Un règlement, pas une directive
À la différence de NIS2, DORA s’applique directement dans chaque État membre sans transposition, et il est lex specialis pour le secteur financier : là où les deux textes pourraient s’appliquer, DORA prévaut. Ses exigences sont précisées par des normes techniques de réglementation et d’exécution des autorités européennes de surveillance, qui fixent les modèles du registre d’information, les critères de classification des incidents, le contenu du cadre de risque TIC et le régime des tests d’intrusion fondés sur la menace.
Les cinq piliers en pratique
Gestion du risque TIC : un cadre documenté, approuvé par l’organe de direction, avec identification et classification des fonctions supportées par les TIC, protection, détection, réponse et rétablissement. Gestion des incidents : classification des incidents TIC et notification des incidents majeurs à l’autorité compétente par rapports initial, intermédiaire et final. Tests : un programme incluant des tests d’intrusion fondés sur la menace pour les entités désignées. Risque tiers : une stratégie, le registre d’information, des clauses contractuelles, des plans de sortie. Partage d’informations : échange volontaire de renseignement sur les menaces.
Ce qu’il exige de la gouvernance
DORA dit explicitement que l’organe de direction porte la responsabilité ultime du risque TIC, approuve le cadre et la stratégie, fixe la tolérance au risque, est informé des incidents majeurs et entretient ses propres connaissances. Pour un conseil, cela se traduit par une appétence au risque TIC, un reporting qui mesure contre elle, un registre des dépendances TIC critiques qu’il a vu, et un programme de tests dont il a lu les résultats. Le superviseur peut demander les quatre.