Résilience numérique de la finance
Repère: DORA
De quoi s’agit-il ?
DORA encadre la résilience numérique des entités financières couvertes : systèmes, incidents, tests et prestataires technologiques.
Pourquoi c’est utile
L’organisation financière et son fournisseur peuvent avoir des responsabilités différentes selon les règles et le contrat.
Ce que vous pouvez faire
Identifiez votre rôle, les systèmes et contrats concernés. Distinguez les événements de sécurité du registre des contrats et prestataires.
Services utiles
Device Shield et Web App Shield apportent des contrôles et journaux utiles, sans remplacer le programme DORA complet de l’organisation.
Référence officielle — DORA art. 9–11
1. Aux fins de la protection adéquate des systèmes de TIC et en vue d’organiser les mesures de réponse, les entités financières assurent un suivi et un contrôle permanents de la sécurité et du fonctionnement des systèmes et outils de TIC et réduisent au minimum l’incidence du risque lié aux TIC sur les systèmes de TIC par le déploiement d’outils, de stratégies et de procédures appropriés en matière de sécurité des TIC.
— Règlement (UE) 2022/2554 (DORA), Art. 9(1)
1. Les entités financières mettent en place des mécanismes permettant de détecter rapidement les activités anormales, conformément à l’article 17, y compris les problèmes de performance des réseaux de TIC et les incidents liés aux TIC, ainsi que de repérer les points uniques de défaillance potentiellement significatifs.
— Règlement (UE) 2022/2554 (DORA), Art. 10(1)
1. Aux fins du cadre de gestion du risque lié aux TIC visé à l’article 6, paragraphe 1, et sur la base des exigences en matière d’identification énoncées à l’article 8, les entités financières se dotent d’une politique de continuité des activités de TIC complète, qui peut être adoptée en tant que politique spécifique, et qui forme une partie intégrante de leur politique globale de continuité des activités.
— Règlement (UE) 2022/2554 (DORA), Art. 11(1)
Les entités financières concernées protègent leurs systèmes TIC, détectent les activités inhabituelles et organisent réponse et reprise. Les obligations contractuelles fournisseurs et la supervision des prestataires critiques sont distinctes.
Lire l’article sur EUR-Lex → · Texte officiel, cité du Journal officiel de l’UE
Les sigles utilisés ici: NIS2, GDPR, DORA, CRA
- NIS2 — Network and Information Systems Directive 2
- Une directive européenne sur la cybersécurité, avec des exigences pour les organisations qui entrent dans son champ.
- GDPR — General Data Protection Regulation
- Le Règlement général sur la protection des données (RGPD). GDPR est le sigle anglais et AVG le sigle néerlandais.
- DORA — Digital Operational Resilience Act
- Des règles européennes sur la résilience opérationnelle numérique du secteur financier.
- CRA — Cyber Resilience Act
- Des règles européennes de cybersécurité pour les produits comportant des éléments numériques, dont certains logiciels et appareils connectés.