DORA : Entrée en application le 17 janvier 2025 - Guide pratique pour les entités financières

Contexte et enjeux de l'entrée en vigueur de DORA

Le règlement DORA (Digital Operational Resilience Act) entre en application le 17 janvier 2025, marquant une étape majeure dans le renforcement de la résilience opérationnelle numérique du secteur financier européen. La CSSF (Commission de Surveillance du Secteur Financier) a publié des instructions détaillées pour accompagner les entités financières dans cette transition réglementaire.

Nouvelles obligations de reporting et modalités pratiques

Les entités financières doivent désormais se conformer à de nouvelles exigences de reporting, notamment :

- L'obtention obligatoire d'un code LEI

- La création d'un rôle spécifique 'IT incident notifier' sur eDesk

- La notification des incidents ICT majeurs et des cybermenaces significatives via une nouvelle procédure dédiée

- La soumission d'un registre d'informations entre le 1er et le 15 avril 2025

Impact sur les circulaires existantes et adaptations nécessaires

DORA prend désormais la précédence sur les éléments qui se chevauchent dans les circulaires CSSF existantes, notamment :

- CSSF 20/750 sur la gestion des risques ICT

- CSSF 22/806 sur l'externalisation

- CSSF 24/847 sur le reporting des incidents ICT

Modalités spécifiques pour l'externalisation du reporting

Les entités souhaitant externaliser leurs obligations de reporting doivent en informer la CSSF au préalable en fournissant :

- Les coordonnées du prestataire tiers

- Les informations sur les personnes responsables du reporting

Quelques pistes pour l'intégration opérationnelle dans votre dispositif :

1. Mettre en place immédiatement les prérequis techniques (LEI et accès eDesk)

2. Réviser les procédures internes de reporting des incidents pour intégrer les nouveaux formats et délais

3. Préparer le registre d'informations en format CSV selon les spécifications techniques

4. Former les équipes aux nouvelles exigences de reporting et aux outils associés

5. Mettre à jour la documentation relative à la gouvernance ICT pour refléter les nouvelles exigences DORA