Articles structurants documentés dans la cartographie ACF.
L'organe de direction est ultime responsable. Cadre formel écrit, revu au moins annuellement, incluant stratégie, gouvernance, rôle et responsabilités.
Identifier, classifier et documenter en continu toutes les fonctions critiques ou importantes, leurs dépendances, et les actifs TIC qui les supportent. Cartographie à jour.
Mesures techniques et organisationnelles : architecture sécurisée, gestion des identités/accès, chiffrement, protocoles ; mécanismes de détection en temps réel des activités anormales.
Politiques de continuité TIC, plans de reprise, sauvegardes et restaurations testées régulièrement. RTO/RPO définis pour les fonctions critiques.
Classification des incidents (critère de gravité ESA harmonisé), seuils de notification, rapports initiaux/intermédiaires/finaux à l'autorité compétente, et communication aux clients quand pertinent.
Programme de tests proportionné (vulnerability scan, scenario testing, penetration testing). Pour entités significatives : Threat-Led Penetration Testing (TLPT) tous les 3 ans.
Stratégie tiers TIC, due diligence préalable, registres des accords contractuels, clauses minimales obligatoires (art. 30), notification à l'autorité avant tout accord supportant une fonction critique.
Les fournisseurs tiers TIC désignés critiques (« Critical Third-Party Providers » / CTPP) par les autorités européennes de surveillance sont supervisés directement par un superviseur principal (« Lead Overseer »). Pouvoirs d'enquête, demandes d'information, recommandations, sanctions.
Dispositif volontaire de partage de cyber threat intelligence entre entités financières dans le respect des règles concurrence et données personnelles.
Pouvoirs d'enquête, d'inspection sur place, et sanctions administratives par les autorités compétentes nationales. Sanctions pécuniaires périodiques (1 % du CA quotidien moyen) pour les CTPP en cas de non-conformité.
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Faire approuver le cadre de gestion du risque TIC par l'organe de direction (art. 5)
Tenir une cartographie à jour des fonctions critiques et des actifs TIC (art. 8)
Mettre en place mesures de protection / détection / response / recovery (art. 9-12)
Classifier et notifier les incidents TIC majeurs aux autorités compétentes (art. 17-19)
Tester régulièrement la résilience opérationnelle numérique (art. 24-26)
Réaliser un Threat-Led Penetration Testing (TLPT) tous les 3 ans (art. 26-27)
Si : entité désignée par autorité compétente comme significative
Adopter une stratégie de gestion du risque tiers TIC (art. 28)
Tenir un registre des accords contractuels TIC (art. 28(3))
Inclure les clauses obligatoires DORA dans les contrats tiers TIC (art. 30)
Notifier l'autorité compétente avant tout accord supportant une fonction critique (art. 28(3))
Documenter et tester une stratégie de sortie pour les fournisseurs critiques TIC (art. 28(8))
Sanctions administratives applicables aux entités financières (montants fixés par les États membres dans les limites DORA)
Astreintes périodiques imposées aux fournisseurs tiers TIC critiques (« CTPP ») par le superviseur principal (« Lead Overseer ») en cas de non-conformité
Sanctions administratives pour absence de coordination ou refus d'enquête
DORA et l'AI Act se rencontrent lorsque qu'une entité financière déploie un système IA (ex : scoring crédit, KYC, AML, détection de fraude). Articulation pratique : (1) la gestion du risque TIC DORA (art. 5-6) doit intégrer les risques IA spécifiques (model drift, hallucinations, biais) ; (2) la gestion des fournisseurs tiers TIC DORA (art. 28-30) recouvre les fournisseurs de modèles GPAI au sens AI Act art. 53, avec nécessité d'inclure les clauses minimales DORA art. 30 ET les clauses GPAI ; (3) les obligations de testing DORA (TLPT, art. 26) sont complémentaires aux exigences d'évaluation AI Act art. 9 et 15 (précision, robustesse, cybersécurité) ; (4) la classification d'incident DORA s'applique aux incidents IA côté opérations financières, en plus du reporting AI Act art. 73.