Le règlement européen DORA étant entré en vigueur le 17 janvier 2025, de nombreuses entreprises sont d’ores et déjà contraintes d’être conformes aux attentes du règlement dans le secteur de la finance et de l’assurance. Ainsi, si ces activités étaient déjà bien suivies en termes de conformité par les autorités telles que l’AMF (Autorité des Marchés Financiers) ou l’ACPR (Autorité de Contrôle Prudentiel et de Résolution) qui délivrent les accréditations pour pouvoir travailler sur ces marchés et s’assurent du reporting obligatoire des entreprises, c’est aujourd’hui une quasi-découverte de la réalité du monde de la cybersécurité, a minima pour toutes les PME qui la composent, ainsi que pour leurs prestataires tiers. Avec une obligation de déclaration de la liste de leurs prestataires au mois d’avril 2025 et de déclaration des incidents majeurs auprès de chaque autorité référente depuis fin janvier c’est le branle-bas de combat pour de nombreux acteurs du métier. Jusqu’à présent, les responsables de conformité et les bureauticiens étaient les seuls en mesure d’accompagner ces métiers peu connus, mais il leur faut aujourd’hui de véritables professionnels de la cyber pour détricoter les attentes du règlement.
Pour le contenu explicite du règlement, nous invitons le lecteur à se reporter à l’article que nous avions déjà rédigé dans un magazine précédent et qui s’appelle « Dora, Dora, Dora » [MISC].
1. Un début compliqué
Si le texte est connu maintenant depuis de nombreuses années, les détails de son implémentation sont délivrés au compte-gouttes par le législateur. Ainsi la présence de la cybersécurité dans l’ADN des sociétés concernées n’est peu, voire pas, présente. Aucune habitude n’est constatée autour de l’appréciation des risques qui est singulièrement absente, une hygiène cybersécurité extrêmement faible et une délégation totale du sujet de l’informatique et de la cybersécurité à leur prestataire IT. Bien sûr, la confiance n’excluant pas le contrôle, l’AMF a mis en place très tôt la déclaration des PSEE (Prestataire de Services Essentiels Externalisé), mais le travail nécessaire à la protection ne semble pas avoir abouti au niveau escompté. Pire que…
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
