Pour les banques et services financiers
Le Digital Operational Resilience Act s'applique depuis le 17 janvier 2025 aux entités financières de toute l'UE. Il impose aux banques, assureurs et autres prestataires de services financiers de piloter les risques informatiques, de notifier rapidement les incidents et de maîtriser leurs prestataires. Nous traduisons ces exigences en droits d'accès, processus et preuves avec lesquels votre IT peut travailler au quotidien.
DORA est un règlement européen (2022/2554) et s'applique donc directement, sans qu'une loi allemande doive d'abord le transposer. Depuis le 17 janvier 2025, les entités financières de tous les secteurs doivent l'appliquer, notamment les établissements de crédit, les établissements de paiement et de monnaie électronique, les entreprises d'investissement, les assureurs et les sociétés de gestion. Pour certains établissements de services financiers, DORA ne s'applique en vertu de la loi bancaire allemande (Kreditwesengesetz) qu'à partir du 1er janvier 2027.
Les prestataires informatiques ressentent eux aussi les effets de DORA, car les entités financières doivent adapter leurs contrats avec eux au règlement. Si vous travaillez pour une banque ou un assureur, vous recevrez donc de nouvelles clauses contractuelles, des droits d'audit et des exigences en matière de plans de sortie.
Un cadre documenté pour recenser les risques informatiques, protéger les systèmes et remédier aux perturbations. Il comprend le contrôle d'accès, la sauvegarde avec restauration et des plans en cas de panne des systèmes importants.
Les incidents sont classés selon des critères définis. Un incident majeur doit être notifié à la BaFin (autorité fédérale de surveillance financière) au plus tard quatre heures après sa classification et au plus tard 24 heures après sa détection, puis suivent un rapport intermédiaire et un rapport final.
Les systèmes qui soutiennent des fonctions critiques ou importantes sont testés au moins une fois par an. Certains établissements désignés doivent en outre réaliser tous les trois ans des tests de pénétration fondés sur la menace.
Tous les contrats avec des prestataires informatiques figurent dans un registre d'informations déclaré à l'autorité de surveillance. Pour les prestations critiques, vous avez besoin d'un contenu contractuel minimal et d'une stratégie de sortie.
Les entités financières peuvent partager entre elles des informations sur les cybermenaces. La participation à ces dispositifs est facultative, mais doit être communiquée à l'autorité de surveillance.
L'organe de direction est responsable de la gestion du risque lié aux TIC. Il définit et approuve le cadre et doit tenir à jour ses connaissances sur les risques informatiques.
De nombreuses obligations ne deviennent vérifiables qu'au niveau technique. Voici les points qu'un contrôle examine généralement :
La BaFin a largement remplacé ses circulaires sur les exigences informatiques par DORA. Les VAIT, KAIT et ZAIT ont été abrogées à l'issue du 16 janvier 2025. Les établissements qui appliquent DORA depuis le 17 janvier 2025 sont sortis du champ d'application des BAIT (exigences de surveillance bancaire pour l'IT), et les BAIT seront entièrement abrogées à l'issue du 31 décembre 2026.
Sur le fond, beaucoup d'éléments sont familiers, car les banques connaissaient déjà la gestion des droits d'accès, la planification d'urgence et le pilotage de l'externalisation par les BAIT. DORA va plus loin sur la responsabilité de la direction, la notification des incidents et le pilotage des prestataires. La BaFin a publié à ce sujet des notes d'application dont nous nous inspirons dans nos projets.
Nous comparons vos pratiques informatiques aux exigences de DORA en tenant compte de ce qui existe déjà au titre des BAIT.
Vous recevez une liste classée par risque avec une estimation de l'effort, validée avec la conformité et l'audit interne.
Nous mettons en place les droits d'accès, la recertification, le processus de gestion des incidents et le pilotage des prestataires, en collaboration avec vos prestataires actuels.
La documentation est produite au fil du travail. Après la clôture, nous accompagnons étroitement l'exploitation jusqu'à ce que les nouvelles procédures soient bien établies.
Conception et déploiement d'une nouvelle solution ITSM en échange étroit avec l'établissement. Nous avons accompagné le projet de l'implémentation à la mise en production, puis pendant le support post-démarrage.
Résultat : Douze mois entre le lancement du projet et la mise en production, suivis d'une phase pendant laquelle nous avons accompagné étroitement l'exploitation.
Mise à jour :
FAQ
DORA s'applique depuis le 17 janvier 2025 aux entités financières de l'UE. Pour certains établissements de services financiers en Allemagne, le règlement s'applique en vertu de la loi bancaire allemande à partir du 1er janvier 2027.
DORA exige une gestion documentée du risque lié aux TIC, la notification des incidents majeurs, des tests réguliers et le pilotage des prestataires informatiques. En pratique, cela concerne surtout les droits d'accès, la sauvegarde, la journalisation et les contrats.
Plus pour les établissements qui appliquent déjà DORA. La BaFin abroge entièrement les BAIT à l'issue du 31 décembre 2026, et les VAIT, KAIT et ZAIT sont abrogées depuis janvier 2025.
Pour les entités financières qui appliquent DORA, la loi BSI exclut la plupart des obligations NIS2. DORA est ici considéré comme la règle plus spécifique.
Un incident majeur doit être notifié à la BaFin au plus tard quatre heures après sa classification, et au plus tard 24 heures après sa détection. La classification doit donc être préparée sous la forme d'une procédure établie.
Nous conseillons sur ce que DORA signifie concrètement pour votre IT. L'interprétation réglementaire reste du ressort de votre conformité et de votre audit interne, et nous alignons la mise en œuvre sur leurs conclusions.
Parce que le contrôle d'accès fait partie des points qu'un contrôle examine le plus en détail. Sans modèle de rôles, sans arrivées et départs encadrés ni recertification, impossible de prouver que seules les personnes autorisées accèdent aux systèmes.
DORA
Dites-nous où en est votre établissement. Nous vous indiquerons les parties que nous pouvons prendre en charge et celles pour lesquelles d'autres interlocuteurs sont plus indiqués.
