DORA s'applique-t-il à nous ?

DORA, le règlement sur la résilience opérationnelle numérique (règlement (UE) 2022/2554), s'applique depuis le 17 janvier 2025 aux entités financières telles que banques, assureurs, entreprises d'investissement et établissements de paiement, ainsi qu'aux prestataires tiers critiques de services TIC désignés à ce titre. L'article 19 impose aux entités financières de notifier les incidents majeurs liés aux TIC à leur autorité compétente, par une notification initiale, un rapport intermédiaire et un rapport final ; les délais sont fixés par des normes techniques adoptées en vertu de l'article 20. Pour une entité financière, les règles de DORA sur les incidents TIC priment sur les règles générales de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises.. Si vous fournissez des services TIC à une entité financière, DORA vous atteint par le contrat : l'article 30 liste les clauses que ces contrats doivent contenir, dont l'assistance en cas d'incident, les droits d'audit et les plans de sortie. Attendez-vous à des questions détaillées et à des clauses de la part de clients financiers.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes