DORA vous concerne-t-il ? Périmètre, cinq piliers et écarts

DORA s’applique aux 20 types d’entités financières énumérés à l’article 2, paragraphe 1 — banques, établissements de paiement et de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs, assureurs, fonds de retraite et autres — sauf si une exclusion de l’article 2, paragraphe 3, s’applique. Les prestataires TIC sont concernés par le biais des contrats de leurs clients financiers. Ce test donne une réponse préliminaire en quelques minutes.

Établissements de crédit, établissements de paiement, prestataires de services d’information sur les comptes, établissements de monnaie électronique, entreprises d’investissement, prestataires de services sur crypto-actifs et émetteurs de jetons se référant à un ou des actifs, dépositaires centraux de titres, contreparties centrales, plateformes de négociation, référentiels centraux, gestionnaires de FIA, sociétés de gestion d’OPCVM, prestataires de services de communication de données, entreprises d’assurance et de réassurance, intermédiaires d’assurance, IRP, agences de notation de crédit, administrateurs d’indices de référence d’importance critique, prestataires de services de financement participatif, référentiels des titrisations, ainsi que les prestataires tiers de services TIC.

La gestion du risque lié aux TIC, la gestion et la notification des incidents liés aux TIC, les tests de résilience opérationnelle numérique, la gestion du risque lié aux prestataires tiers de services TIC et le partage d’informations sur les cybermenaces.

C’est une liste structurée de tous les accords contractuels portant sur des services TIC. Chaque entité financière concernée le tient au niveau individuel et, pour les groupes, aux niveaux sous-consolidé et consolidé, et le transmet sur demande à son autorité compétente.

Pas sous forme d’agrément, mais par les contrats : les banques et autres entités financières doivent intégrer les clauses de l’article 30 dans leurs contrats TIC et contrôler leurs prestataires. Les prestataires dont dépendent de nombreuses entités financières peuvent être désignés comme critiques et supervisés au niveau de l’UE.

Pour les incidents majeurs liés aux TIC, les normes techniques prévoient une notification initiale dans les heures suivant la classification de l’incident comme majeur, un rapport intermédiaire dans les jours qui suivent et un rapport final dans un délai d’environ un mois. Les délais exacts figurent dans les actes d’exécution et sont en attente de relecture juridique dans cet outil.

Pour les entités financières, DORA est l’acte spécifique (lex specialis) : ses règles sur le risque lié aux TIC et les incidents s’appliquent à la place des exigences de cybersécurité de NIS2. Les activités non financières d’un même groupe peuvent toutefois relever de NIS2.

Oui. Nous aidons les entités financières et les prestataires TIC à constituer le registre d’informations, à mettre leurs contrats en conformité, à mettre en place les processus de gestion des incidents et à mener les tests de résilience. Nous travaillons sous NDA.