DORA – État actuel des exigences réglementaires en matière de rapports

Depuis le 17 janvier 2025, la loi sur la résilience opérationnelle numérique (DORA) s’applique aux sociétés financières dans l’ensemble de l’Union européenne. Le règlement vise à créer un niveau commun élevé de résilience opérationnelle numérique dans l’ensemble du secteur financier.

Dans l’article suivant, nous avons résumé l’état actuel de l’adoption de la réglementation et les informations pratiques nécessaires à la rédaction des rapports.

 

Registre d’information (RoI)

• Norme de mise en œuvre technique pour le registre d’information

La norme de mise en œuvre technique pour le registre d’information (ITS) a été adoptée et est actuellement en vigueur.

• Le modèle de point de données de la taxonomie a été mis à jour pour refléter l’ITS

Alors que la version de la taxonomie utilisée pour le Dry Run de l’été 2024 était la 3.5, le régulateur a adopté une version mise à jour – 4.0. Elle a introduit des modèles normalisés pour le registre des informations, détaillant les accords contractuels avec les fournisseurs de services TIC tiers, des colonnes supplémentaires. La version la plus récente de la taxonomie peut être téléchargée ici.

• L’ABE publie régulièrement des mises à jour sur les questions-réponses

Comme l’industrie pose continuellement des questions sur différents sujets liés au premier rapport sur le registre d’information (RoI), les AES ont publié des « questions fréquemment posées ». L’objectif de cette foire aux questions est de fournir des conseils supplémentaires sur le reporting et de clarifier des points qui n’ont pas encore été clarifiés ailleurs. En outre, elle clarifie certaines différences entre la description de l’ITS et la mise en œuvre technique de l’ABE.

Un exemple de ces différences serait la colonne 0060 du modèle 05.02 qui, d’un point de vue technique, est obligatoire pour le rapport et ne peut être laissée vide selon les spécifications de l’ABE. Toutefois, l’ITS indique que si le prestataire de services TIC tiers (champ B_05.02.0030) est un prestataire de services TIC tiers direct, c’est-à-dire au « rang » r = 1 (champ B_05.02.0050), la colonne 0060 doit être laissée vide. La Q&R 147 du DORA clarifie cette divergence en expliquant que le champ B_05.02.0060 doit être rempli avec la même valeur que celle indiquée dans le champ B_05.02.0030 pour les fournisseurs de rang « 1 ».

Notre équipe RegWatch a examiné tous les points du document et a veillé à ce qu’il soit pleinement mis en œuvre dans notre service.

 

Rapport sur les incidents liés aux TIC

• Les lignes directrices pour la déclaration PSD2 ont été abrogées

Afin d’éviter la double déclaration, maintenant que la déclaration harmonisée des incidents dans le cadre de DORA est en place, l’Autorité bancaire européenne (EBA) a abrogé les lignes directrices sur la déclaration des incidents majeurs dans le cadre de la directive révisée sur les services de paiement (PSD2), pour les entités dans le champ d’application de DORA. L’article complet est disponible ici.

• L’ITS sur la déclaration des incidents n’a pas encore été adopté

La norme technique de mise en œuvre pour la déclaration des incidents n’a pas encore été adoptée, mais elle est disponible sous forme de projet ici.

• Les artefacts techniques n’ont pas encore été publiés

L’ABE n’a pas encore fourni d’artefacts techniques pour les rapports. C’est pourquoi chaque régulateur local a commencé à donner ses propres lignes directrices techniques pour le reporting temporaire jusqu’à ce que les artefacts définitifs soient publiés. L’artefact le plus couramment adopté pour la déclaration des incidents est le fichier Excel, publié par l’ABE à titre de clarification.

• Étude sur la centralisation des rapports d’incidents

Les AES ont publié une étude sur la faisabilité d’une centralisation plus poussée de la notification des incidents majeurs liés aux TIC par les entités financières : Elle décrit les différentes options de développement pour la notification des incidents – allant d’une notification totalement décentralisée à l’ANC à un centre de notification centralisé au niveau de l’UE. Le Conseil européen et la Commission européenne, qui examineront les résultats de l’étude en vue d’éventuels développements futurs concernant la centralisation des rapports sur les incidents majeurs liés aux TIC dans le secteur financier.

 

Développements futurs :

• D’ici le 30 avril, les ANC devront avoir achevé et soumis à l’ABE le premier rapport sur les RdI.
• D’ici la fin du mois de juillet, les AES effectueront l’évaluation critique et notifieront aux fournisseurs de services tiers leur classification comme étant critique.
• Jusqu’à la première quinzaine de septembre, les prestataires de services classés peuvent s’opposer à l’évaluation.
• D’ici à la fin de 2025, la désignation finale des CTPP devrait être finalisée et publiée.
• Au cours de l’année, le SIR pour la notification des incidents sera probablement adopté et une décision sera prise sur la centralisation (ou la non-centralisation) de la notification.
• Un format technique pour les rapports d’incidents devrait être publié.
• Une nouvelle taxonomie sera publiée pour l’ABE. Cela entraînera probablement un changement de format de déclaration pour le RdI, car l’ESA devrait adopter le format unifié de déclaration RGPD pour toutes les déclarations à partir de 2026.

 

Restez en conformité avec le service de déclaration DORA de cleversoft

Garantissez une conformité totale avec la loi DORA grâce au service complet de cleversoft :

• S’adapter à l’évolution des exigences réglementaires
• Restez informé des derniers développements grâce à notre équipe dédiée à la veille réglementaire.
• Assurez la transparence, l’auditabilité et la traçabilité de toutes les données.
• Gérez efficacement les informations contractuelles en un seul endroit au lieu de passer par différents modèles.
• Informations sur la description de l’ITS dans le système

Nous nous engageons pleinement à fournir à nos clients le soutien et les conseils dont ils ont besoin pour réussir la mise en œuvre de ce nouveau cadre réglementaire.

 

Associez-vous à des experts pour votre parcours de conformité.

Vous avez des questions sur la conformité DORA ou sur nos services ? Contactez notre équipe via le formulaire de contact de notre site web.

Vous souhaitez en savoir plus ? Visitez notre page sur les services DORA.