La nouvelle réglementation DORA impacte les institutions financières luxembourgeoises
La nouvelle réglementation européenne DORA sur la résilience opérationnelle numérique entrera en vigueur en janvier 2025, imposant des changements significatifs aux entités financières basées au Luxembourg.
Les institutions financières basées au Luxembourg se préparent à des ajustements opérationnels importants imposés par la nouvelle loi européenne sur la résilience opérationnelle numérique (Digital Operational Resilience Act - DORA). Cette réglementation, qui vise à harmoniser les règles en matière de cybersécurité et de résilience opérationnelle dans toute l'UE, doit entrer en vigueur en janvier 2025.
DORA aura un impact généralisé sur les acteurs du secteur financier, y compris les établissements de crédit, les prestataires de services de paiement, les entreprises d'investissement, les fournisseurs de services de crypto-actifs et les entreprises d'assurance. Au Luxembourg, la réglementation nécessite des changements organisationnels allant au-delà de la gestion traditionnelle des technologies de l'information et de la communication (TIC). Un accent particulier sera mis sur des processus clairs de surveillance et de contrôle des fonctions commerciales critiques ou importantes externalisées.
La réglementation renforce également la responsabilité de la direction en matière de conformité, de gestion des changements, de supervision des accords d'externalisation et de gestion de la continuité des activités. Les entités financières doivent s'assurer qu'elles disposent d'un cadre complet de gestion des risques liés aux TIC et d'une stratégie documentée en matière de résilience opérationnelle numérique.
Les domaines clés affectés comprennent la gestion des risques liés aux tiers, la gestion et le reporting des incidents liés aux TIC, les tests de résilience opérationnelle numérique, ainsi que les exigences en matière de gouvernance et de gestion des risques liés aux TIC. Les entreprises doivent examiner leurs contrats avec les fournisseurs de services TIC et garantir la conformité, en particulier en ce qui concerne les externalisations critiques.
Les institutions financières disposent d'environ 24 mois à compter de la publication officielle de la réglementation (27 décembre 2022) pour se conformer à toutes les exigences. Il est conseillé aux entités de commencer rapidement une analyse des écarts par rapport aux exigences de DORA et de concevoir un cadre de résilience opérationnelle amélioré, car d'autres normes techniques sont attendues dans les mois à venir.