L'Autorité fédérale allemande de surveillance financière (BaFin) a publié un aperçu structuré des exigences en matière de documentation prévues par la loi sur la résilience opérationnelle numérique (DORA). Avec ce guide d'orientation sur la DORA, la BaFin souhaite aider les entreprises du secteur financier à s'y retrouver rapidement dans les différents textes juridiques.
Ce qu'offre l'aide à l'orientation DORA de la BaFin
Le règlement européen DORA doit être mis en œuvre par les entreprises à compter du 17 janvier 2025. Il vise à renforcer la résilience du marché financier européen face aux cyberrisques et aux incidents liés aux technologies de l'information et de la communication (TIC). Les exigences en matière de documentation auxquelles les entreprises soumises à surveillance doivent se conformer y contribuent également. Celles-ci sont définies dans différents articles du règlement DORA ainsi que dans les normes techniques de réglementation et d’exécution.
Le guide publié mi-décembre par la BaFin vise à aider les établissements financiers à se conformer aux exigences en matière de documentation découlant du règlement DORA. Ce tableau donne un premier aperçu des exigences minimales en matière de documentation mentionnées dans la directive DORA et dans les normes techniques de réglementation (Regulatory Technical Standards – RTS) et d’exécution (Implementing Technical Standards – ITS).
Important : l'aperçu ne constitue pas une interprétation contraignante de la BaFin. Elle ne contient pas non plus d'interprétation dans le cadre des processus Q&A des trois autorités de surveillance européennes (EBA - European Banking Authority, ESMA - European Securities and Markets Authority et EIOPA - European Insurance and Occupational Pensions Authority).
Conseil de lecture : La loi DORA entrera en vigueur en janvier 2025 – voici les entreprises concernées
Voici comment fonctionne le tableau récapitulatif de la BaFin
Dans le tableau récapitulatif, les documents minimaux requis sont classés selon la structure prévue par les textes juridiques. Les différentes colonnes reprennent les chapitres, sections et articles de la DORA ou des normes techniques de réglementation et d'exécution que la BaFin juge pertinents. Les lignes présentent les différents documents selon un ordre hiérarchique.
Le classement des exigences issues des normes techniques de réglementation et d'exécution dans les différentes colonnes s'effectue par thème.
Les politiques et procédures liées aux politiques et procédures de sécurité des TIC visées à l'article 9, paragraphe 2, de la DORA sont identifiées en conséquence.
Ce que l'aide à l'orientation DORA ne peut pas offrir
Selon la BaFin, cet aperçu ne traite toutefois pas de la forme ni du contenu des documents mentionnés. Les entreprises soumises à surveillance doivent toutefois, en principe, établir ces documents de manière compréhensible et dans le respect du principe de proportionnalité, conformément à l'article 4 de la DORA. Les exigences relatives au contenu des documents minimaux, telles que les procédures spécifiques, les protocoles ou les outils, ne figurent pas non plus dans cet aperçu. Outre ces documents minimaux, d’autres documents peuvent être requis (voir article 6, paragraphe 2, de la DORA).
Les chapitres ou articles suivants ne figurent pas individuellement dans la liste récapitulative, car ils ne contiennent pas les documents minimaux requis pour satisfaire aux exigences de la DORA :
- Chapitre I, articles 1 à 5 de la DORA, ainsi que le titre I, article 1, et le titre II, chapitre I, section 1, article 2 du RTS RMF : dispositions générales (objet, champ d'application, définitions, principe de proportionnalité, etc.)
- Chapitre II, article 7 DORA : exigences relatives aux systèmes, protocoles et outils TIC
- Chapitre II, article 15 de la DORA : Poursuite de l'harmonisation des outils, méthodes, processus et lignes directrices relatifs à la gestion des risques liés aux TIC[1] (précisant notamment quelles normes techniques réglementaires complètent la DORA)
- Chapitre V, section 2 (articles 31 à 44) DORA : cadre de surveillance des prestataires tiers de TIC critiques
- Chapitres VI à IX de la directive DORA : accords relatifs à l'échange d'informations, autorités compétentes, actes délégués, dispositions transitoires et finales
Par ailleurs, les dispositions de la DORA qui ne concernent qu’un petit nombre d’établissements financiers ne font pas l’objet de cette synthèse. Il s'agit notamment du „ cadre simplifié de gestion des risques liés aux TIC “ prévu à l'article 16 de la DORA et au titre III du RTS RMF, ainsi que des tests étendus basés sur les tests d'intrusion axés sur les menaces (TLPT, articles 26 et 27 de la DORA). D'autres dispositions particulières (par exemple, les dérogations pour les micro-entreprises) ne figurent pas dans cette synthèse.
Source : Exigences de documentation DORA de la BaFin
Source : Exigences de la BaFin en matière de documentation DORA (format recto-verso pour l'impression)
German 
English 
Italian 
French