Règlement DORA pour les fintechs : risque TIC et risque tiers

Définition

DORA est un règlement : il s'applique donc directement dans tous les États membres, complété par des normes techniques. Il repose sur cinq piliers. La gestion du risque lié aux TIC exige un cadre documenté couvrant l'identification, la protection, la détection, la réponse et le rétablissement, l'apprentissage et la communication, l'organe de direction en ayant la responsabilité ultime. La gestion des incidents liés aux TIC exige la classification des incidents et la notification des incidents majeurs à l'autorité compétente dans des délais fixés. Les tests de résilience opérationnelle numérique exigent un programme de tests proportionné à l'entité ; certaines entités désignées par les autorités doivent en outre se soumettre à des tests de pénétration fondés sur la menace selon des règles spécifiques. La gestion du risque lié aux prestataires tiers de services TIC exige un registre d'informations sur tous les accords de services TIC, une évaluation des risques avant la conclusion d'un contrat, des clauses contractuelles spécifiques et des stratégies de sortie. Le partage d'informations sur les menaces est encouragé au sein de communautés de confiance. La proportionnalité s'applique partout, et une liste définie d'entités plus petites, comme les petites entreprises d'investissement non interconnectées et certains établissements de paiement et de monnaie électronique exemptés, peut appliquer le cadre simplifié de gestion du risque lié aux TIC prévu à l'article 16.

Public concerné

Ce guide s'adresse :

• Aux fintechs agréées de paiement, de monnaie électronique, de crypto-actifs, d'investissement et autres qui figurent dans la liste des entités financières de DORA
• Aux responsables conformité, risques et technologie qui construisent ou revoient un programme DORA
• Aux prestataires TIC et éditeurs de logiciels qui servent des entités financières et reçoivent des exigences contractuelles liées à DORA
• Aux fondateurs qui doivent expliquer les attentes de DORA à leurs investisseurs ou à leur conseil d'administration

Ce qu'il aide à clarifier

Examiner les piliers permet de clarifier :

• Quelles fonctions critiques ou importantes votre activité soutient et de quels systèmes TIC elles dépendent
• Si votre registre des prestataires tiers et vos contrats contiennent ce qu'attend DORA
• Ce que votre programme de tests de résilience doit inclure compte tenu de votre taille et de votre profil de risque
• Où manquent des preuves techniques pour étayer les documents de gouvernance

Ce qui est inclus

• Gouvernance : confirmer l'approbation et la supervision du cadre de risque TIC par l'organe de direction, et documenter les rôles
• Cartographie des actifs et des fonctions : identifier les fonctions critiques ou importantes ainsi que les systèmes, données et prestataires qui les sous-tendent
• Protection et détection : examiner le contrôle d'accès, la MFA, la journalisation et la surveillance de ces systèmes
• Gestion des incidents : définir les critères de classification, les décideurs et le processus de notification des incidents majeurs
• Continuité : tester la sauvegarde, la restauration et les objectifs de reprise des fonctions critiques
• Programme de tests : planifier des évaluations de vulnérabilités, des tests de scénarios et des tests d'intrusion proportionnés au risque
• Registre des tiers : lister tous les accords TIC avec la fonction, les données, la localisation et les détails de sous-traitance
• Contrats : vérifier la présence des clauses requises, comme la description des services, la localisation des données, les droits d'audit et d'accès, l'assistance en cas d'incident et les conditions de sortie
• Stratégies de sortie : documenter la manière dont vous quitteriez un prestataire critique
• Risque de concentration : relever les cas où plusieurs fonctions critiques reposent sur un même prestataire

Ce qui n'est pas inclus

• Un conseil juridique ou une interprétation réglementaire propre à votre agrément
• Des tests de pénétration fondés sur la menace dans le cadre d'un dispositif désigné par le régulateur
• Le dépôt de rapports d'incident ou de registres auprès des autorités
• Une certification ou une approbation de conformité

Quand le choisir

Utilisez ce guide lorsque vous préparez ou revoyez votre programme DORA, avant de renouveler les contrats avec vos principaux prestataires TIC et avant d'arrêter votre plan de tests annuel. Si votre autorité compétente a publié des orientations ou formulé des demandes spécifiques, suivez-les en priorité. Les fournisseurs qui servent des entités financières peuvent s'appuyer sur la section consacrée aux tiers pour anticiper les demandes contractuelles et d'audit. Cet article constitue une information générale et non un conseil juridique.

Notre approche

La plupart des fintechs constatent que la documentation existe mais que les preuves techniques sont minces. Commencez par cartographier les fonctions critiques en les reliant aux systèmes et aux prestataires ; ce seul exercice alimente le registre, le périmètre des tests et la planification de la continuité. Rassemblez ensuite des preuves du fonctionnement réel des contrôles clés. Notre service Security Baseline Review peut fournir une vue écrite, classée par gravité, des actifs convenus, ce qui aide à montrer où en sont la configuration et les contrôles d'accès. Pour les tests d'applications et d'API dans le cadre du programme de tests de résilience, notre service Penetration Testing travaille à partir d'un périmètre et d'une autorisation écrits et fournit des constatations classées par gravité, avec un contre-test des constatations convenues lorsqu'il est inclus. Les deux complètent les tests fondés sur la menace désignés par le régulateur, le conseil juridique et l'approbation de conformité, qui suivent leurs propres processus. Datez chaque élément de preuve et reliez-le à la fonction qu'il soutient, afin de pouvoir répondre aux revues de direction et aux questions des autorités de supervision à partir de registres plutôt que de mémoire.

Security Baseline Review

Foire aux questions

Articles connexes