Le dernier point souligne la nature particulière de DORA : elle ne repose pas uniquement sur l'auto-déclaration ou les audits. Elle est néanmoins structurée davantage comme l'autorité de supervision du commerce allemand, qui peut inspecter les entreprises sur place. En Allemagne, la BaFin et la Bundesbank assumeront ce rôle pour DORA. Le dysfonctionnement informatique mentionné au début de l'article, qui a également eu de graves conséquences en Allemagne, pourrait être un cas ayant conduit le BSI à intervenir auprès des entreprises affectées dans le secteur financier. Cependant, selon Säckel, "il est encore incertain à quoi ressemblerait concrètement un tel audit – les autorités doivent également s'adapter à DORA."
La nouvelle loi sur la sécurité montre que de nombreuses régulations de l'UE suivent une logique interne et ne servent pas à une autosatisfaction bureaucratique : plus l'industrie est critique, plus les règles sont strictes. Mais il y a une bonne nouvelle, selon lui, car "les entreprises financières déjà certifiées ISO sont dans une excellente position de départ."
Elles disposent d'un système de management de la sécurité de l'information (SMSI) comme base solide. DORA étend cette base en incluant des exigences spécifiques pour améliorer la résilience numérique.
À l'instar de l'ISO/IEC 27001, DORA met fortement l'accent sur la gestion des actifs informatiques. Elle exige une documentation et une évaluation détaillées de toutes les ressources informatiques afin de déterminer leur besoin de protection. Cela est complété par une gestion des risques globale qui identifie et évalue les menaces. DORA exige également que les partenaires externes répondent aux exigences. Ainsi, les entreprises financières n'auront d'autre choix que de vérifier leurs prestataires de services et de leur demander des déclarations de conformité.
Se renforcer, car les cybercriminels ne dorment jamais
Dans la pratique, DORA entraîne des exigences claires. Par exemple, les entreprises financières doivent prendre des précautions pour la sauvegarde et la restauration. Ce faisant, elles doivent mettre en place des processus garantissant l'intégrité et la disponibilité des sauvegardes. Il est particulièrement important de déterminer le risque de perte de données, c'est-à-dire les dommages potentiels causés par une défaillance informatique et le temps nécessaire à l'entreprise pour reprendre ses opérations normales. "Ces deux indicateurs aident à développer une stratégie de reprise après sinistre."
C'est le composant le plus important de la gestion de la continuité des affaires (BCM). Dans les entreprises financières, cela englobe bien plus que la simple récupération des opérations informatiques. Il est donc important que tous les plans d'urgence dans le cadre du BCM soient pratiques. Ils doivent être régulièrement revus et testés lors d'exercices d'urgence pour s'assurer qu'ils fonctionnent en situation de crise. Cela inclut également un test de la sauvegarde des données et de la récupération côté informatique. Les deux doivent fonctionner sans accroc, et les données et systèmes récupérés doivent être fonctionnels après la sauvegarde. Cela ne peut être réalisé que par des tests pratiques. Cependant, les entreprises devraient "s'abstenir de mettre en œuvre DORA & Co. en une seule étape. Les exigences de l'UE appellent à un processus d'amélioration continue."
Cela a du sens dans le domaine dynamique de l'informatique et les évolutions parfois tumultueuses de la cybersécurité. Par conséquent, le cycle PDCA (Plan-Do-Check-Act) est un composant central de DORA. Compte tenu de la nature dynamique de la cybercriminalité, il favorise le développement continu des mesures de sécurité. Les obligations légales en vertu de la NIS-2 et de DORA garantissent que le secteur financier, en tant que partie de l'infrastructure critique, fasse tout ce qui est en son pouvoir pour être particulièrement sécurisé.
