Assurance & DORA : la résilience opérationnelle numérique

De quoi parle DORA ?

DORA harmonise les exigences de résilience opérationnelle numérique du secteur financier européen, assurance comprise. Il repose sur cinq piliers : gestion des risques TIC, gestion et notification des incidents, tests de résilience, gestion des risques liés aux prestataires TIC tiers, et partage d’informations sur les cybermenaces.

Un principe de proportionnalité s’applique, avec un cadre simplifié pour certaines petites entités non interconnectées.

Le secteur « Assurance » est-il concerné ?

Les entreprises d’assurance et de réassurance sont des entités financières visées par DORA. Le texte couvre l’ensemble de leurs systèmes d’information et la relation avec leurs prestataires TIC.

La proportionnalité module l’intensité des obligations, mais le cadre s’applique à tous les assureurs.

Obligations détaillées

Sanctions & risques

DORA relève d’un régime prudentiel : les autorités disposent de pouvoirs de surveillance, d’injonction et de sanction. Les prestataires TIC désignés critiques peuvent faire l’objet d’astreintes pouvant atteindre 1 % de leur chiffre d’affaires journalier mondial moyen.

Un défaut de résilience expose à des mesures de supervision et à un risque réputationnel et prudentiel majeur.

Calendrier d’application

• 1Application. DORA est applicable depuis le 17 janvier 2025.
• 2Registre d’information. Remontée périodique du registre des prestataires TIC aux autorités.

Erreurs fréquentes dans le secteur

• 1Confusion avec NIS2. Dupliquer les dispositifs alors que DORA prévaut pour le risque TIC.
• 2Registre incomplet. Ne pas recenser exhaustivement les prestataires TIC et la sous-traitance.
• 3Tests théoriques. Disposer d’un programme de tests non éprouvé.
• 4Gouvernance absente. Traiter DORA comme un sujet purement technique.

Cas pratique

Un assureur constate une dépendance forte à un prestataire cloud pour la gestion de ses contrats. Au titre de DORA, il documente ce risque de concentration, renforce la réversibilité et les droits d’audit, inscrit le prestataire à son registre d’information et l’intègre à son programme de tests de résilience.

Feuille de route de mise en conformité

1. 1

   Structurer le cadre TIC. Formaliser stratégie, politiques et gouvernance des risques TIC.

2. 2

   Outiller les incidents. Mettre en place classification et notification des incidents majeurs.

3. 3

   Planifier les tests. Définir un programme de tests et, si significatif, préparer les TLPT.

4. 4

   Tenir le registre. Constituer le registre d’information et encadrer les contrats prestataires.

5. 5

   Gouverner. Faire porter le dispositif par l’organe de direction.

Questions fréquentes