DORA - Digital Operational Resilience Act

Le règlement DORA vise à harmoniser les exigences existantes en matière de gestion des risques associés aux fournisseurs de services TIC externes. Parmi les obligations imposées aux entités financières, celles-ci doivent établir une stratégie concernant les risques liés aux tiers prestataires de services informatiques.

L’objectif de DORA est explicitement défini dans son considérant 105, un préambule qui précède le texte de loi et expose ses motivations : « atteindre un niveau élevé de résilience opérationnelle numérique pour toutes les entités financières réglementées ».

Mais concrètement, qu’entend-on par « résilience opérationnelle numérique » ? Selon le texte même de DORA, cela se réfère à : “la capacité d’une entité financière à développer, garantir et réévaluer son intégrité et sa fiabilité opérationnelles en assurant directement ou indirectement par le recours aux services fournis par des prestataires tiers de services TIC, l’intégralité des capacités liées aux TIC nécessaires pour garantir la sécurité des réseaux et des systèmes d’information qu’elle utilise, et qui sous-tendent la fourniture continue de services financiers et leur qualité, y compris en cas de perturbations” – DORA, Article 3(1)

Le Règlement sur la résilience opérationnelle du numérique concerne 21 types d’entités. Les voici comme décrites dans l’Article 2 :

• les établissements de crédit;
• les établissements de paiement, y compris les établissements de paiement exemptés en vertu de la directive (UE) 2015/2366;
• les prestataires de services d’information sur les comptes;
• les établissements de monnaie électronique, y compris les établissements de monnaie électronique exemptés en vertu de la directive 2009/110/CE;
• les entreprises d’investissement;
• les prestataires de services sur crypto-actifs et les émetteurs de jetons se référant à un ou des actifs;
• les dépositaires centraux de titres;
• les contreparties centrales;
• les plateformes de négociation;
• les référentiels centraux;
• les gestionnaires de fonds d’investissement alternatifs;
• les sociétés de gestion;
• les prestataires de services de communication de données;
• les entreprises d’assurance et de réassurance;
• les intermédiaires d’assurance, les intermédiaires de réassurance et les intermédiaires d’assurance à titre accessoire;
• les institutions de retraite professionnelle;
• les agences de notation de crédit;
• les administrateurs d’indices de référence d’importance critique;
• les prestataires de services de financement participatif;
• les référentiels des titrisations;
• les prestataires tiers de services TIC

Sont exclus du champ d’application de DORA :

• les gestionnaires de fonds d’investissement alternatifs visés à l’Article 3(2) de la directive 2011/61/UE;
• les entreprises d’assurance et de réassurance en fonction de leur taille, telles que visées à l’Article 4 de la directive 2009/138/CE;
• les institutions de retraite professionnelle qui gèrent des régimes de retraite qui, ensemble, ne comptent pas plus de quinze affiliés au total;
• les personnes physiques ou morales exemptées en vertu des Articles 2 et 3 de la directive 2014/65/UE;
• les intermédiaires d’assurance, intermédiaires de réassurance et intermédiaires d’assurance à titre accessoire qui sont des micro-entreprises ou des PME. La définition est donnée dans l’article 4(60) de DORA : qui emploie moins de dix personnes et dont le CA annuel et/ou le total du bilan annuel n’excède pas 2 millions d’euros;
• les offices des chèques postaux visés à l’article 2(5.3), de la Directive 2013/36/UE.

A noter que les États membres peuvent choisir d’exclure du scope de DORA certaines entités nationales de crédit ou d’investissement très spécifiques, telles que visées à l’Article 2(5) de la directive 2013/36/UE. En France par exemple, l’Etat pourrait choisir d’épargner la Caisse des dépôts et consignations.