Guide pratique DORA : L'AFG publie un Q&A pour accompagner les sociétés de gestion

Contexte et objectifs du Q&A DORA

L'Association Française de la Gestion financière (AFG) vient de publier un Questions & Réponses dédié au règlement DORA (Digital Operational Resilience Act), applicable depuis le 17 janvier 2025. Cette initiative répond aux nombreuses interrogations des sociétés de gestion concernant la mise en œuvre de ce nouveau cadre réglementaire européen sur la résilience opérationnelle numérique.

Ce Q&A s'inscrit dans une démarche plus large d'accompagnement, complétant les différents 'Points sur' organisés par l'AFG en 2024 sur la cybersécurité. Il vise à fournir des réponses claires et pratiques aux questions fréquemment posées par les professionnels du secteur.

Points clés du dispositif DORA

Le règlement DORA établit un cadre harmonisé pour la gestion des risques liés aux technologies de l'information et de la communication (TIC) dans le secteur financier. Il couvre notamment :

- La gouvernance et le cadre de gestion des risques liés aux TIC

- La gestion des incidents liés aux TIC

- Les tests de résilience opérationnelle numérique

- La gestion des risques liés aux prestataires tiers de services TIC

Il est important de noter que six normes techniques (RTS/ITS) sont encore attendues de la Commission européenne pour compléter le dispositif.

Ressources complémentaires pour la mise en conformité

L'AFG met à disposition plusieurs outils pour faciliter la mise en conformité des sociétés de gestion :

- Un Guide pratique DORA spécifiquement conçu pour les sociétés de gestion

- Le replay et la présentation du 'Point Sur DORA' organisé le 18 octobre 2024

- Des sessions d'information régulières sur la cybersécurité

Quelques pistes pour l'intégration opérationnelle dans votre dispositif :

1. Réaliser un diagnostic de conformité initial en utilisant le Q&A comme référentiel

2. Identifier les gaps et établir une feuille de route de mise en conformité

3. Mettre en place une veille active sur la publication des normes techniques à venir

4. Former les équipes aux nouvelles exigences en matière de cybersécurité

5. Documenter les processus de gestion des risques TIC conformément aux exigences DORA