Le secteur bancaire de l'UE sera-t-il prêt à se conformer à la loi DORA ?

En janvier 2025, les institutions financières européennes seront confrontées à un test majeur : la loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, DORA).  

DORA combine les règles de risque et de résilience des TIC dans un cadre unifié. Mais les organisations financières seront-elles prêtes ?

Nombreux sont ceux qui mènent une course contre la montre. Les délais serrés et l'évolution des normes rendent la préparation plus difficile.

Comme l'explique Raghu Nandakumara, directeur principal du marketing des solutions industrielles chez Illumio, "les banques auraient bénéficié de normes techniques plus claires plus tôt. Les normes ont été introduites en deux vagues : la première au début de 2022 et la seconde à la mi-2024. Il reste donc moins de 12 mois avant la date limite du 17 janvier.

Déballage de DORA

Quelles sont les exigences du DORA en matière de délai ? Il ne s'agit pas seulement de protéger les systèmes. L'accent est mis sur le maintien des services essentiels, même en cas de perturbation.

Pour satisfaire aux normes du DORA, les institutions financières doivent :

• Tester régulièrement les systèmes TIC

• Gérer les risques avec des fournisseurs tiers

• Veiller à ce que les services essentiels restent opérationnels, quoi qu'il arrive

"DORA a un objectif clair : réduire l'impact des incidents. L'approche ? Partez du principe qu'il y aura des failles". - Raghu Nandakumara

Les 6 principaux défis de la conformité DORA

1. Des délais serrés, des normes qui évoluent

Les règles expliquant les exigences de DORA, appelées normes techniques réglementaires (RTS), ont été publiées tardivement. La première version est sortie en janvier 2024, et la seconde en juillet. Avec moins d’un an pour se préparer, remplir les exigences s’est transformé en une course contre la montre.

2. Gestion des fournisseurs tiers

Les fournisseurs tiers — comme les hyperscalers et les fournisseurs de services gérés (MSP) — sont essentiels aux services financiers. Mais voici le défi : qui décide si un fournisseur relève du champ d’application de la DORA ? « Est-ce que c’est l’institution financière ou le régulateur qui décide de cela ? » demande Raghu.

Pour les plus petits MSP, les obstacles sont encore plus importants. La conformité dépend de leur rôle dans les processus financiers. En l'absence de règles claires, il est difficile de savoir ce qui est requis. Pour y remédier, il faut deux choses :

• Des lignes directrices plus claires

• Collaboration plus étroite avec les fournisseurs

3. Aligner la gouvernance et le leadership

DORA place la résilience opérationnelle au sommet de l’agenda du leadership. Les conseils doivent :

• Fixer des limites claires aux risques liés aux TIC

• Suivi des incidents majeurs

• Veiller à ce que les bonnes ressources soient en place

Pourtant, de nombreuses organisations ne disposent pas de la structure et de la sensibilisation nécessaires pour atteindre ces objectifs.

4. Essais et amélioration constante

Les tests jouent un rôle clé dans la conformité à la DORA. Les organisations doivent :

• Effectuer des tests de résilience annuels sur les systèmes TIC

• Effectuer des tests de pénétration avancés tous les trois ans

"Les tests permettent d'identifier les lacunes et d'élaborer des plans d'amélioration, ce qui permet de progresser vers la maturité. Cependant, ces tests nécessitent beaucoup de ressources et un travail d'équipe entre les différents services et fournisseurs. - Raghu Nandakumara

5. Construire une culture de la résilience

DORA ne consiste pas à cocher des cases. Il s'agit de rester préparé. Le leadership doit :

• Promouvoir la résilience opérationnelle

• Favoriser le travail d'équipe entre les services

Un changement de culture peut s'avérer essentiel pour une réussite à long terme.

6. Le déficit de compétences : Une pression croissante

L’écart mondial de la main-d’œuvre en cybersécurité — estimé à 4 millions — aggrave les défis du DORA. Un programme de conformité solide peut alléger cette pression. Cela simplifie les efforts tout en apportant des bénéfices opérationnels plus larges.

"Les nouveaux mandats de DORA ajoutent de la pression aux opérations de sécurité, à la politique et aux équipes d'audit." - Raghu Nandakumara

Comment DORA et Zero Trust s'harmonisent-ils ?

Le DORA mentionne-t-il la confiance zéro? Pas directement. Mais ses idées clés - comme l'accès au moindre privilège et la surveillance continue - sont très proches.

La philosophie de Zero Trust, "ne jamais faire confiance, toujours vérifier", réduit les risques en faisant en sorte que chaque utilisateur, appareil, application et charge de travail soit authentifié avant d'avoir accès à .

En quoi cela permet-il de faire face aux plus grands risques cybernétiques actuels ?

• Stoppez les ransomwares: Réduisez l'impact des attaques de ransomware en limitant leur propagation sur le réseau.

• Sécurise le nuage: Des politiques dynamiques protègent le nuage hybride.

• Gérer les risques liés aux tiers: Limitez l'accès des fournisseurs aux systèmes critiques. Contrôlez l'accès des fournisseurs aux systèmes critiques.

Compte à rebours jusqu'au 17 janvier

Le temps presse. Les tests, la supervision par des tiers et la planification de la résilience ne sont pas optionnels. Cela nécessite des stratégies proactives et un changement culturel vers la résilience.  

Comme l’a expliqué Raghu, « L’UE veut le progrès, pas la perfection. Ils veulent voir comment les organisations interprètent les exigences et ce qu’elles ont accompli. »

Vous souhaitez en savoir plus sur la conformité à la loi DORA ? Téléchargez notre livre électronique gratuit, Stratégies de mise en conformité avec la loi DORA : Le rôle clé de la microsegmentation. Découvrez comment la microsegmentation peut améliorer la sécurité de votre organisation.