Catégorie : LCAP

DORA : l’échéance du 17 janvier 2025 est passée, la conformité continue Cet article a été initialement publié avant l’entrée en application de DORA, alors que les organisations concernées se préparaient à l’échéance du 17 janvier 2025. Depuis cette date, le règlement Digital Operational Resilience Act (DORA) est pleinement applicable dans l’Union européenne et impose aux entités financières concernées de renforcer leur résilience opérationnelle numérique face aux risques liés aux technologies de l’information et de la communication (TIC). À l’approche de cette échéance, selon une étude menée par le cabinet d’audit et de conseil Grant Thornton, 75 % des entreprises soumises à DORA avaient engagé, fin 2023, de premiers travaux de mise en conformité, mais la majorité d’entre elles n’en étaient encore qu’aux étapes initiales du projet. Cette donnée illustrait alors l’ampleur du travail restant à accomplir avant l’entrée en application du règlement. Aujourd’hui, l’enjeu n’est plus seulement de se préparer à DORA, mais d’inscrire ses exigences dans la durée et de pouvoir démontrer les mesures effectivement mises en œuvre. Chez ROK Solution, nous intervenons sur la dimension organisationnelle de cette conformité : relier les personnes, les rôles, les responsabilités, les droits d’accès et les workflows à l’organisation réelle, puis conserver une traçabilité exploitable et des preuves auditables des décisions et actions réalisées. Qu’est-ce que DORA et pourquoi est-elle essentielle ? La Digital Operational Resilience Act (DORA) établit un cadre réglementaire commun pour garantir que les institutions financières peuvent résister, se rétablir et poursuivre leurs activités en cas de perturbations liées aux TIC. Cette réglementation harmonise les pratiques de résilience numérique dans tout l’écosystème financier européen. DORA est essentielle car elle : Renforce la sécurité numérique : Réduit les vulnérabilités et les risques IT. Protège la continuité des services financiers : Garantit la résilience des services critiques en cas de crise. Harmonise les pratiques européennes : Établit des standards communs pour anticiper et répondre aux menaces. Périmètre d’application : DORA s’applique à un large éventail d’acteurs du secteur financier européen, notamment : Établissements financiers : établissements de crédit, entreprises d’investissement, assurances et réassurances, sociétés de gestion et autres entités financières couvertes par le règlement. Fintechs et établissements de paiement : acteurs financiers numériques entrant dans le périmètre défini par DORA. Prestataires tiers de services TIC : DORA encadre les risques liés à leur utilisation et prévoit un dispositif européen de supervision spécifique pour ceux désignés comme critiques. Ce cadre vise à mieux maîtriser les dépendances numériques internes et externes du secteur financier. Objectifs principaux : Les principaux objectifs de DORA sont : Renforcer la gestion des risques TIC : mieux identifier, prévenir et maîtriser les risques susceptibles d’affecter les systèmes et services numériques. Renforcer la continuité et la résilience opérationnelle : améliorer la capacité des organisations à résister, répondre et se rétablir face aux perturbations liées aux TIC. Créer un cadre européen harmonisé : établir des exigences communes de résilience opérationnelle numérique dans le secteur financier. Renforcer la gouvernance : clarifier les responsabilités et le rôle des organes de direction dans la gestion des risques liés aux TIC. Exigences clés : Le règlement DORA est applicable depuis le 17 janvier 2025. Il impose aux entités financières concernées un cadre commun en matière de gestion des risques TIC, de gestion et de notification des incidents, de tests de résilience opérationnelle numérique et de maîtrise des risques liés aux prestataires tiers de services TIC. En cas de manquement, les autorités compétentes disposent de pouvoirs de surveillance, de mesures correctives et de sanction. Les règles relatives aux sanctions administratives sont définies par les États membres conformément au cadre prévu par le règlement. Gestion des risques TIC : Mettre en place un cadre documenté permettant d’identifier, de protéger et de maîtriser les actifs, systèmes et services TIC ainsi que les risques associés. Continuité et résilience opérationnelle : Prévoir des dispositifs de continuité, de réponse et de rétablissement ainsi qu’un programme de tests de résilience adapté aux risques de l’organisation. Gestion des incidents TIC : Disposer de processus permettant d’identifier, de gérer, de classifier et, lorsque cela est requis, de notifier les incidents majeurs liés aux TIC. Gestion des prestataires tiers : Encadrer les risques liés aux fournisseurs de services TIC, documenter les relations contractuelles et maintenir les informations nécessaires à leur gouvernance. Traçabilité et reporting : Conserver les informations, décisions, actions et éléments de preuve nécessaires au suivi des obligations et aux échanges avec les autorités compétentes. Gouvernance et responsabilités : Définir clairement les rôles, responsabilités et mécanismes de gouvernance permettant de piloter la résilience opérationnelle numérique. Comment ROK Solution vous aide à couvrir les exigences de DORA ROK n’a pas vocation à remplacer les outils de cybersécurité, de détection d’incidents ou de tests de résilience. La plateforme intervient sur la gouvernance organisationnelle : elle relie les personnes, les rôles, les droits d’accès, les processus et les preuves nécessaires au suivi de la conformité. 1. Ancrer les droits dans l’organisation réelle Un droit d’accès ne devrait pas être attribué indépendamment du contexte organisationnel de son titulaire. ROK relie les identités et les droits aux postes, rôles, responsabilités, entités et rattachements réels de l’organisation. Lorsqu’un collaborateur arrive, change de fonction ou quitte l’entreprise, les processus de modification ou de retrait des droits peuvent être déclenchés à partir de ce changement organisationnel. 2. Orchestrer les workflows et les validations Les obligations de conformité impliquent de nombreuses actions réparties entre les équipes IT, sécurité, conformité, métiers et management. ROK permet de modéliser et d’automatiser ces workflows : demandes, validations, tâches, notifications, collecte d’informations et escalades. Chaque étape reste associée aux personnes et responsabilités définies dans l’organisation. 3. Structurer la gouvernance des tiers ROK permet de rattacher les prestataires et populations externes à un sponsor, une entité, une mission, un périmètre et une durée. Les workflows associés peuvent organiser les validations, les échéances, les revues et les actions liées aux droits d’accès. ROK ne réalise pas l’audit cyber du fournisseur : il permet d’orchestrer le processus et d’en conserver la trace. 4. Produire une preuve auditable Chaque changement