Gestion des risques TIC sous DORA : le cadre attendu

Le premier pilier de DORA impose à chaque entité financière — dont les assureurs et réassureurs — de se doter d'un cadre de gestion du risque lié aux technologies de l'information et de la communication (TIC), formalisé, documenté et placé sous la responsabilité directe de l'organe de direction. Ce n'est pas une simple politique de sécurité informatique : c'est un dispositif de gouvernance à part entière, dont la structure est précisée par le règlement.

La responsabilité de l'organe de direction

DORA place explicitement l'organe de direction au centre du dispositif : il doit approuver, superviser et réexaminer périodiquement le cadre de gestion du risque TIC, définir la stratégie de résilience opérationnelle numérique et allouer les ressources nécessaires. Cette responsabilité ne peut pas être déléguée à la seule direction des systèmes d'information — elle rejoint, sur le fond, l'exigence de gouvernance active déjà connue des directions d'assurance sous le Pilier 2 de Solvabilité II (voir notre article sur l'ORSA).

Cartographier les actifs et les dépendances informatiques

Le cadre de gestion du risque TIC repose sur une cartographie exhaustive des fonctions, processus et actifs informatiques de l'entité, ainsi que de leurs interdépendances — y compris avec les prestataires externes. Cette cartographie doit permettre d'identifier :

• les actifs informationnels et actifs TIC critiques au regard des processus métier qu'ils supportent ;

• les sources de risque associées (obsolescence, dépendance à un unique prestataire, complexité des interconnexions) ;

• les impacts potentiels d'une indisponibilité ou d'une compromission sur l'activité et sur les tiers (assurés, partenaires).

Cette cartographie n'est pas un exercice ponctuel : elle doit être maintenue à jour et réexaminée à chaque évolution significative du système d'information.

Politiques de sécurité et protection des données

Le règlement attend un socle de politiques de sécurité de l'information couvrant, a minima, le contrôle des accès, la gestion des vulnérabilités et des correctifs, le chiffrement des données sensibles et la journalisation des événements de sécurité. Ces politiques doivent être proportionnées à la taille et au profil de risque de l'entité, mais leur existence et leur application effective sont, elles, non négociables.

Continuité d'activité et plans de reprise

DORA impose la mise en place de plans de continuité d'activité spécifiquement dimensionnés pour couvrir les scénarios de perturbation informatique majeure, ainsi que des plans de reprise après sinistre couvrant la restauration des systèmes et des données critiques dans des délais définis. Ces plans doivent être :

• documentés, avec des objectifs de délai de reprise (RTO) et de perte de données maximale tolérable (RPO) explicites pour chaque fonction critique ;

• testés régulièrement, dans des conditions représentatives d'un incident réel, et pas seulement sur le papier ;

• révisés après chaque test ou incident significatif, pour intégrer les enseignements tirés.

Articulation avec les tests de résilience

La gestion du risque TIC et les tests de résilience opérationnelle numérique — second volet de DORA détaillé dans notre article dédié aux tests de résilience sous DORA — sont indissociables : un cadre de gestion des risques qui n'est jamais mis à l'épreuve par des tests réalistes reste largement théorique. C'est précisément cette articulation entre cadre déclaratif et vérification pratique que les superviseurs examinent en priorité.

Finengy Advisory vous aide à structurer votre cadre de gestion du risque TIC sous DORA : cartographie des actifs et dépendances, formalisation des politiques de sécurité, dimensionnement des plans de continuité. Retrouvez notre guide complet DORA. Parlons de votre dispositif.

FAQ

Qui est responsable du cadre de gestion du risque TIC sous DORA ? L'organe de direction de l'entité, qui doit l'approuver, le superviser et le réexaminer périodiquement — cette responsabilité ne peut pas être entièrement déléguée à la direction des systèmes d'information.

La cartographie des actifs TIC doit-elle inclure les prestataires externes ? Oui. DORA impose de cartographier les dépendances vis-à-vis des prestataires TIC, en particulier pour les fonctions considérées comme critiques ou importantes.

Quelle différence entre plan de continuité d'activité et plan de reprise après sinistre ? Le plan de continuité vise à maintenir les activités critiques pendant une perturbation ; le plan de reprise organise la restauration des systèmes et des données après un incident, avec des objectifs de délai (RTO) et de perte de données (RPO) définis.

Le cadre de gestion du risque TIC est-il identique pour toutes les entités ? Non. Le règlement applique un principe de proportionnalité : les exigences sont modulées selon la taille, la complexité et le profil de risque de chaque entité.

Sources : Règlement (UE) 2022/2554 (DORA), articles 5 à 16 (cadre de gestion du risque lié aux TIC) ; normes techniques de réglementation (RTS) et d'exécution (ITS) des autorités européennes de surveillance précisant ce cadre. Contenu à visée informative ; les modalités précises d'application continuent d'être affinées par les ESAs — vérifier la version en vigueur des standards techniques avant toute mise en œuvre opérationnelle.