Cinq considérations clés sur la loi sur la résilience opérationnelle numérique (DORA) (Omkar Nisal)

Le 24 septembre 2020, la Commission européenne a publié le premier projet de proposition de loi sur la résilience opérationnelle numérique (DORA) dans le cadre du paquet finance numérique (DFP). L’objectif est de guider les institutions financières à travers les complexités de la cryptographie.
actifs, la technologie blockchain et la résilience opérationnelle numérique, ainsi que des conseils sur une stratégie renouvelée de paiement de détail. Malgré les avantages qu’apportera le DORA, pour de nombreuses entreprises, il sera difficile de s’adapter aux changements requis.
Voici cinq points clés à considérer pour garantir la conformité à la Loi.

 1.       Qu'est-ce que le DORA et pourquoi est-il important ?

 La nouvelle loi fournira aux principaux acteurs financiers européens les garanties nécessaires pour atténuer les cyberattaques et autres risques liés aux TIC ou basés sur l'informatique.

 La DORA constituera bientôt une loi contraignante couvrant chacun des États membres de l’UE et les institutions de services financiers qui opèrent en leur sein. Alors pourquoi est-ce important pour le Royaume-Uni ?

 Bien qu’il ne soit plus membre de l’UE, le Royaume-Uni reste l’une des principales places financières européennes. Les organisations britanniques de services financiers actives sur le marché européen – privées ou publiques – opérant au sein de l’UE devront bientôt se conformer à ces directives.
réglementations – faisant du DORA un élément essentiel de toutes les pratiques commerciales du Royaume-Uni.

 2.       Le poids législatif de la DORA

 Le poids législatif important de cette nouvelle loi européenne est une autre raison importante pour laquelle les organisations de services financiers britanniques devraient commencer à réfléchir à la conformité. L'autorité des services financiers de chaque pays européen assumera le rôle de conformité
surveiller et appliquer la réglementation si nécessaire. De lourdes amendes seront infligées aux institutions qui ne respecteront pas les nouvelles réglementations, ce qui entraînera une baisse des bénéfices et une atteinte potentielle à leur réputation.

 Cela signifie que des sanctions importantes peuvent être imposées par le surveillant principal en cas de non-conformité. Ces sanctions importantes prendront la forme d'une astreinte de 1% du chiffre d'affaires global journalier moyen de l'organisation dans l'activité précédente.
année. Ceci sera appliqué quotidiennement par le superviseur principal jusqu’à ce que la conformité soit atteinte pendant une période ne dépassant pas six mois.

 3.       Comprendre votre état de vulnérabilité

 Lorsqu'il s'agit de cyber-risques et de résilience, disposer d'une « cyber-assurance » à elle seule n'est tout simplement pas suffisant : des informations constantes sur l'état des risques sont également vitales. L'omniprésence de la technologie dans les activités des entreprises d'aujourd'hui et sa connectivité s'étendent à l'ensemble des normes
ressources technologiques physiques présentes dans les opérations quotidiennes : des TIC, des guichets automatiques, des ordinateurs portables, des caméras des salles de conférence, à tous les domaines virtuels du cloud, sur site, en passant par l'IA et les innovations quantiques.

 La loi aide les parties prenantes et les décideurs à mieux comprendre l’état interne des risques et de la vulnérabilité subis par leurs entreprises. Dans sa plus récente

rapport sur l'entreprise de résilience, le gouvernement britannique a confirmé que le déficit de protection en matière d'assurance reste élevé en ce qui concerne la cybersécurité : « 90 % de toutes les cyber-pertes ne sont toujours pas assurées ».

 Le DORA aidera les institutions financières britanniques à relever le défi plus large consistant à fournir aux parties prenantes et aux décideurs responsables la bonne visibilité sur les actifs critiques et la situation des actifs, qui définissent la fiabilité et l'efficacité des
leurs prestations.

 4.       Qu’est-ce qui entre dans le champ d’application de la Loi ?

 Une fois finalisée, la loi s'appliquera à un large éventail d'entités financières, notamment les établissements de crédit, les établissements de monnaie électronique, les entreprises d'investissement, les entreprises d'assurance et de réassurance. Mais ce ne sont pas seulement les institutions de services financiers
qui sont impactés. Dans le cadre de la DORA, les « fournisseurs tiers de TIC critiques » (CTPP), y compris les fournisseurs de services cloud (CSP), entreront dans le périmètre réglementaire des normes européennes pour les tests de résilience opérationnelle numérique.

 Un autre élément de nouveauté est la normalisation des directives de gestion des risques liés aux TIC, de la classification des incidents et des rapports dans l'ensemble des secteurs des services financiers. L’harmonisation de ces actifs critiques ouvre la porte aux entités financières pour qu’elles s’établissent
dans les frontières sécurisées d’une plateforme européenne unifiée contre les cybermenaces.

 Toutes les entités britanniques opérant sur le marché financier européen devront se conformer à la loi comme prérogative fondamentale pour affirmer leur visibilité sur le marché et comme moyen de légitimité pour entamer des partenariats en son sein.

 5.       Des outils spécialisés qui peuvent vous aider à mettre en place un plan DORA

 Certaines organisations utilisent encore des processus manuels et des feuilles de calcul pour capturer, gérer et signaler la conformité de l'entreprise, la gestion des risques et les changements réglementaires dans l'ensemble de l'entreprise. Ces feuilles de calcul statiques s'effondrent rapidement lorsqu'il s'agit de gérer et de suivre
tous les efforts complexes de gouvernance, de risque et de conformité au sein d’une organisation.

 Les institutions doivent garantir une stricte conformité à la DORA et peuvent donc avoir besoin d'une assistance adéquate de la part d'outils informatiques spécialisés capables de les aider à rechercher, documenter, gérer et classer les actifs tout en évaluant les niveaux de risque des actifs relevant de la DORA.
portée.

 Les plateformes de sécurité spécialisées peuvent constituer la solution la plus rentable pour résoudre ces problèmes tout en respectant l’évolution du paysage réglementaire financier. Ces plateformes spécialisées aident à identifier de nouveaux types de points finaux (tels que les caméras des salles de conférence)
et peut s'interfacer avec les outils existants, lorsqu'ils existent, pour fournir un registre précis des actifs. L’objectif principal de ces plateformes est de réduire de manière transparente les angles morts de la résilience opérationnelle et de protéger le personnel face aux événements opérationnels indésirables.
en anticipant, en prévenant et en s’adaptant à de tels événements.

 En conclusion

 Donc, pour résumer, les institutions financières doivent s’assurer qu’elles seront conformes à la DORA, sinon elles risquent des astreintes périodiques non négligeables. Pour devenir conformes, les organisations doivent identifier tous les actifs qui présentent actuellement
un risque pour les processus clés. Les organisations doivent ensuite comprendre le niveau de risque que présente chaque actif afin de garantir que les mesures d’atténuation sont prises en compte. Il existe sur le marché des outils spécialisés qui peuvent aider les organisations à trouver, documenter, gérer et classer
leurs atouts. Parlez à un spécialiste informatique pour voir comment il peut aider votre organisation avec tout cela.