plusieurs niveaux de sécurité et de surveillance. Ces cadres exigent des stratégies et des politiques détaillées qui traitent spécifiquement de la résilience numérique, y compris des mesures concrètes de prévention et de réponse aux cybermenaces. Les organisations doivent procéder à des évaluations régulières des risques afin d'identifier les vulnérabilités actuelles et émergentes de leur infrastructure numérique.

Les mesures de sécurité doivent inclure des contrôles d'accès sophistiqués qui gèrent les privilèges des utilisateurs et maintiennent l'intégrité des données, ainsi que des protocoles de cryptage de pointe pour protéger les informations financières sensibles. Le cadre exige des systèmes de surveillance continue qui fournissent des informations en temps réel sur les menaces potentielles pour la sécurité et les performances du système. Des structures de gouvernance claires doivent être mises en place, avec des rôles et des responsabilités spécifiques attribués pour garantir la responsabilité des procédures de gestion des risques.

Gestion des incidents et rapports

Le DORA impose des procédures sophistiquées de gestion et de signalement des incidents qui vont au-delà des protocoles de base en matière de cybersécurité. Les organisations doivent développer et maintenir des systèmes de détection robustes capables d'identifier les incidents liés aux TIC, qu'ils soient évidents ou subtils. Cette exigence comprend la mise en œuvre de systèmes de classification à plusieurs niveaux qui évaluent avec précision la gravité des incidents sur la base de critères prédéfinis et de l'impact potentiel sur les opérations financières.

Des registres détaillés des incidents doivent être tenus, avec une documentation complète des procédures de réponse, des étapes de résolution et des analyses des résultats. Les incidents majeurs doivent être signalés rapidement aux autorités compétentes par les canaux établis, avec des délais spécifiques pour la notification initiale et les rapports de suivi. Les organisations doivent élaborer et mettre à jour régulièrement des plans de communication qui s'adressent aux différents groupes de parties prenantes, y compris les clients, les partenaires, les organismes de réglementation et les médias, le cas échéant.

Essais de résilience opérationnelle numérique

Le DORA exige un test systématique de la résilience numérique par le biais d'approches multiples. Des évaluations de la vulnérabilité doivent être effectuées régulièrement à l'aide d'outils et de méthodologies de test avancés afin d'identifier les faiblesses potentielles des systèmes TIC. Des parties indépendantes doivent effectuer des tests de pénétration afin de garantir une évaluation impartiale des mesures de sécurité et d'identifier les points d'intrusion potentiels. Les tests basés sur des scénarios doivent simuler des cybermenaces et des perturbations opérationnelles réelles afin d'évaluer les capacités de réaction et la résilience des systèmes.

Les mesures de sécurité doivent être régulièrement validées afin de garantir leur efficacité face à l'évolution des menaces. Toutes les activités de test nécessitent une documentation détaillée, y compris les méthodologies utilisées, les résultats et les mesures correctives prises.

Gestion des risques pour les tiers

Le DORA met l'accent sur la gestion globale des relations avec les fournisseurs de services TIC par le biais d'une supervision et d'une documentation structurées. Les organisations doivent procéder à des évaluations approfondies des risques liés aux fournisseurs tiers, en évaluant leurs capacités techniques, leurs mesures de sécurité et leurs plans de continuité des activités. Les accords de service doivent être revus régulièrement afin de garantir leur alignement sur les exigences réglementaires actuelles et les besoins opérationnels.

Les organisations doivent tenir un registre détaillé des fournisseurs qui documente tous les accords de services critiques et non critiques, y compris les services spécifiques fournis, les niveaux d'accès aux données et les mesures de sécurité en place. Les dispositions relatives aux services critiques doivent être communiquées aux autorités de régulation et des mises à jour doivent être fournies en cas de changements importants. Les obligations contractuelles doivent explicitement porter sur les exigences de conformité, y compris les mesures de sécurité, les rapports d'incidents et les droits d'audit.

Comment les solutions OpenText IT Operations contribuent-elles à la conformité DORA ?

Les solutions OpenText IT Operations aident les institutions financières à atteindre et à maintenir la conformité DORA grâce à des plateformes technologiques qui répondent aux exigences réglementaires clés.

OpenText™ Universal Discovery and CMDB constitue l'élément de base de la conformité DORA en offrant une visibilité approfondie de l'infrastructure TIC d'une organisation. Avec des capacités de découverte sans agent et basées sur un agent, cette solution crée une vue complète des environnements informatiques, y compris des appareils connectés via des VPN sécurisés ou des connexions Internet intermittentes. Il effectue des mises à jour basées sur les événements des environnements multicloud, garantissant que les institutions financières conservent une image précise et en temps réel de l'ensemble de leur infrastructure, à la fois sur site et dans le nuage. Ses capacités de cartographie des services permettent aux organisations de prévoir, avant la mise en œuvre, la manière dont les changements pourraient avoir un impact sur les services financiers essentiels, ce qui répond directement aux exigences de gestion des risques et de résilience opérationnelle de la DORA.

OpenText™ Service Management intègre des fonctionnalités essentielles de gestion des services et des actifs informatiques afin d'établir une propriété et une gestion claires des services, des applications et de l'équipement TIC de soutien. La solution comprend des modèles de meilleures pratiques certifiés ITIL qui couvrent la gestion des incidents, des problèmes, des changements, des versions et des configurations, autant d'éléments cruciaux pour la conformité à la loi DORA. Ces modèles aident les organisations à mettre en place des chaînes de réponse automatisées qui minimisent les interruptions de service et garantissent un traitement cohérent des incidents liés aux TIC, répondant ainsi aux exigences du DORA en matière de gestion des incidents et d'établissement de rapports.

OpenText™ Core Infrastructure Observability répond aux exigences de surveillance de DORA en fournissant une visibilité de bout en bout des ressources multicloud et sur site. Les capacités de détection des anomalies pilotées par l'IA permettent aux institutions financières d'identifier les problèmes potentiels avant qu'ils n'aient un impact sur la prestation de services. Les organisations peuvent également mettre en place des mécanismes pour détecter rapidement les activités anormales - y compris les problèmes de performance du réseau et les incidents liés aux TIC - et identifier les points de défaillance uniques potentiels qui pourraient affecter la résilience opérationnelle.

OpenText™ Core Application Observability complète la surveillance de l'infrastructure en se concentrant sur la performance des applications et la fourniture de services. Cette solution aide les organisations à s'assurer que les applications critiques des services financiers maintiennent une performance et une disponibilité optimales. Il permet une analyse complète des causes profondes et une documentation des incidents, ce qui répond aux exigences du DORA en matière de traitement et de résolution des incidents. Les capacités intégrées de contrôle et de suivi garantissent que les organisations maintiennent une qualité de service constante tout en respectant les exigences réglementaires en matière de rapports.

L'état de préparation de DORA : Il est temps d'agir

DORA représente un changement important dans la manière dont les institutions financières doivent aborder les opérations numériques et la gestion des risques. Pour réussir à se conformer à la loi DORA, il faut une stratégie globale combinant des solutions technologiques robustes, des processus clairs et un engagement permanent en faveur de la résilience numérique. Les organisations doivent entamer leur démarche de mise en conformité bien avant la date limite de janvier 2025 afin de s'assurer qu'elles répondent à toutes les exigences et qu'elles maintiennent la résilience opérationnelle nécessaire à l'ère numérique. Avec les solutions IT Operations d'OpenText, les institutions financières peuvent établir une base solide pour la conformité DORA tout en améliorant l'efficacité opérationnelle et la sécurité de leur système informatique.

Comment pouvons-nous vous aider ?

Notes de bas de page