DORA: nouvelle résilience numérique dans le secteur financier

Connaissances requises

• Connaissances de base des TIC

Le 14 décembre 2022, le Parlement européen et le Conseil européen ont adopté le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA). Il est entré en vigueur le 17 janvier 2023 et sera effectif à compter du 17 janvier 2025. La Commission européenne a présenté la proposition DORA le 24 septembre 2020 dans le cadre d’un paquet visant à numériser le secteur financier. Ce paquet comprend également un règlement sur les marchés de cryptoactifs (MiCAR), un projet pilote d’infrastructure de marché basé sur le DLT et une stratégie de système financier numérique.

Le DORA vise à protéger le secteur financier, qui dépend fortement des technologies de l’information et de la communication (TIC), contre les risques liés aux TIC et à établir des règles pour la gestion des risques TIC, la notification des cyberincidents, l’examen de la résilience opérationnelle et la surveillance des risques par des tiers. Elle harmonise les règles applicables à 20 types d’établissements financiers et de prestataires de services TIC tiers pour garantir la résilience face aux dysfonctionnements graves. En tant que «lex specialis», le DORA remplacera tous les documents juridiques redondants tels que la directive NIS (Network and Information Security Directive) et servira de principale référence de conformité pour les établissements financiers.

Effet juridique au Liechtenstein et conséquences indirectes pour la Suisse

Pour que le DORA ait un effet juridique dans l’État membre de l’EEE qu’est le Liechtenstein, elle doit d’abord faire l’objet d’une décision de la Commission mixte de l’EEE, puis être intégrée dans l’accord EEE. Le DORA n’a pas encore été intégré dans l’accord. Cependant, il devrait entrer en vigueur en même temps que dans l’UE. La Suisse n’étant pas membre de l’UE ou de l’EEE, elle n’est pas obligée de mettre en œuvre directement le DORA, et ce règlement n’est pas directement applicable à la Suisse. Toutefois, les prestataires suisses de services TIC souhaitant fournir des services aux établissements financiers de l’UE seront indirectement concernés. Et ce, peu importe qu’il s’agisse de tiers indépendants ou de sociétés de groupe affiliées à des établissements financiers de l’UE. Le DORA impose des obligations supplémentaires aux sociétés financières de l’UE lorsqu'elles travaillent avec des prestataires de services TIC en dehors de l’UE, y compris en Suisse.

Recommandations: stratégies et exigences

La résilience opérationnelle numérique désigne la capacité des entreprises à maintenir leur intégrité opérationnelle malgré des dysfonctionnements des TIC. Les établissements financiers doivent développer un programme robuste adapté à leur taille et à leur profil commercial, évaluer leur résilience et identifier leurs vulnérabilités. Ce programme doit tenir compte de l’évolution des cybermenaces et inclure des tests annuels de toutes les applications et de tous les systèmes TIC critiques. Ces tests doivent être effectués par une organisation interne ou externe indépendante et qualifiée. Ils doivent également inclure des évaluations de vulnérabilité, des analyses de la sécurité du réseau et d’autres méthodes afin de garantir une couverture complète et une amélioration continue. En outre, les politiques et procédures internes doivent déterminer quels problèmes doivent être résolus en premier, et les méthodes d’évaluation doivent garantir que toutes les vulnérabilités sont entièrement corrigées.

Si un établissement financier utilise les services de prestataires de services critiques externes, ceux-ci doivent également être inclus dans la réflexion sur la résilience. Cela signifie que les établissements financiers doivent régulièrement revoir les mesures de sécurité et les stratégies de résilience de leurs prestataires de services pour s’assurer qu’elles respectent leurs propres normes.

Adhésion au Swiss FS-CSC

L’évolution rapide de la technologie signifie que les techniques et les stratégies de cyberattaque changent constamment. À l’avenir, les banques auront besoin de ressources financières et humaines encore plus importantes pour garantir une protection adéquate contre les cyberattaques. La pénurie actuelle de travailleurs qualifiés dans le domaine de la cybersécurité va ainsi s’aggraver, et il est donc d’autant plus important d’attirer ces spécialistes dans notre pays.

Au niveau de l’association, la cybersécurité est également une priorité. L’Association des banques du Liechtenstein a rejoint le Swiss Financial Sector Cyber Security Centre (Swiss FS-CSC) pour renforcer la coopération avec la Suisse et accroître la cyberrésilience. Fondé en avril 2022, il fournit aux institutions financières et aux associations des ressources et un soutien supplémentaires pour améliorer leur résilience, une plateforme pour le partage d’informations et de bonnes pratiques, ainsi que des formations et un soutien spécialisés pour l’élaboration de stratégies de sécurité.

Ivica Kuzmic
Association des banques du Liechtenstein